Bit­co­in-Hack offen­bart gefähr­li­che Gren­zen von KI-Sicher­heits­prü­fun­gen

Bei einem schwe­ren Angriff auf Cold­card-Hard­ware-Wal­lets des kana­di­schen Her­stel­lers Coin­ki­te wur­den laut Schät­zun­gen von Gala­xy Rese­arch rund 130 Mil­lio­nen US-Dol­lar bezie­hungs­wei­se etwa 2.000 Bit­co­in ent­wen­det. Betrof­fen waren Tau­sen­de Wal­let-Adres­sen.

Der zen­tra­le Punkt: KI-gestütz­te Code­prü­fun­gen erkann­ten die aus­ge­nutz­te Schwach­stel­le nicht. Coin­ki­te hat­te sei­ne sicher­heits­kri­ti­schen Code­ba­sen bereits vor dem Angriff mit KI prü­fen las­sen. Auch nach­träg­li­che Tests mit meh­re­ren füh­ren­den KI-Model­len fan­den den Feh­ler nicht.

Die Schwach­stel­le lag offen­bar nicht in der eigent­li­chen kryp­to­gra­fi­schen Logik oder im Haupt­code, son­dern an der Schnitt­stel­le zwi­schen zwei Soft­ware­kom­po­nen­ten inner­halb der Firm­ware. Sol­che Build‑, Abhän­gig­keits- und Sub­mo­dul­gren­zen wer­den bei klas­si­schen und KI-gestütz­ten Reviews offen­bar leich­ter über­se­hen.

Coin­ki­te warnt des­halb die gesam­te Bit­co­in-Bran­che:

• KI-Reviews dür­fen nicht als aus­rei­chen­der Sicher­heits­nach­weis gel­ten.
• Unter­neh­men soll­ten ins­be­son­de­re Kom­po­nen­ten­über­gän­ge, Build-Pro­zes­se und Sub­mo­du­le gezielt prü­fen.
• Auch Open-Source-Pro­jek­te soll­ten ihre sicher­heits­kri­ti­schen Sys­te­me kurz­fris­tig erneut audi­tie­ren.

Der Angriff erschüt­tert zudem das Ver­trau­en in Self-Cus­t­ody und Hard­ware-Wal­lets, die bis­lang als eine der sichers­ten Auf­be­wah­rungs­for­men für Kryp­to­wäh­run­gen gel­ten. Bran­chen­ver­tre­ter war­nen, dass ein ein­zel­ner tech­ni­scher Feh­ler das Ver­trau­en in das gesam­te Modell lang­fris­tig beschä­di­gen könn­te.

KI kann Sicher­heits­prü­fun­gen unter­stüt­zen, ersetzt aber kei­ne sys­te­ma­ti­sche Archi­tek­tur­prü­fung, manu­el­le Audits und geziel­te Tests an den Über­gän­gen zwi­schen Soft­ware­kom­po­nen­ten.