Über 40 Krypto-Unternehmen schlagen Alarm wegen der Sicherheitslücke bei KI

Das Bitcoin Policy Institute veröffentlichte den offenen Brief mit dem Titel „Defenders Need the Frontier“ am 10. August. Zu den Unterzeichnern gehören Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor sowie Entwickler-Support-Gruppen wie Brink, Chaincode Labs, Btrust, OpenSats und BTCPay Server.

Ein Wettlauf zwischen Angreifern und Verteidigern

Im Mittelpunkt der Forderung steht eine sich wandelnde Realität in der Cybersicherheit. Fortschrittliche KI-Systeme können riesige Mengen an Computercode scannen, mögliche Schwachstellen identifizieren und Forschern dabei helfen, zu testen, ob eine Schwachstelle ausgenutzt werden kann.

Dadurch können Sicherheitsüberprüfungen schneller und gründlicher durchgeführt werden. Gleichzeitig können Angriffe kostengünstiger und leichter skalierbar werden. Diese Meldung folgt auf den jüngsten Sicherheitsvorfall bei Coldcard, bei dem der Verdacht bestand, dass KI die Schwachstelle in der Firmware der Hardware-Wallet entdeckt hatte, bevor es zu einem Sicherheitsvorfall kam.

Die Koalition erklärt, dass große KI-Labore und eine kleine Gruppe ausgewählter Partner oft frühzeitig Einblick in diese Fähigkeiten erhalten, während die Entwickler weit verbreiteter Open-Source-Finanzsoftware davon ausgeschlossen sind. Bis leistungsfähigere Tools allgemein verfügbar sind, so argumentiert der Brief, könnten Angreifer bereits Wege gefunden haben, auf vergleichbare Fähigkeiten zuzugreifen, diese zu kopieren oder selbst zu entwickeln.

„Frontier-KI verändert die wirtschaftlichen Rahmenbedingungen sowohl der Sicherheitsforschung als auch der Cyberoperationen“, heißt es in dem Brief. Er warnt davor, dass Verteidiger häufig auf Sicherheitsbeschränkungen stoßen, wenn sie versuchen, öffentliche KI-Produkte für legitime Forschungszwecke zu nutzen, sodass sie „bei kritischen Sicherheitsüberprüfungen auf weniger leistungsfähige Open-Source-Alternativen zurückgreifen müssen“.

Open-Source-Modelle sind KI-Systeme, deren zugrunde liegende Software von externen Entwicklern heruntergeladen und angepasst werden kann. Sie können nützlich sein, doch laut der Koalition erreichen sie möglicherweise nicht das Niveau der leistungsstärksten Modelle, die von großen Forschungslabors bereitgestellt werden. Dieser Unterschied ist von Bedeutung, wenn ein kleines Team komplexe Software überprüfen muss, die mit echtem Geld umgeht.

Was auf dem Spiel steht

Allein Bitcoin sichert laut dem Brief einen Wert von mehr als 1 Billion US-Dollar. Das gesamte System digitaler Vermögenswerte ist zudem auf Open-Source-Software für Wallets, kryptografische Bibliotheken, Zahlungsabwickler, Börsen, Verwahrungsdienste und Lightning-Network-Tools angewiesen.

Ein Fehler in einem dieser Bereiche kann schwerwiegende Folgen haben. Digitale Vermögenswerte funktionieren oft wie Inhaberpapiere: Die Kontrolle über die kryptografischen Zugangsdaten kann die Kontrolle über die Gelder bedeuten. Sobald Geld transferiert wurde, kann eine Rückforderung schwierig oder unmöglich sein.

Daher ist eine schnelle Erkennung besonders wichtig für Verbraucher, die Ersparnisse halten, für Händler, die Bitcoin-Zahlungen akzeptieren, und für Unternehmen, die Kundenvermögen verwahren. Die Koalition argumentiert, dass Sicherheitslücken nicht nur Softwaresysteme, sondern auch Altersvorsorgekonten, Unternehmensgelder, Notfallersparnisse und institutionelles Kapital gefährden können.

In dem Schreiben heißt es, dass die Belastung bei kleinen Wartungsteams bereits spürbar sei. Dem Bitcoin Policy Institute seien Berichte zugegangen, wonach raffinierte Akteure, darunter möglicherweise ausländische Gegner, fortschrittliche KI-Fähigkeiten einsetzen, um den Druck auf Open-Source-Entwickler aufrechtzuerhalten. Selbst erfolglose Angriffe können Zeit und Geld kosten, die die Entwickler sonst für die Verbesserung ihrer Software aufwenden würden.

Ein kürzlich durchgeführtes Audit zeigte die defensive Stärke der KI

Die Initiative folgt auf ein Anfang August gestartetes Freiwilligenprojekt namens „Bitcoin Red Team“, bei dem KI-gestützte Tools zur Prüfung von Bitcoin-bezogenem Code eingesetzt wurden. Zu den Teilnehmern gehörten der Cashu-Entwickler Calle und Rob Hamilton, CEO von Anchorwatch.

