Bitcoin Red Team meldet 4.962 KI-Funde – doch die menschliche Prüfung wird zum Engpass

Die KI-gestützte Sicherheitsprüfung im Bitcoin-Ökosystem hat eine neue Größenordnung erreicht. In einem Sprint im August 2026 meldete die ehrenamtliche Bitcoin Red Team nach eigenen Angaben 4.962 potenzielle Sicherheitsbefunde in rund 390 Bitcoin-bezogenen Repositories – und das nach etwa 27,5 Stunden. 85 Befunde wurden als kritisch, 635 als schwerwiegend klassifiziert. Entscheidend ist jedoch: Das sind Hinweise zur Prüfung, nicht 4.962 bestätigte und ausnutzbare Sicherheitslücken. 1124

Was die Bitcoin Red Team gemacht hat

Die 16-köpfige Gruppe um den Entwickler Calle und den AnchorWatch-Chef Rob Hamilton nutzte laut Berichten einen von Menschen gesteuerten Workflow mit mehreren KI-Modellen. Mehr als 40.000 US-Dollar an von OpenSats finanzierten KI-Rechenkosten sollen dafür eingesetzt worden sein. Die Modelle untersuchten Codebasen auf auffällige Abläufe und mögliche Schwachstellen; Menschen lenkten die Prüfung und bereiteten Meldungen für die jeweiligen Maintainer vor. Genannt wurden unter anderem Kimi K3, GPT Sol, Fable, Opus und GLM 5.2. 2512

Der Umfang war für eine kurze freiwillige Aktion ungewöhnlich: etwa 390 Repositories und ein Prüfwerkzeug, das nach Angaben der Berichte 171.599 Codezeilen umfasste. Nach der eigenen Schweregrad-Einstufung der Gruppe fielen 720 Meldungen in die Kategorien hoch oder kritisch. 2327

Das zeigt vor allem einen Wandel bei der Wirtschaftlichkeit von Code-Audits. Ein Modell kann große Codebestände schnell nach riskanten Mustern durchsuchen, mögliche Datenflüsse nachvollziehen und Testfälle oder Angriffshypothesen vorschlagen. Aus einem verdächtigen Fund wird dadurch aber noch kein belastbarer Sicherheitsbericht.

Warum 4.962 Funde keine Vulnerability-Zahl sind

Die Zahl 4.962 sollte als Warteschlange potenzieller Befunde gelesen werden. In frühen Berichten waren erst 21,4 % der Meldungen unabhängig reproduziert worden. Für die übrigen musste also noch geklärt werden, ob das geschilderte Verhalten in der relevanten Build- und Konfigurationsumgebung tatsächlich auftritt, ob es ausnutzbar ist, ob es eine Doppelmeldung gibt und welcher Schweregrad gerechtfertigt ist. 1115

Eine vollständige Sicherheitsreaktion umfasst typischerweise mehrere aufwendige Schritte:

• Verhalten in der realen Softwareumgebung reproduzieren;
• echte Schwachstellen von Fehlalarmen und Duplikaten trennen;
• Ausnutzbarkeit und Auswirkungen für Nutzer bewerten;
• die vertrauliche Offenlegung mit Maintainern koordinieren;
• einen möglichst eng begrenzten Patch samt Tests schreiben;
• Änderungen auf Nebenwirkungen prüfen; und
• Updates an Betreiber und Nutzer ausrollen.

KI hat die erste Stufe – das Erzeugen von Hinweisen – deutlich billiger gemacht. Sie ersetzt aber nicht die fachliche Verantwortung in den nachfolgenden Schritten. Berichten zufolge war zudem nur ein Teil der Befunde bereits an Maintainer weitergeleitet worden. Auch die Kapazität für verantwortungsvolle Offenlegung ist damit ein Engpass. 14

Der Coldcard-Vorfall machte das Risiko greifbar

Dem Audit ging der Vorfall mit der Coldcard-Hardware-Wallet voraus. Ein Firmwarefehler aus März 2021 leitete die Seed-Erzeugung Berichten zufolge über einen vorhersehbaren Software-Zufallsgenerator statt über den vorgesehenen Hardware-Zufallszahlengenerator. Dadurch konnten betroffene Schlüssel für Angreifer reproduzierbar werden, wenn sie die notwendigen Eingaben ausreichend eingrenzen konnten. 4245

Die gemeldeten Schadenssummen stiegen, als weitere Aktivitäten identifiziert wurden. CoinDesk berichtete über einen möglichen Gesamtverlust von knapp 114 Millionen US-Dollar in vier Wellen; andere Berichte nannten rund 1.816 BTC, die zwischen dem 30. Juli und dem 3. August entwendet worden seien. 4142

Die Lehre daraus ist nicht, dass Bitcoins Kernkryptografie versagt hätte. Vielmehr kann ein Fehler in der Software rund um die Selbstverwahrung Folgen in großem Maßstab haben. Gefährliche Fehler vor ihrer Ausnutzung zu finden, ist mindestens so wichtig wie ihre Analyse im Nachhinein.

