Sechzehn Entwickler haben in weniger als dreißig Stunden den Bitcoin-Code durchforstet und dabei fast fünftausend potenzielle Sicherheitslücken gefunden. Fünfundachtzig davon stuften sie als kritisch ein — Fehler, die theoretisch erlauben würden, eine Wallet ohne jegliches Zutun des Besitzers leerzuräumen.
Auslöser war das Debakel um die Hardware-Wallets Coldcard Mk3. Ende Juli stellte sich heraus, dass die Firmware seit 2021 einen Fehler im Zufallszahlengenerator mit sich schleppte: Statt Entropie aus der Hardware-Quelle zu beziehen, griff das Gerät gelegentlich auf einen vorhersehbaren Software-Generator zurück. Angreifer, die den geschwächten Schlüsselraum kartierten, zogen aus betroffenen Wallets mehr als 100 Millionen Dollar ab — ganz ohne physischen Zugriff auf das Gerät.
Das brachte eine Freiwilligengruppe namens Bitcoin Red Team ins Handeln. Angeführt von einem Cashu-Entwickler unter dem Pseudonym Calle und Rob Hamilton, Chef von AnchorWatch, verzichtete das Team auf die klassische Zeile-für-Zeile-Prüfung und setzte KI-Modelle auf 390 Open-Source-Repositories an — Wallets, Kryptobibliotheken, Infrastrukturcode. Das Tempo: rund 180 Funde pro Stunde, also etwa ein kritischer Bug pro Person und Stunde. Allein die Rechenleistung soll bis zu 10.000 Dollar täglich gekostet haben.
Das Tempo hatte seinen Preis. Zum Zeitpunkt der Veröffentlichung waren erst 21,4 Prozent der Funde tatsächlich reproduziert und bestätigt. Das heißt nicht, dass der Rest erfunden ist — vieles ist schlicht noch nicht beim richtigen Maintainer gelandet —, aber es heißt eben auch nicht, dass alle 4.962 Einträge echte Lücken sind. Calle brachte es auf den Punkt: "die Lage ist extrem schlecht", und entschuldigte sich bei den Entwicklern für die Flut an Meldungen. Das Team versuchte, kritische Funde zunächst privat zu melden, doch die schiere Menge überforderte etliche Projektbetreuer.
Es ist ein handfester Beweis dafür, dass KI-Werkzeuge in altem Code Dinge finden, die menschliche Prüfer jahrelang übersehen haben — der Coldcard-Fehler blieb fünf Jahre unentdeckt. Doch dasselbe Tempo verschiebt nur den Engpass: Nicht mehr das Aufspüren der Lücken ist der langsame Teil, sondern die Kapazität der Maintainer, sie zu verifizieren.
