Red Team findet 85 kritische Lücken in 390 Bitcoin-Projekten

Nach dem Diebstahl über die Coldcard-Wallets hat eine Gruppe von Sicherheitsforschern begonnen, den Rest des Bitcoin-Ökosystems zu durchleuchten. Das Ergebnis dieses Sprints, abgeschlossen am 5. August 2026, ist beachtlich: In 27,5 Stunden aktiver Zeit wurden 390 Open-Source-Projekte gescannt und 4.962 Befunde eingereicht. Davon gelten 85 als kritisch und 635 als hoch. Sechzehn Freiwillige waren beteiligt, das entspricht 2,31 hohen oder kritischen Befunden pro Person und Stunde.

Ein wichtiger Vorbehalt vorweg: Es geht nicht um das Bitcoin-Protokoll. Es geht um die Schicht darum herum — Bibliotheken, Wallet-Software, Node-Werkzeuge, Zahlungsintegrationen. Genau der Code, durch den die meisten Menschen täglich laufen, ohne darüber nachzudenken.

Wie sie vorgegangen sind

Das Bitcoin Red Team wird von Calle geleitet, Softwareentwickler und Schöpfer von Bitchat, sowie von Rob Hamilton, Chef von Anchorwatch. Die Gruppe baute eine eigene Testumgebung aus 171.599 Codezeilen und ließ damit eine Reihe von KI-Modellen über die Repositories laufen, darunter Kimi K3, GPT Sol, Fable, Opus und GLM5.2. Befunde wurden lokal reproduziert, bevor sie gemeldet wurden — das ist der Unterschied zwischen einem brauchbaren Bericht und einem Berg von Fehlalarmen.

OpenSats, die Stiftung, die Open-Source-Bitcoin-Entwicklung finanziert, übernahm die Kosten: über 40.000 Dollar (rund 35.000 €) an KI-Verbrauch. Zuvor hatte die Gruppe bereits rund 150 Repositories geprüft, mit mehr als zehn vertraulichen Meldungen; dieser Sprint ist die aufskalierte Fassung davon.

Die Meldungen gehen direkt an die Betreuer der betroffenen Projekte, nach den üblichen Regeln der verantwortungsvollen Offenlegung. Eine Liste mit Projektnamen wurde bewusst nicht veröffentlicht. Die Gruppe will die Testumgebung selbst quelloffen machen, damit Unternehmen ihren eigenen geschlossenen Code am gleichen Maßstab messen können.

Die Kehrseite, die dazugehört

Diese Geschichte hat eine unbequeme Seite. Dieselben Modelle, die in gut einem Tag 85 kritische Lücken finden, kann jemand anderes auf denselben Code loslassen, ohne etwas zu melden. Genau davor haben die europäischen Aufsichtsbehörden Ende Juli in ihrer gemeinsamen Erklärung zu KI und IKT-Risiko gewarnt.

Und das Beheben bleibt an den Projekten hängen. Das sind oft Freiwillige oder kleine Teams ohne Budget für eine Sicherheitsrunde. Einen Befund einzureichen kostet inzwischen einen Bruchteil dessen, was seine Behebung kostet, und dieser Abstand ist neu.

Was du davon hast

Mit einer Liste, die du nicht einsehen kannst, lässt sich nichts anfangen, aber deine eigene Aufstellung kannst du durchgehen. Spiel Updates für Wallet-Software, Node-Werkzeuge und Zahlungsintegrationen ein, sobald sie erscheinen, denn die Korrekturen aus dieser Runde kommen in den nächsten Wochen als ganz normale Updates. Schau dabei in die Release Notes: Steht dort etwas zu einem Sicherheitsproblem, ist das das Update, das nicht warten kann.

Nutzt du eine Hardware-Wallet, prüf, ob der Hersteller eine Sicherheitsseite hat und ob dort kürzlich etwas veröffentlicht wurde. Der Coldcard-Vorfall, bei dem nach der On-Chain-Analyse von TRM Labs rund 1.816 Bitcoin (über 116 Millionen Dollar, rund 101,5 Millionen €) aus mehr als 5.200 Adressen verschwanden, ging auf Firmware von 2021 zurück, die jahrelang schlicht in Gebrauch blieb. Alte Firmware ist keine stabile Firmware.

Und die größere Lehre: Dass es 85 kritische Befunde gibt, ist eine bessere Nachricht, als wenn niemand hingeschaut hätte. Die Probleme waren längst da. Neu ist, dass sie jetzt gefunden und gemeldet werden, bevor jemand anderes sie findet.

Quellen: Bitcoin Red Team via Bitcoin Magazine (6. August 2026), Crypto Briefing (6. August 2026), OpenSats, TRM Labs (Coldcard-Analyse, 5. August 2026). Zuletzt geprüft: 7. August 2026.