Einführung in die Sicherheitsinitiative für Bitcoin
Eine freiwillige Sicherheitsinitiative für Bitcoin hat in den ersten 29,8 Stunden ihrer KI-unterstützten Codeüberprüfungen 4.962 potenzielle Sicherheitsprobleme in 390 Bitcoin-bezogenen Projekten identifiziert, von denen 720 als hoch- oder kritisch eingestuft wurden. Laut dem Bitcoin-Entwickler Calle hat das Bitcoin Red Team eine koordinierte Sicherheitsüberprüfung gestartet, die Bitcoin-Bibliotheken, Wallets, Infrastruktur-Software und andere Open-Source-Projekte umfasst, nachdem es kürzlich zu Angriffen auf Coldcard-Wallets gekommen war.
Details zur Sicherheitsüberprüfung
Calle erklärte: „Wir haben mehrere Testumgebungen erstellt und starten eine umfassende Überprüfung vieler Kern-Bitcoin-Projekte: Krypto-Bibliotheken, Wallets, Infrastruktur usw. Die Situation ist extrem besorgniserregend. Im Durchschnitt haben wir einen kritischen Exploit pro Stunde und pro Person.“
Das Freiwilligenprojekt umfasst unter anderem Rob Hamilton, den CEO von AnchorWatch, sowie andere Bitcoin-Beitragsleister, die KI-unterstützte Werkzeuge neben manueller Überprüfung nutzen, um Softwareanfälligkeiten zu identifizieren. In einem Beitrag auf X (ehemals Twitter) sagte Calle, dass die Gruppe „im Durchschnitt einen kritischen Exploit pro Stunde und pro Person hat“ und bereits innerhalb der letzten 12 Stunden kritische Sicherheitsanfälligkeiten an mehrere Projekte gemeldet hat. Er beschrieb die Sicherheitslage als „extrem schlecht“.
Hintergrund der Initiative
Die Kampagne folgt weniger als einer Woche nach einem Vorfall, bei dem Angreifer eine Schwachstelle ausnutzten, die die Firmware von anfälligen Coldcard-Hardware-Wallets betrifft. Dieser Vorfall hat Entwickler und Forscher dazu veranlasst, die Überprüfungen von Bitcoin-Software zu intensivieren. Laut von Calle geteilten Daten hat die Initiative automatisierte und manuelle Überprüfungen in 390 Repositories abgeschlossen und dabei 4.962 potenzielle Probleme identifiziert, von denen 720 als hoch- oder kritisch eingestuft wurden. Das Team fügte hinzu, dass 21,4 % der gemeldeten Probleme bereits reproduziert wurden, was darauf hinweist, dass ein Teil der anfänglich von der KI generierten Ergebnisse unabhängig verifiziert wurde.
Umfang der Überprüfung
Anstatt sich auf eine einzelne Anwendung zu konzentrieren, erstreckt sich die Überprüfungskampagne über kryptografische Bibliotheken, Wallet-Software, Infrastrukturkomponenten und andere Projekte, die Teil des Bitcoin-Ökosystems sind. Calle erklärte, dass die Arbeit auf mehreren speziell für diesen Zweck entwickelten Testumgebungen basiert. Er gab auch bekannt, dass die Kampagne täglich etwa 10.000 US-Dollar an Computerkosten verursacht, wobei OpenSats die Ausgaben deckt. Laut seinem Beitrag hat Kimi Moonshot KI-Konten und Zugang zu seinem Kimi K3-Modell bereitgestellt, um die Überprüfungen zu unterstützen. Die Gruppe hat auch die Mitglieder der Community gebeten, Computer-Konten oder digitale Token beizutragen, um die Initiative aufrechtzuerhalten.
Relevante Sicherheitsvorfälle
Die Überprüfungsanstrengungen folgen einem der größten bekannten Sicherheitsvorfälle bei Wallets, die in den letzten Jahren Bitcoin-Nutzer betroffen haben. Wie zuvor von crypto.news berichtet, hat Galaxy Research bestätigt, dass Angreifer 1.596 BTC von etwa 7.300 Adressen in drei bestätigten Angriffswellen gestohlen haben, während auch 14 kleinere Vorfälle im Zusammenhang mit demselben Coldcard-Saatgut-Generierungsfehler identifiziert wurden. Das Forschungsunternehmen hat separat eine vermutete vierte koordinierte Welle identifiziert, die die Gesamtschäden auf etwa 2.055 BTC erhöhen könnte, obwohl diese Adressen noch nicht in die bestätigte Zählung aufgenommen wurden, da die Bestätigung weiterer Opfer noch aussteht.
Technische Details zur Coldcard-Schwachstelle
Laut Coinkite entstand die Coldcard-Schwachstelle während einer Firmware-Änderung, die im März 2021 eingeführt wurde, als eine neue kryptografische Bibliothek integriert wurde. Anstatt Wallet-Samen mit dem vorgesehenen Hardware-Zufallszahlengenerator zu generieren, verließen sich anfällige Firmware-Versionen während der Samenerstellung auf einen deterministischen Pseudo-Zufallszahlengenerator, der von MicroPython bereitgestellt wurde.
Das Bitcoin-Engineering- und Sicherheitsteam von Block kam unabhängig zu demselben Schluss, nachdem es die Firmware überprüft hatte. Während Block angab, dass es keine empirischen Tests an jedem betroffenen Gerät abgeschlossen hatte, kam es zu dem Schluss, dass die anfällige Firmware den deterministischen Fallback anstelle des STM32-Hardware-Zufallszahlengenerators beim Erstellen von Wallet-Samen aufrief. Coinkite schätzt, dass betroffene Mk2- und Mk3-Geräte etwa 40 Bit effektive Entropie erzeugten, während anfällige Mk4-, Mk5- und Coldcard Q-Geräte etwa 72 Bit anstelle der vorgesehenen 128 Bit produzierten. Notfall-Firmware-Updates wurden seitdem für alle betroffenen Produkte veröffentlicht.
Empfehlungen für Benutzer
Das Unternehmen hat auch gewarnt, dass die Installation von gepatchter Firmware keine Wallets sichert, die mit anfälligen Versionen erstellt wurden. Benutzer müssen vollständig neue Seed-Phrasen auf aktualisierten Geräten generieren und ihre Bitcoins auf Adressen übertragen, die aus diesen neuen Seeds abgeleitet sind. Wallets, die mit mindestens 50 privaten Würfen erstellt wurden, gelten nicht als anfällig für dieses spezifische Problem der Zufallszahlengenerierung, obwohl Coinkite weiterhin eine Migration empfiehlt.
Aktueller Stand der Überprüfungen
Während die Coldcard-Untersuchung aktiv bleibt, hat das Bitcoin Red Team erklärt, dass es weiterhin neu identifizierte Sicherheitsanfälligkeiten an betroffene Softwareprojekte übermittelt, während die Überprüfungen fortschreiten. Laut Calle wurden mehrere kritische Probleme innerhalb der letzten 12 Stunden privat an die Projektverantwortlichen offengelegt, anstatt öffentlich veröffentlicht zu werden. Die Gruppe hat die betroffenen Projekte nicht identifiziert, während die Entwickler an Lösungen arbeiten. Die freiwillige Kampagne kombiniert KI-generierte Ergebnisse mit menschlicher Überprüfung, bevor Probleme gemeldet werden, und das Team erklärte, dass die Reproduktion gemeldeter Sicherheitsanfälligkeiten Teil seines Verifizierungsprozesses bleibt. Von den bisher identifizierten fast 5.000 potenziellen Ergebnissen wurden etwas mehr als ein Fünftel bereits reproduziert, während die Überprüfungen in weiteren Bitcoin-Repositories fortgesetzt werden.
