Nach Coldcard-Hack: Tausende Schwachstellen in Bitcoin-Projekten entdeckt

Die Folgen des großen Coldcard-Hacks beschäftigen die Bitcoin-Community weiter. Eine Gruppe von Sicherheitsforschern hat bei einer Eilauditierung fast 5.000 mögliche Schwachstellen in Hunderten Open-Source-Projekten rund um Bitcoin entdeckt.

Viele Hinweise müssen zwar noch bestätigt werden. Die ersten Ergebnisse zeichnen jedoch ein beunruhigendes Bild vom Sicherheitsniveau der Bitcoin-Infrastruktur.

Bitcoin Red Team prüft nach Millionenhack Hunderte Projekte

Die Untersuchung wurde vom freiwilligen Bitcoin Red Team angestoßen, das von Bitcoin-Entwickler Calle und Anchorwatch-CEO Rob Hamilton geleitet wird. Auslöser war der jüngste Hack der Coldcard-Hardware-Wallet, bei dem eine Firmware-Schwachstelle aus dem März 2021 ausgenutzt wurde.

Über die Lücke wurden inzwischen mehr als 1.800 Bitcoin (BTC) im Wert von gut 116 Millionen Dollar aus mehr als 5.200 Wallets langfristiger Anleger gestohlen.

Um zu prüfen, ob ähnliche Schwachstellen auch an anderen Stellen des Bitcoin-Ökosystems vorkommen, nahmen 16 Sicherheitsforscher 390 Open-Source-Projekte rund um Bitcoin unter die Lupe. Dabei setzten sie sowohl KI-gestützte Analysen als auch manuelle Prüfungen ein.

Nach gut 27 Stunden Untersuchung meldete das Team 4.962 mögliche Sicherheitsprobleme. Davon wurden 85 als kritisch und 635 als schwerwiegend eingestuft.

Finanziert wurde die Prüfung von OpenSats, einer gemeinnützigen Organisation zur Unterstützung der Open-Source-Entwicklung im Bitcoin-Bereich. Dafür stellte die Organisation knapp 40.000 Dollar bereit.

Calle zufolge ist der aktuelle Sicherheitszustand im Bitcoin-Ökosystem „extrem schlecht“.

Privacy-Software erweist sich als größter Risikobereich

Die Forscher stellten fest, dass sich die schwerwiegendsten Schwachstellen vor allem auf Software für Datenschutzfunktionen und CoinJoin-Transaktionen konzentrieren. Obwohl diese Kategorie nur einen Teil der untersuchten Projekte ausmacht, entfiel fast ein Viertel aller kritischen Befunde darauf.

Kryptografische Bibliotheken lieferten mit mehr als 1.100 Hinweisen die meisten gefundenen Probleme. Nur ein kleiner Teil davon wurde jedoch als schwerwiegend eingestuft, was darauf hindeutet, dass diese Software insgesamt besser getestet und gepflegt wird.

Nach Einschätzung der Forscher liegen die größten Risiken offenbar bei Software, die für die Erzeugung von Private Keys, das Signieren von Transaktionen und Datenschutzfunktionen zuständig ist. Es handelt sich um dieselben Bereiche, die auch beim Coldcard-Hack eine Rolle spielten.

Noch nicht alle Schwachstellen bestätigt

Die Forscher betonen, dass die Prüfung erst der Beginn eines längeren Prozesses ist. Derzeit sind etwa 20 Prozent der Hinweise unabhängig bestätigt. Die übrigen Befunde müssen noch untersucht werden, um festzustellen, ob sie tatsächlich ausgenutzt werden können.

Das Bitcoin Red Team will die Schwachstellen in den kommenden Wochen weiter verifizieren und die betroffenen Entwickler vertraulich informieren, bevor technische Details öffentlich gemacht werden.

Für die Bitcoin-Community zeigt die Prüfung vor allem, dass die Sicherheit von Open-Source-Software immer wichtiger wird. Zugleich versuchen Sicherheitsforscher, mit dem Tempo Angreifer Schritt zu halten, indem sie Schwachstellen schneller aufspüren, bevor diese ausgenutzt werden können.