NORTH CAROLINA / LONDON (IT BOLTWISE) – Bitcoin Core hat seine Security-Disclosure-Policy geändert und damit die früheren wochenlangen Embargos für bestimmte Sicherheitslücken beendet. Neue Kategorie: Probleme, die sich mit minimalem Aufwand – etwa über einen einfachen KI-Prompt – wiederfinden lassen. Für diese Fälle will das Projekt schneller Backports in alle gepflegten Hauptversionen liefern und begleitend Security-Details zeitnah veröffentlichen. Damit verschiebt sich die Abwägung zugunsten schnellerer gepatchter Releases, auch wenn die Testphase davor kürzer ausfallen kann.
Bitcoin Core hat seine Regeln zur Veröffentlichung von Sicherheitslücken spürbar angepasst. