Code Red

• Der Auslöser: Die Coldcard-Schwachstelle
• Wie das Team arbeitet
• Erschreckende erste Ergebnisse
• Finanzierung

Das Bitcoin Red Team ist eine ehrenamtliche Sicherheitsinitiative von Entwicklern und Sicherheitsexperten, die es sich zur Aufgabe gemacht hat, das gesamte Bitcoin-Ökosystem proaktiv auf Schwachstellen zu überprüfen. Die Initiative wird maßgeblich von dem bekannten Bitcoin-Entwickler Calle (@callebtc) sowie Rob Hamilton (CEO von AnchorWatch) geleitet.

§Der Auslöser: Die Coldcard-Schwachstelle

Das Team startete seine großangelegte Kampagne vor ein paar Tagen. Der direkte Auslöser war der massiver Exploit der Hardware-Wallet Coldcard. Ein Fehler in einer alten Firmware führte dazu, dass Kriminelle durch zu schwach generierte Seed-Phrasen Millionenbeträge in Bitcoin stehlen konnten. Um weitere Katastrophen dieser Art im Bitcoin-Netzwerk zu verhindern, beschloss das Red Team, Bitcoin-Bibliotheken, Wallets und Infrastruktur-Software einem extremen Härtetest zu unterziehen.

§Wie das Team arbeitet

Das aus etwa 16 Freiwilligen bestehende Red Team nutzt eine innovative Kombination aus künstlicher Intelligenz und menschlicher Expertise:

• Für das massenhafte und automatisierte Scannen von Open-Source-Code setzen sie verschiedene KI-Modelle (wie Kimi K3, GPT Sol oder Opus) ein.

• Sobald die KI eine Auffälligkeit meldet, wird diese von erfahrenen Entwicklern manuell verifiziert. Das ist essenziell, da die KI die komplexen Zusammenhänge des Bitcoin-Codes oft nicht allein durchdringen kann.

• Bestätigte Schwachstellen werden über das Prinzip der Responsible Disclosure (verantwortungsvolle Offenlegung) privat an die jeweiligen Projektbetreiber gemeldet. So können Patches entwickelt werden, bevor Hacker die Lücken ausnutzen.

§Erschreckende erste Ergebnisse

Die Aktion zeigte direkt zu Beginn, wie dringend sie benötigt wurde. Calle berichtete auf der Plattform X, dass die Sicherheitslage im Ökosystem “extrem schlecht” sei. Innerhalb der ersten 30 Stunden der Kampagne scannte das Team rund 390 Software-Repositories und meldete:

• Knapp 5.000 potenzielle Sicherheitsprobleme

• 85 kritische Schwachstellen

• 635 hochgradig gefährliche Fehler

Laut Calle fand das Team zeitweise durchschnittlich einen kritischen Exploit pro Stunde pro Person.

§Finanzierung

Da das ständige Scannen des Codes durch KI-Modelle enorme Rechenleistung erfordert (die Kosten belaufen sich auf rund 10.000 US-Dollar pro Tag), wird das Projekt finanziell von OpenSats unterstützt. Das ist eine Non-Profit-Organisation, die sich der Förderung von Open-Source-Entwicklung im Bitcoin-Bereich widmet.

Wir von Einundzwanzig tragen auch einen kleinen Teil dazu bei und Spenden 2.1Mio Sats um das Team zu unterstützen.