In einem frühen, auf X veröffentlichten Überblick überprüfte die Gruppe 390 Projekte in etwa 27,5 Stunden und meldete rund 4.962 Befunde. Darunter befanden sich Dutzende, die als kritisch eingestuft wurden, sowie Hunderte, die als schwerwiegend galten. Das Team nutzte mehrere KI-Systeme, darunter „Kimi K3“ von Moonshot, Systeme von OpenAI sowie Varianten von „Claude“ von Anthropic, während Opensats dazu beitrug, die Rechenkosten in Höhe von mehreren Zehntausend Dollar zu finanzieren.

Solche Befunde sind nicht automatisch bestätigte Sicherheitslücken. Von KI generierte Berichte müssen weiterhin von erfahrenen Fachleuten überprüft, hinsichtlich ihres Schweregrads bewertet und die Behebung koordiniert werden. Doch der Umfang des Vorhabens zeigte, wie schnell KI Sicherheitsforschern dabei helfen kann, komplexen Code zu durchforsten, dessen Untersuchung andernfalls viel länger dauern würde.

Die Koalition erklärt, dass Zugangsbeschränkungen die Gruppe dazu zwangen, sich bei ihrer anfänglichen Arbeit stark auf verfügbare Modelle zu verlassen. Ihr übergeordnetes Argument lautet, dass qualifizierte Sicherheitsfachleute in der Lage sein sollten, die leistungsfähigsten Systeme zu nutzen, bevor diese zu gängigen Werkzeugen für Kriminelle oder feindlich gesinnte Regierungen werden.

Ein echter Sicherheitsvorfall erhöhte den Einsatz

Die Debatte gewann an Dringlichkeit, nachdem BTCPay Server eine kritische Schwachstelle bekanntgab, die Versionen vor 2.4.2 betraf. BTCPay ist eine Open-Source-Software, die Händlern hilft, Bitcoin-Zahlungen zu akzeptieren.

Die Sicherheitslücke könnte es einem nicht authentifizierten Angreifer aus der Ferne ermöglichen, an sensible Administrator-Zugangsdaten für LND zu gelangen – eine häufig verwendete Implementierung des Lightning-Netzwerks. Diese Zugangsdaten könnten einem Angreifer die Kontrolle über verbundene Wallets verschaffen und das Abziehen von Geldern ermöglichen. Die Schwachstelle wurde aktiv ausgenutzt, und einige Betreiber meldeten Verluste.

Der Vorfall lieferte ein konkretes Beispiel für die Argumentation des Schreibens. Mitglieder des Bitcoin Red Teams halfen bei der Analyse des Problems, während der Entwickler der Sparrow Wallet, Craig Raw, laut dem Quellbericht eine Schlüsselrolle bei der Identifizierung der Schwachstelle spielte, nachdem er selbst davon betroffen war. BTCPay erklärte, dass KI das Kräfteverhältnis zwischen Angreifern und Verteidigern verändert, indem sie die Kosten für die Überprüfung großer Codebasen senkt.

Die Koalition fordert keine öffentliche Freigabe

Die Unterzeichner fordern keinen uneingeschränkten öffentlichen Zugang zu den leistungsfähigsten KI-Modellen im Cyberbereich. Stattdessen wünschen sie sich dauerhafte Programme für vertrauenswürdigen Zugang für Personen und Gruppen, die legitime Sicherheitsverantwortlichkeiten nachweisen können.

Die von ihnen vorgeschlagenen Programme würden einen frühzeitigen, kontrollierten Zugang zu fortschrittlichen Modellen bieten, gegebenenfalls auch zu Vorabversionen. Außerdem fordern sie ausreichende Rechenkapazität für lang andauernde KI-Aufgaben, sichere Umgebungen zur Überprüfung von privatem oder unter Embargo stehendem Code sowie direkte Kommunikationskanäle zu den Sicherheitsteams der Forschungslabore.

In dem Brief werden die Labore ausdrücklich gebeten, die Teilnahmeberechtigung nicht auf große Unternehmen und Regierungen zu beschränken. Kleine gemeinnützige Organisationen, unabhängige Betreuer und ehrenamtliche Entwickler schützen oft Software, die von Millionen von Menschen genutzt wird, heißt es darin, verfügen jedoch möglicherweise nicht über die Ressourcen oder institutionellen Verbindungen, die für die Teilnahme an bestehenden Programmen erforderlich sind.

„Die Verteidiger brauchen die Pionierarbeit“, heißt es abschließend in dem Brief. „Bitte geben Sie ihnen einen fairen Vorsprung.“ Wie es weitergeht, hängt davon ab, ob führende KI-Labore ihre spezialisierten Zugangsprogramme für Cybersicherheit ausweiten und ob sie Open-Source-Finanzinfrastruktur in ihre Teilnahmebedingungen aufnehmen. Der Brief steht weiterhin für weitere Unterschriften offen, und Bitcoin-Nutzer, Händler und Investoren sollten die Reaktionen der Labore, neue Prüfungsergebnisse und weitere Veröffentlichungen von Softwareprojekten im Auge behalten, die auf KI-gestützte Sicherheitsüberprüfungen setzen.