Ein erster Patch – und was die Rohzahl verschleiert

Ein konkretes Ergebnis war laut Berichten ein KI-gestützter Beitrag Hamiltons zu Bitcoin Core, der am 20. August übernommen wurde und einen Wallet-bezogenen Absturzfehler behob. Das ist ein relevantes Beispiel dafür, dass ein durch KI unterstützter Hinweis den klassischen Prozess aus Prüfung, Code-Review und Merge durchlaufen kann. 13

Gerade daran wird aber deutlich, warum die Schlagzeilenzahl nicht mit einer Zahl fertig behobener Probleme verwechselt werden darf. Ein integrierter Fix hat eine wesentlich höhere Hürde genommen als ein automatisch erstellter Bericht: Das Problem ist eingegrenzt, der Patch geprüft und die Änderung in einer gepflegten Codebasis akzeptiert.

OpenAI-Beschränkungen als Dilemma für Verteidiger

Hamilton erklärte, das Trust-Cyber-Programm von OpenAI habe seinen Zugriff eingeschränkt, nachdem er Cyberfähigkeiten des Anbieters in das Audit eingebunden hatte. Laut Berichten setzte die Gruppe ihre Arbeit anschließend mit alternativen, teils offen verfügbaren Modellen fort. 182132

Dahinter steht eine schwierige Grundsatzfrage: Leistungsfähige Cybermodelle können legitimen Verteidigern helfen, Schwachstellen zu entdecken – dieselben Fähigkeiten lassen sich aber missbrauchen. Hamiltons Kritik lautet, dass Reibung für bekannte Verteidiger ein praktisches Ungleichgewicht schaffen könne, wenn Angreifern andere Modelle oder lokal ausführbare Modellgewichte weiterhin zur Verfügung stehen. Das ist ein Argument über Zugang und operative Geschwindigkeit; es belegt nicht, dass Beschränkungen eines einzelnen Anbieters Sicherheitsforschung oder Missbrauch insgesamt verhindern. 21

Boltz zeigt den Druck auf kleine Teams

Der Bitcoin-Swapdienst Boltz setzte seine Swaps im August auf unbestimmte Zeit aus. Das Unternehmen begründete dies mit einem Anstieg automatisierter, KI-gestützter Tests und Angriffsversuche, der die Möglichkeiten seines kleinen Teams zur Absicherung und Bereitstellung von Fehlerbehebungen überfordert habe. Die Rückerstattungsfunktion blieb nach Angaben des Dienstes verfügbar, während Swaps deaktiviert wurden. 282930

Boltz ist kein Beleg dafür, dass jeder KI-generierte Angriff besonders ausgefeilt oder erfolgreich ist. Der Fall veranschaulicht jedoch den zentralen Unterschied, den auch das Audit sichtbar macht: Automatisierte Suche und Erprobung können kontinuierlich laufen. Kleine Maintainer-Teams müssen dagegen jede Warnung untersuchen und jede Gegenmaßnahme sicher ausliefern.

Warum stärkere Modelle die Risikorechnung verändern

Bitcoin und viele Dienste in seinem Umfeld sind weitgehend Open Source. Öffentlicher Code ermöglicht unabhängige Prüfung und Transparenz, verschafft Verteidigern und Angreifern aber Zugang zu demselben Softwarebestand. Die von Hamilton und dem Bitcoin-Kommentator CobraBitcoin geäußerte Sorge lautet nicht, Open Source sei grundsätzlich unsicher. Vielmehr könnten leistungsfähigere Modelle die nötige Zeit und Expertise reduzieren, um ungewöhnliche Fehler in Hunderten Repositories aufzuspüren. 1721

OpenAI erklärt, GPT-6 Astra erreiche in seinem Preparedness Framework die Cybersecurity-Fähigkeitsstufe „Critical“. Mit den passenden Werkzeugen und Zugriffsrechten könne das Modell zuvor unbekannte Schwachstellen finden und Wege zu ihrer Ausnutzung über viele gut geschützte Systeme hinweg entwickeln, ohne dass ein Mensch jeden Schritt anleite. 1922

Diese Aussage belegt weder, dass Astra beim Audit der Bitcoin Red Team eingesetzt wurde, noch dass ein Spitzenmodell einen Bitcoin-Kompromittierungsfall verursacht hätte. Sie erklärt aber, warum Maintainer auf die Geschwindigkeit fokussieren: Verbessern sich Modelle beim Denken über ganze Repositories und bei der Entwicklung von Exploit-Hypothesen, verlagert sich der Engpass vom Finden möglicher Fehler zum schnellen Beweisen, Beheben und Ausrollen der wichtigen Korrekturen.

Die eigentliche Investition: Kapazität zur Verifikation

Der Sprint der Bitcoin Red Team ist vor allem eine Warnung über Durchsatz. Sicherheitsökosysteme können inzwischen in kurzer Zeit Tausende plausible Hinweise erzeugen. Widerstandsfähig sind sie nur, wenn sie unabhängige Reproduktion, sichere Meldewege, Zeit der Maintainer, Code-Review, Tests und schnelle Updates in vergleichbarer Geschwindigkeit finanzieren können.

Für Bitcoin-nahe Projekte ist die entscheidende Kennzahl daher nicht die größte Zahl KI-generierter Befunde. Entscheidend ist der Anteil der Meldungen, aus denen bestätigte Schwachstellen, verantwortungsvoll koordinierte Patches und tatsächlich ausgerollte Schutzmaßnahmen werden – bevor Angreifer handeln können. 1514