Bitcoin-Red-Team entdeckt nach dem Coldcard-Hack 4.962 Schwachstellen

Eine Reaktion auf den Coldcard-Exploit

Der Exploit der Coldcard-Hardware-Wallet entzog Langzeitinhabern Bitcoin (BTC), nachdem im März 2021 ein Firmware-Fehler aufgetreten war. Die Verluste sind auf über 116 Millionen US-Dollar gestiegen, wobei mehr als 1.800 BTC von über 5.200 Adressen abgezogen wurden.

Dieser Vorfall gab den Anstoß für eine freiwillige Initiative namens „Bitcoin Red Team“, die von dem BTC-Entwickler Calle gemeinsam mit Rob Hamilton, dem CEO des Versicherers für selbstverwahrte Wallets Anchorwatch, geleitet wurde. Sie starteten eine Notfallprüfung des gesamten Open-Source-Ökosystems von Bitcoin, um zu testen, ob andere weit verbreitete Wallets und Code-Bibliotheken ähnliche Schwachstellen aufweisen wie die, die den Coldcard-Nutzern zum Verhängnis wurde.

Sechzehn Sicherheitsforscher durchforsteten 27,5 Stunden lang 390 Open-Source-Bitcoin-Repositories und kombinierten dabei eine durch künstliche Intelligenz (KI) unterstützte Analyse mit manueller Überprüfung. Das Team meldete insgesamt 4.962 Sicherheitsbefunde, darunter 85 als „kritisch“ eingestufte und 635 mit dem Schweregrad „hoch“ (das entspricht durchschnittlich 2,31 Befunden mit hohem oder kritischem Schweregrad pro Forscher und Stunde).

Die Finanzierung des Sprints erfolgte durch Opensats, eine gemeinnützige Organisation, die die Open-Source-Entwicklung von Bitcoin unterstützt und fast 40.000 US-Dollar zur Förderung der Arbeit der Forscher beisteuerte. Calle beschrieb den Zustand der Sicherheit im Ökosystem als „extrem schlecht“.

Analysten, die das Audit in Echtzeit verfolgten, stellten fest, dass bislang nur etwa jeder fünfte Befund unabhängig reproduziert worden war, was zeigt, dass viele der gemeldeten Probleme noch einer Bestätigung bedürfen, bevor Entwickler sich ihrer tatsächlichen Schwere sicher sein können.

Wo sich die Schwachstellen konzentrieren

Datenschutz- und Coinjoin-Tools (Software, die dazu dient, die Spuren von Bitcoin-Transaktionen in der Blockchain zu verschleiern) wiesen die höchste Konzentration schwerwiegender Probleme auf und machten 24 % der kritischen Befunde aus, obwohl sie nur einen geringeren Anteil an der Gesamtzahl der geprüften Projekte ausmachten. Kryptografische Bibliotheken hingegen erzeugten mit 1.101 die größte absolute Anzahl an Befunden, doch nur vergleichsweise geringe 10 % davon wurden als „hochgradig schwerwiegend“ eingestuft, was darauf hindeutet, dass der Code im Allgemeinen ausgereifter ist, obwohl er von den Forschern am intensivsten unter die Lupe genommen wird.

Die meisten der 390 untersuchten Projekte wiesen nur wenige oder gar keine kritischen Probleme auf; die eigentliche Gefahr schien sich auf eine kleinere Gruppe von Tools zu konzentrieren, die sich mit der Generierung privater Schlüssel, der Signierung und datenschutzkonformen Transaktionen befassen – dieselbe Softwarekategorie, die auch die Ursache für den ursprünglichen Coldcard-Ausfall war, der diese gesamte Initiative ins Rollen gebracht hatte.

Der Zeitpunkt dieser Aufdeckung ist von Bedeutung, da die Bitcoin-Community, die auf Selbstverwahrung setzt, in den vergangenen zwei Wochen das Ausmaß der Coldcard-Verluste verarbeitet hat – allein auf kanadische Nutzer entfällt etwa ein Viertel der gestohlenen Gelder.

Die Zukunft muss bewertet werden

Das Bitcoin Red Team hat darauf hingewiesen, dass die Prüfung die erste Phase einer fortlaufenden Initiative und kein einmaliges Ereignis ist. Es ist geplant, den Rückstand an Befunden abzuarbeiten, zu bestätigen, welche Schwachstellen tatsächlich ausnutzbar sind, und die verantwortungsvolle Offenlegung mit den betroffenen Projekten abzustimmen, bevor Details veröffentlicht werden.

Für eine Selbstverwahrungskultur, die noch immer das Ausmaß der Coldcard-Verluste verarbeitet, dient das Audit zugleich als Beweis dafür, dass White-Hat-Forscher mittlerweile in einem Tempo voranschreiten, das dem der Angreifer immer näher kommt.