Bitcoin Core macht per KI gefundene Bugs sofort öffentlich
Die Offenlegung folgt auf einen KI-Scan, der drei Schwachstellen gefunden hat, darunter einen Absturz unter Windows, macOS und BSD. Bitcoin Core passt seine Meldepolitik an, um schneller zu patchen und zu veröffentlichen.
Wichtigste Erkenntnisse
- Bitcoin Core hat drei Sicherheitslücken öffentlich gemacht, die durch einen KI-Scan im Code gefunden wurden.
- Ein Fehler konnte Bitcoin-Nodes unter Windows, macOS und BSD durch einen Speicherüberlauf zum Absturz bringen.
- Das Projekt passt seine Politik an und meldet leicht auffindbare Bugs nun so schnell wie möglich öffentlich.
Bitcoin Core hat drei Sicherheitslücken öffentlich gemacht, die durch einen KI-Scan gefunden wurden, darunter einen Fehler, durch den Bitcoin-Nodes unter Windows und Mac abstürzen konnten. Der Schritt zeigt, wie schnell KI inzwischen Schwachstellen in Open-Source-Software aufspüren kann und wie Bitcoin Core darauf seine Sicherheitsrichtlinien anpasst.
Node-Absturz unter Windows und Mac
Der erste Fehler wurde am 23. Oktober durch einen KI-Scan entdeckt. Ein Computer, der sich mit einem Bitcoin-Node unter Windows, macOS oder BSD verband, konnte diesen Node mit Daten überfluten, bis der Speicher voll lief und das System abstürzte. Entwickler bestätigten die Lücke noch am selben Tag, veröffentlichten am 27. Oktober einen Fix und machten die Details am Mittwoch öffentlich.
Ein Node ist die Software, die jede Bitcoin-Transaktion überprüft und weiterleitet. Bitcoin Core ist das Programm, das die meisten Nodes ausführen. Bis vorige Woche hielt das Projekt mittel schwere Bugs wie diesen oft bis zu einem Jahr zurück, damit Betreiber Zeit hatten, zu aktualisieren, bevor Angreifer die Schwachstelle ausnutzen konnten. Auch bei Core Lightning führten KI-getriebene Bug-Funde bereits zu einer beschleunigten Warnung für Betreiber.
Neue Regeln für schnelle Meldungen
Dieser Ansatz änderte sich am 22. Oktober für Bugs, die Bitcoin Core als leicht auffindbar einstuft. Laut dem Projekt werden solche Fehler nun so schnell wie möglich in allen unterstützten Versionen gepatcht, mit einer sofortigen öffentlichen Meldung dazu. Das passt zu einem breiteren Trend in der Cybersicherheit, in dem KI immer häufiger genutzt wird, um Schwachstellen schneller aufzuspüren und zu melden.
Alle drei Bugs stammten aus einem automatisierten Scan, der ein Large Language Model nutzte, um den Code von Bitcoin Core zu prüfen. Danach kontrollierte ein menschlicher Mitwirkender jeden Fund, bevor er an das Sicherheitsteam ging. Das ist für Nutzer relevant, weil eine schnellere Veröffentlichung auch bedeutet, dass Updates und Kontrollprozesse enger aufeinanderfolgen.
Weitere Fehler folgen noch
Der zweite Bug zeigt, warum das Projekt die Regeln angepasst hat. Ein verbundener Node konnte so tun, als würde er eine ältere Version des Protokolls ausführen, und danach abstürzen. Nachrichten sammelten sich im Speicher des Opfers an, bis zu 2 MB pro Stunde für jede eingehende Verbindung und 5 MB pro Stunde für jede ausgehende Verbindung.
Der dritte Bug erhielt eine niedrige Schwerebewertung. Ein Miner konnte Blöcke erzeugen, die die Dateien für eine Reorganisation überlaufen lassen, also den Moment, in dem das Netzwerk ein paar jüngste Blöcke durch einen konkurrierenden Satz ersetzt. Auf 64-Bit-Maschinen würde ein solcher Angriff ungefähr einen Monat an vollständiger Blockproduktion des Netzwerks kosten. Unter Windows und auf 32-Bit-Systemen kann der Node sofort ausfallen, und ein Neustart hilft dann nicht. Nodes auf 32-Bit-Maschinen oder mit Blöcken auf älteren FAT32-Festplatten bleiben auch nach dem Fix verwundbar.
In den Release-Notes steht außerdem, dass noch drei mittel schwere und schwere Bugs in Version 30.0 in zwei Wochen öffentlich gemacht werden.
