Freiwillige Entwickler haben in etwa 30 Stunden 4.962 Sicherheitsfunde in 390 Bitcoin-Projekten gemeldet. Von den 391 überprüften Codebasen kam genau eine sauber zurück.
Die Gruppe nennt sich das Bitcoin Red Team. Sie bewertete 720 dieser Funde als hoch oder kritisch. Nur 147 haben die Wartenden erreicht, die sie beheben müssen.
Jeder 1 von 7 Funden ist ernsthaft
Die Schwereverteilung ist enger, als die Rohzahl vermuten lässt. Die Prüfer haben 85 kritische Probleme und 635 hohe festgestellt.
Das ergibt 14,5% von allem, was eingereicht wurde. Der Rest liegt in den Kategorien mittel, niedrig oder informativ. Weitere 246 Funde tragen überhaupt kein Schweregradlabel.
Die Qualität der Beweise variiert ebenfalls. Etwa 21,4% kamen mit funktionierendem Proof-of-Concept-Code. Ungefähr 91% wurden durch automatisiertes Scannen übermittelt. Die Prüfer haben nur acht als falsch positiv eingestuft.
Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
Eine Stunde produzierte 83% der Funde
Der 30-stündige Rahmen benötigt einen Vorbehalt. Eine einzige Stunde absorbierte 4.101 Funde. Dieser Anstieg war eine Nachbearbeitung, kein Live-Scanning. Rob Hamilton, Geschäftsführer der Bitcoin-Versicherung AnchorWatch, führte seine eigene Überprüfung durch, bevor die Kampagne offiziell begann.
Er sagte, er habe über 10.000 Dollar ausgegeben, um mehr als 100 Bibliotheken zu scannen.
Wenn man den Dump entfernt, ändert sich das Tempo drastisch. Ungefähr 840 Funde wurden in den anderen 29 Stunden empfangen. Das liegt näher bei 29 pro Stunde als bei den 166,3, die der Bericht angibt.
Die Datenpunkte von Hardware-Wallets
Die Kategorisierung bringt eine Überraschung. Hardware-Wallets und Firmware, zu denen die Gruppe Coldcard gehört, belegten den zweitschlechtesten Platz bei schwerwiegenden Mängeln mit 9,6%.
Andere Bereiche schnitten schlechter ab. Mining-Pools erreichten 21,7%, Infrastruktur und Werkzeuge 21,5% und Swaps und Börsen 20,9%. Datenschutztools führten die Tabelle mit 24% an, obwohl die Prüfer nur drei davon abdeckten.
Stattdessen trugen Krypto-Bibliotheken das Volumen. Sie produzierten 1.385 Erkenntnisse über 128 Projekte, mehr als ein Viertel des Korpus.
Calle, der pseudonyme Physiker, der das Cashu-Ecash-Protokoll erstellt hat, sagte, die Wartenden bestätigen die schlimmsten Berichte.
Die meisten der kritischen Berichte, die wir bisher erstellt haben, wurden schnell von den Projektinhabern verifiziert. Wir wissen, dass wir echte Ziele treffen,” schrieben sie.
Warum das Rote Team nach Coldcard gebildet wurde
Die Durchsuchung begann wegen eines defekten Chips. Coinkite gab am 30. Juli bekannt, dass die Seed-Generierung auf betroffenen Coldcard-Geräten auf eine vorhersehbare Software-Routine zurückfiel.
Der Mangel war schwerwiegend. Nur 32 Bits kamen aus dem sicheren Element, was die Suche eines Angreifers auf etwa 4,3 Milliarden Vermutungen begrenzte.
Galaxy Research schätzte die bestätigten Diebstähle auf 1.596 Bitcoin (BTC) von etwa 7.300 Adressen am 4. August. Eine vermutete vierte Angriffswelle würde die Gesamtsumme auf fast 130 Millionen Dollar bringen. Galaxy betont, dass seine Adressliste nicht endgültig ist.
Die Panik zeigte sich on-chain, wo die aktiven Adressen auf ein 20-Monats-Hoch anstiegen. Koreanische Inhaber entkamen größtenteils, da würfelbasierte Seeds dort verbreitet sind.
Schwache Zufälligkeit tritt jedoch weiterhin im Bitcoin auf. Der Milk Sad-Bug von 2023 säte Libbitcoin Explorer-Schlüssel aus 32 Bits Uhrzeit. Im Mai entleerte die Ill Bloom-Schwachstelle 5,7 Millionen Dollar aus Wallets, die auf einem schwachen JavaScript-Generator basierten.
Finanzierung folgt den Erkenntnissen
OpenSats, eine gemeinnützige Organisation, die die Bitcoin-Entwicklung finanziert, startete am Donnerstag einen Code RED-Stipendienbereich. Es bezahlt Forscher, die Fehler offenlegen. Es erstattet auch die Kosten für die künstliche Intelligenz (KI), die durch die Arbeit entstehen.
In der Zwischenzeit handelte Bitcoin am Donnerstag nahe 64.396 $, was einem Anstieg von 0,5 % über 24 Stunden entspricht. Die Prüfung hat den Markt nicht bewegt.
Der Kontext bleibt für die Rohzahl wichtig. Dies sind Erkenntnisse, keine bestätigten Ausnutzungen, und die meisten werden niemals waffenfähig gemacht.
Nach den bisherigen Beweisen war Coldcard jedoch kein isolierter Fehler. Die Daten deuten auch darauf hin, dass das nächste kein Hardware-Wallet sein wird.
Quelle: BeInCrypto
