Bitcoin Magazin
Bitcoin Red Team findet 85 kritische Schwachstellen in 390 Open Source Repos nach Coldcard-Exploits
Angespornt durch die kürzliche, katastrophale Schwachstelle in Coldcard-Hardware-Wallets, die mit über 100 Millionen Dollar ausgenutzt wurde, hat die Bitcoin-Community sich zusammengeschlossen, um zukünftige kritische Fehler in der Open Source-Software der Branche zu verhindern.
PSA: Alle Benutzer von Coldcard-Wallets, die ihre Bitcoins nicht auf neue in sicherer Firmware generierte Seeds migriert haben, sind weiterhin gefährdet. Es könnte nicht zu spät sein, zu handeln; siehe Beratung zu diesem Thema.
Unter der Leitung von Calle, Softwareingenieur, leidenschaftlicher Vibe-Coder und Schöpfer der Android-Version von Bitchat, und Rob Hamilton, dem CEO von Anchorwatch, einer Bitcoin-Selbstverwahrungsversicherungsgesellschaft, hat das Bitcoin Red Team nun Finanzierung gesichert, mit über 40.000 Dollar, die in KI-Token ausgegeben wurden, um über 390 Open Source-Repositories im Bitcoin-Bereich zu prüfen.
Umgangssprachlich als „Bitcoin Red Team“ bezeichnet, mit Memes über Rob Hamilton und Calle, die jetzt CEO und CTO von Bitcoin sind, hat dieses KI-gesteuerte Sicherheitsaudit einen ernsthaften Einfluss auf die Branche. Vor ein paar Tagen, begraben in den Nachrichten über laufende Diebstähle von Bitcoin aus MK3+ Coldcards aufgrund eines RNG-Bugs, kündigte die Boltz-Börse an, dass sie den Betrieb pausieren würde, um mit den KI-gesteuerten Hacking-Versuchen aufzuholen.
„Nach 27,5 Stunden haben wir 4.962 Ergebnisse über 390 Projekte eingereicht. 85 kritische und 635 hochgradige Probleme. Wir liegen bei 2,31 h+c Ergebnissen pro Person und Stunde“, sagte Calle im neuesten Update zu den Bemühungen des Red Teams, die Cybersicherheit der Branche zu stärken.
Die Sicherheitsüberprüfung des Red Teams nutzt Modelle wie Kimi K3, GPT Sol, Fable, Opus und GLM5.2, einige der teuersten und fortschrittlichsten Modelle auf dem Markt. Zunächst war der Zugang zu OpenAI- und Anthropic-Modellen eingeschränkt, was zu einer übermäßigen Abhängigkeit von chinesischen Open-Source-Modellen führte, ein Umstand, den viele in der Branche bedauerten und als schlechtes Omen für die US-amerikanische KI-Dominanz sahen. Doch als das Red Team-Projekt seit dem Coldcard-Hack der letzten Woche an Einfluss gewann, wurden Verbindungen zu OpenAI hergestellt und bestätigt, die dem Red Team Zugang zu GPT Sol verschafften. Hamiltons Erwähnung von Fable in seinem Tweet vom 4. August deutet darauf hin, dass auch der Zugang zu Anthropic hergestellt wurde.
Die zuletzt mit über 40.000 $ bezifferten Ausgaben wurden von OpenSats, einer gemeinnützigen 501c3-Organisation, die sich der Finanzierung von Open-Source-Bitcoin-Entwicklungsprojekten widmet, übernommen. Das Bitcoin Red Team hat derzeit keine Website oder ein GitHub-Repository, auf das verwiesen werden kann, aber das Team besteht aus vielen Personen innerhalb der Bitcoin-Branche. Öffentlich für ihre Unterstützung bedankt wurden unter anderem danielabrozzoni, lylepratt, stutxo, benthecarman, thesimplekid.
Hamilton teilte mit, dass ein maßgeschneiderter Harness entwickelt wurde, der sich schnell weiterentwickelt. Er bestand zeitweise aus 171.599 Codezeilen und ist darauf ausgelegt, kritische Bitcoin-Softwarebibliotheken und hochbelastbare Codes zu identifizieren und zu testen, Schwachstellen zu erkennen und zu dokumentieren, sie zu reproduzieren und die nachgewiesenen Daten in nützliche Berichte zu verpacken. Letztendlich wird die Information verantwortungsbewusst an Ingenieure in der Branche geliefert. Hamilton teilte auch mit, dass das Red Team beabsichtigt, den Harness Open Source zu machen, damit Bitcoin-Unternehmen ihn gegen ihren Closed-Source-Code ausführen können.
Das Red Team kontaktiert aktiv relevante Open-Source-Projekte mit entdeckten kritischen Schwachstellen, was bei Ingenieuren in der Branche ein breites Gefühl der Angst auslöst, wenn sie kalte Direktnachrichten von Hamilton oder Calle erhalten, wie in verschiedenen humorvollen Screenshots zu sehen ist, die in sozialen Medien geteilt wurden.
Unter den wichtigsten Erkenntnissen, die das Red Team öffentlich teilt, während dieses KI-gesteuerte Sicherheitsupdate von Bitcoin FOSS stattfindet, teilte Hamilton mit, dass Ingenieure mit spezifischem Fachwissen manchmal hochgradig wertvolle Ergebnisse aus dem Harness erzielen könnten, die ansonsten „etwas Falsches riechen“ könnten, aber möglicherweise den speziellen Kontext vermissen. Eine Erkenntnis, die die Bedeutung unterstreicht, dass menschliche Intelligenz und Erfahrung Hand in Hand mit der KI arbeiten, um kritische Schwachstellen effizient zu identifizieren.
Hamilton beendete auch einen mehrtägigen Red Team-Einsatz nach dem Coldcard-Hack mit einigen persönlichen Anmerkungen. Er sagte, dass die entdeckte Schwachstelle in den Coldcard-Zufallszahlengeneratoren und die daraus resultierende Ausnutzung des Fehlers durch Hacker einen „spirituellen Angriff“ auf Bitcoin und das Selbstverwahrungsethos der Branche darstellten, „ich meine das im wörtlichen Sinne der Worte“. Nachdem er sein Bedauern über die Verluste, die viele Bitcoin-Nutzer während dieses nun historischen Hacks erlitten haben, zum Ausdruck gebracht hatte, schloss Hamilton seinen Tweet mit einem Ton der gefestigten Entschlossenheit:
„Während die Dinge gerade nicht einfach sind. Ich habe die höchste Überzeugung meines Lebens, dass die Idee und Technologie von Bitcoin es wert ist, dafür zu kämpfen. In diesem Sinne. Es gibt kein Bitcoin ohne Selbstverwahrung. Das ist nicht verhandelbar.“
Dieser Beitrag Bitcoin Red Team findet 85 kritische Schwachstellen in 390 Open-Source-Repos nach dem Coldcard-Exploit erschien zuerst in Bitcoin Magazine und wurde von Juan Galt verfasst.
Quelle: BitcoinMagazine
