Bitcoin Red Team zet AI in voordat hackers wallets raken
AI kan softwarelekken sneller vinden dan veel ontwikkelteams ze handmatig kunnen beoordelen. Een groep Bitcoin-ontwikkelaars draait die dreiging daarom om: laat de AI eerst aanvallen, voordat een hacker hetzelfde doet.
Het zogeheten Bitcoin Red Team scant wallets, cryptografische software en andere projecten rond Bitcoin op zwakke plekken. Daarbij is één onderscheid belangrijk: het team zegt tot dusver geen kwetsbaarheid in Bitcoin zelf te hebben gevonden.
Bitcoin Red Team jaagt op fouten rond het protocol
Het Bitcoin Red Team bestaat uit een groeiende groep vrijwillige developers en securityonderzoekers.
Bitcoin-ontwikkelaar Calle, bekend van onder meer het Cashu-project, behoort tot de betrokken onderzoekers. De groep richt zich op open-sourcecode die gebruikers daadwerkelijk nodig hebben om met Bitcoin te werken.
Denk aan wallets, libraries, betalingssoftware en andere tools.
Dat is een andere laag dan Bitcoin zelf.
Een fout in een wallet maakt het Bitcoin-protocol niet kapot. Voor een gebruiker die door die fout zijn private keys verliest, maakt dat onderscheid financieel alleen weinig uit.
AI verlaagt de technische drempel voor aanvallers
Daar zit de aanleiding voor de nieuwe aanpak.
Moderne AI-modellen kunnen grote hoeveelheden broncode analyseren en verdachte functies aanwijzen. Ze kunnen daarna ook helpen uitzoeken onder welke omstandigheden zo'n fout daadwerkelijk kan worden misbruikt.
Werk waarvoor vroeger veel specialistische programmeerkennis nodig was, wordt daarmee toegankelijker.
Calle waarschuwt dat vooral relatief eenvoudige exploits steeds verder geautomatiseerd kunnen worden.
Een aanvaller hoeft dan niet meer ieder onderdeel zelf te begrijpen. Een AI-agent kan code lezen, hypothesen testen en delen van een aanval voorbereiden.
CryptoBenelux beschreef eerder dezelfde machtsverschuiving bij AI-gedreven aanvallen op crypto en wallets.
Het Red Team kiest daarom voor dezelfde machines.
Alleen met omgekeerd doel.
Bijna 5.000 meldingen in eerste grote scanslag
De schaal daarvan werd begin augustus zichtbaar.
Tijdens een vroege auditsprint registreerde het team 4.962 mogelijke securitybevindingen verspreid over 390 Bitcoin-gerelateerde projecten. Daarvan kregen 85 aanvankelijk het label kritiek en 635 het label hoog.
Dat zijn nadrukkelijk geen 4.962 bewezen, exploiteerbare kwetsbaarheden.
AI kan verdachte code aanwijzen die na onderzoek onschuldig blijkt. Een automatische classificatie als ‘kritiek’ is daarom pas het begin van het proces.
Onderzoekers moeten een probleem reproduceren, de aanvalsvector controleren en vervolgens vaststellen welke schade werkelijk mogelijk is.
Een AI-scan kan duizenden alarmen produceren. De waarde ontstaat pas wanneer mensen bepalen welke daarvan echt brand betekenen.
Precies daarom blijft handmatige verificatie onderdeel van het Bitcoin Red Team.
Coldcard-hack zette beveiliging op scherp
De scans kregen extra vaart na het grote beveiligingsincident rond Coldcard.
Een fout in oudere firmware zorgde ervoor dat sommige apparaten seeds met veel minder willekeur konden genereren dan bedoeld. Daardoor konden bepaalde private keys buiten het apparaat worden achterhaald.
Blockchainanalysebedrijf TRM Labs reconstrueerde de Coldcard-aanval en kwam begin augustus uit op ongeveer 1.816 gestolen BTC, destijds circa $116 miljoen. Meer dan 5.200 adressen waren volgens die analyse geraakt.
Het probleem zat niet in de beveiliging van de Bitcoin-blockchain.
Het zat in de manier waarop walletsoftware geheime sleutels genereerde.
Dat is precies het type fout waarop het Red Team jaagt.
Firmware-update alleen redt oude wallets niet
Coldcard heeft de kwetsbare seedgeneratie inmiddels gerepareerd.
De officiële veiligheidsstatus van Coldcard meldt dat vaste firmware beschikbaar is voor alle ondersteunde modellen. Maar een update herstelt geen seed die eerder al met zwakke randomness werd aangemaakt.
Gebruikers met een getroffen seed moeten volgens Coldcard een nieuwe seed genereren en hun Bitcoin verplaatsen.
Dat laat zien waarom security rond een crypto-wallet zo gevoelig is.
De blockchain kan perfect blijven functioneren terwijl de software waarmee een gebruiker zijn sleutels beheert fataal faalt.
Open source wordt tegelijk voordeel en risico
Bitcoinsoftware is vaak open source.
Iedereen kan de code bekijken.
Dat helpt ontwikkelaars fouten te vinden en onafhankelijke controles uit te voeren. Maar aanvallers kunnen exact dezelfde repositories downloaden en door een AI-model laten analyseren.
Het oude voordeel van een obscuur stukje ingewikkelde code wordt daardoor kleiner.
Een mens kan honderdduizenden regels broncode overslaan omdat inspectie te veel tijd kost. Een machine heeft dat probleem veel minder.
Calle stelt dat het team inmiddels een groot deel van het relevante open-source-ecosysteem rond Bitcoin aan een eerste scan heeft onderworpen.
