Goedkope, krachtige AI-modellen hebben het opsporen van softwarefouten binnen handbereik gebracht van vrijwel iedereen, ook van aanvallers. Precies daarom bestaat het Bitcoin Red Team, een groep van zo’n twintig tot vijfentwintig ontwikkelaars die het Bitcoin-ecosysteem afspeurt op kwetsbaarheden voordat kwaadwillenden dat doen. Het is een wapenwedloop, en de verdedigers proberen voorop te blijven.
Kerncijfers
- Bevindingen in 27,5 uur: 4.962
- Waarvan kritiek: 85 (plus 635 hoog)
- Gescande repositories: 390
- Kosten aan AI-tokens: circa 40.000 dollar
De aanleiding was pijnlijk concreet. In de Coldcard-hardwarewallet zat een firmwarefout uit versie 4.0.1 van maart 2021, waarbij bij het aanmaken van een seed stiekem een software-generator werd gebruikt in plaats van de hardwarematige toevalsgenerator. Vijf jaar lang bleef dat onopgemerkt. De schade liep op tot ruim 100 miljoen dollar, met volgens latere tellingen meer dan 1.800 BTC weggehaald bij duizenden adressen.
Bijna 5.000 bevindingen in ruim een dag
Na dat incident zette een groep van zestien onderzoekers een sprint op. Tussen 4 en 5 augustus 2026 combineerden ze AI-analyse met handmatig nakijken en legden ze in 27,5 uur bijna vijfduizend bevindingen vast. “27.5 hours in, we’ve filed 4,962 findings across 390 projects”, schreef medeoprichter Calle in een update. Van die stapel waren er 85 als kritiek bestempeld en 635 als hoog risico. Opvallend: privacy- en coinjoin-tools waren goed voor ongeveer een kwart van de kritieke bevindingen.
| Ernst | Aantal bevindingen |
|---|---|
| Kritiek | 85 |
| Hoog | 635 |
| Totaal | 4.962 |
De sprint werd betaald door OpenSats, de non-profit die open-source Bitcoin-ontwikkeling steunt, met bijna 40.000 dollar aan AI-tokens. Elke kritieke melding ging eerst privé naar de betrokken projecteigenaren voordat er iets openbaar werd, en veel meldingen werden snel door de ontwikkelaars zelf bevestigd.
Niet het protocol, maar de software eromheen
Calle, die het open-source Cashu-protocol onderhoudt en de Android-versie van Bitchat bouwde, benadrukt dat het probleem niet in Bitcoin zelf zit. “Although Bitcoin itself is secure, the software that we’re using to transact with Bitcoin may not be, and that is what most people interface with anyway”, zegt hij. Voor beginners: het Bitcoin-protocol is de kern die transacties valideert, maar de wallets, diensten en apps eromheen zijn aparte stukken software waar de meeste gebruikers dagelijks mee werken. Juist daar liggen de gaten.
Waar de groep zich openlijk over uitspreekt, is de rol van Chinese AI-modellen. Volgens Calle worden die voor veiligheidsonderzoek veel vaker ingezet dan Amerikaanse modellen, omdat die laatste verzoeken rond cyberbeveiliging vaak blokkeren. Hij wijst op de komst van Kimi K3, die zowel aanvallers als verdedigers ongekende slagkracht gaf. Het effect daarvan is dat mensen zonder diepgaande beveiligingskennis een exploit van begin tot eind kunnen uitvoeren.
Een wapenwedloop tegen de klok
Dat de dreiging reëel is, bleek toen de swapdienst Boltz de deuren tijdelijk sloot en daarbij verwees naar geautomatiseerde, AI-ondersteunde aanvallen die het team niet meer kon bijbenen. Dezelfde techniek die zestien vrijwilligers in een dag 390 repositories liet doorlichten, staat voor dezelfde prijs open voor wie kwaad wil, zonder meldingsprocedure of ethiek.
Het Red Team werkt proactief: het scant projecten op eigen initiatief en heeft naar eigen zeggen het grootste deel van het significante open-source ecosysteem al doorgelicht, ook zonder dat projecten daarom vragen. “The reason why the Bitcoin Red Team exists right now is because we need to get ahead of the attackers as fast as possible”, aldus Calle. De groep heeft aangegeven de gebruikte scan-harnas open source te willen maken, zodat andere projecten dezelfde verdediging kunnen inzetten.
