Die Entwickler von Bitcoin Core haben am Donnerstag, dem 22. Oktober, ihre Offenlegungsregeln geändert: Fehler, die sich mit minimalem Aufwand finden lassen, etwa per einfacher Anfrage an ein KI-Modell, werden künftig ohne die übliche Sperrfrist behoben. Das geht aus einem zusammengeführten Pull Request auf GitHub hervor.
Laut der aktualisierten Sicherheitsrichtlinie entscheiden die Maintainer bei der Sichtung einer Meldung, ob eine Lücke leicht zu entdecken ist. In diesem Fall veröffentlicht das Projekt so bald wie möglich ein Wartungsrelease mit der Korrektur für jede unterstützte Hauptversion, zusammen mit einem Sicherheitshinweis.
Für andere Lücken bleibt laut Richtlinie alles wie bisher: Details werden eine Zeit lang zurückgehalten, diese Zeit heißt Sperrfrist. Je nach Schweregrad werden sie einige Wochen oder etwa ein Jahr nach Erscheinen der korrigierten Version veröffentlicht.
Antoine Poinsot, Entwickler bei Chaincode Labs und Autor der Änderung, schrieb im Pull Request, das Projekt erhalte zuletzt mehr Meldungen über Lücken, die sich leicht erneut entdecken ließen. Als Grund nannte er Sprachmodelle: „Das liegt vor allem daran, dass LLMs die Hürde für das Auffinden bestimmter Fehlerklassen oder das Erkennen verdeckter Korrekturen drastisch senken.“
Für solche Fehler sei der bisherige Ansatz ein falscher Kompromiss, so Poinsot. „Die Sperrfrist bringt wenig, verzögert aber die Verfügbarkeit einer korrigierten Version“, schrieb er. Zugleich räumte er ein, dass Patches künftig weniger Zeit zum Testen in Entwicklungszweigen haben, bevor sie die Nutzer erreichen.
Der langjährige Bitcoin-Sicherheitsforscher Antoine Riard wollte dem Projekt die Möglichkeit offenhalten, in Einzelfällen Korrekturen ohne Sicherheitshinweis zu veröffentlichen und über Details von Fall zu Fall zu entscheiden. Poinsot lehnte das ab: Eine Warnung ohne Details „könnte unnötig mehr Risiko schaffen“ und nicht betroffene Nutzer zu einem überstürzten Update drängen.
Mehrere Mitwirkende hatten die Änderung vor der Zusammenführung gebilligt, wie die Diskussion auf GitHub zeigt.
Nach Zählung der Forscher von Bitcoin Red Team prüfte die Gruppe aus 16 freiwilligen Entwicklern Ende Juli binnen etwa eines Tages 390 Bitcoin-Projekte mit KI-Modellen und verzeichnete 4962 Funde, 85 davon kritisch. Eine Lücke in BTCPay Server, die die Gruppe vertraulich gemeldet hatte, wurde später für Angriffe auf Händlerserver genutzt.
In einem anderen Fall nutzten Angreifer am 30. Juli einen seit 2021 bestehenden Fehler in der Firmware der Hardware-Wallets von Coldcard und entwendeten binnen 25 Minuten 594 BTC; die Verluste in vier Wellen näherten sich 114 Millionen US-Dollar.