Projecten kunnen zelf om onderzoek vragen. Het team kiest daarnaast software uit waarvan de beveiliging belangrijk genoeg wordt gevonden om proactief te controleren.
Vijfduizend meldingen creëren ook een nieuw probleem
Die enorme scansnelheid heeft een prijs.
Een ontwikkelaar kan weinig met honderden automatische meldingen wanneer niemand weet welke eerst moet worden opgelost.
AI verandert daardoor de flessenhals.
Vroeger kostte het vooral tijd om fouten te vinden. Nu kan de moeilijkste stap het beoordelen en repareren van al die meldingen worden.
Verantwoord openbaar maken wordt daarbij belangrijk.
Een onderzoeker die een ernstig walletlek meteen op sociale media publiceert, kan aanvallers precies vertellen waar ze moeten zoeken voordat gebruikers een update hebben gekregen.
Het Bitcoin Red Team deelt serieuze bevindingen daarom eerst met de betreffende ontwikkelaars.
Ook Coldcard vraagt securityonderzoekers via zijn responsible-disclosureprocedure om gevoelige exploitdetails privé te houden totdat onderzoek en herstel hebben plaatsgevonden.
Chinese AI-modellen krijgen opvallende rol
Een opvallend onderdeel van de aanpak is welke AI-modellen de onderzoekers gebruiken.
Volgens Calle grijpt het Red Team voor bepaalde securitytaken relatief vaak naar Chinese modellen.
Niet noodzakelijk omdat Amerikaanse systemen technisch zwakker zijn.
Het probleem zit volgens hem soms in veiligheidsbeperkingen. Een model kan een vraag over het misbruiken van code blokkeren, ook wanneer een legitieme onderzoeker juist probeert te begrijpen hoe een gevonden kwetsbaarheid werkt.
Chinese modellen zouden dergelijke verzoeken minder snel weigeren.
Dat creëert een vreemde wedloop.
Strenge beveiligingsfilters moeten voorkomen dat AI hackers helpt. Maar dezelfde filters kunnen verdedigers hinderen die een exploit moeten reproduceren voordat ze hem kunnen repareren.
De aanval hoeft niet meer volledig door mensen te worden gebouwd
De grotere dreiging zit daarom niet bij één specifiek model.
Het probleem is dat offensieve securitykennis goedkoper wordt.
Een aanvaller kan AI code laten samenvatten, invoerpunten laten zoeken en mogelijke fouten laten vergelijken. Daarna kan software helpen bij het schrijven en testen van proof-of-conceptcode.
Dat betekent nog niet dat iedere willekeurige gebruiker morgen een complexe Bitcoin-wallet kan kraken.
Maar de ondergrens voor benodigde kennis zakt wel.
En zodra één werkende methode is gevonden, kan automatisering de schaal verder vergroten.
Bitcoin zelf blijft een ander veiligheidsvraagstuk
Het is belangrijk dat de bijna 5.000 bevindingen niet worden vertaald naar “Bitcoin heeft 5.000 kwetsbaarheden”.
Dat klopt niet.
Het Red Team kijkt naar een veel breder software-ecosysteem.
Bitcoin Core, hardwarewallets, Lightning-toepassingen, cryptografische libraries en betalingssoftware hebben verschillende codebases en verschillende beveiligingsmodellen.
Een ernstige fout in één project betekent niet automatisch dat de blockchain of het consensusmechanisme van Bitcoin is gebroken.
Maar gebruikers raken Bitcoin vrijwel altijd via software.
Daarom kan een fout buiten het protocol alsnog rechtstreeks geld kosten.
AI maakt obscure code minder veilig door obscuriteit
Daarmee verandert security structureel.
Een obscure functie die jarenlang nauwelijks iemand bestudeerde, kan nu binnen minuten door verschillende modellen worden beoordeeld.
Een vergeten repository kan opnieuw worden geopend.
Een library die al jaren zonder actieve onderhouders draait, kan door een machine worden afgezocht naar zwakke plekken die menselijke reviewers nooit zagen.
Voor ontwikkelaars betekent dat dat “niemand heeft het tot nu toe gevonden” een steeds zwakker veiligheidsargument wordt.
CryptoBenelux beschreef eerder waarom AI-wallets daarom harde veiligheidsgrenzen nodig krijgen.
Dezelfde logica geldt voor softwareontwikkeling.
Ga ervan uit dat de aanvaller dezelfde AI heeft.
De echte race gaat om wie de fout als eerste vindt
Het Bitcoin Red Team kan niet garanderen dat iedere bug vóór criminelen wordt gevonden.
Geen enkel securityteam kan dat.
Maar AI verandert wel de snelheid waarmee beide kanten kunnen zoeken.
Daarom wordt proactief red teaming belangrijker. Open-sourceprojecten hoeven niet te wachten totdat een aanvaller bewijst dat een kwetsbaarheid bestaat door geld te stelen.
Ze kunnen hun eigen code eerst aanvallen.
De bijna 5.000 eerste bevindingen zijn daarbij minder belangrijk dan wat daarna gebeurt.
Niet hoeveel fouten AI kan aanwijzen bepaalt of Bitcoinsoftware veiliger wordt. Het telt hoeveel echte fouten ontwikkelaars repareren voordat de andere kant dezelfde AI erop loslaat.
Stop met te veel betalen voor je crypto. Bij de Amsterdamse exchange Finst handel je tegen de laagste tarieven van Nederland, zonder verborgen kosten.
👀 Bekijk Finst nu ›Let op: Beleggen in crypto brengt risico’s met zich mee. Handel alleen met geld dat u kunt missen.
Ga verder met lezen
Dit vind je misschien ook leuk
Laat mensen jouw mening weten
Lees ook
Populair Nieuws
Loading
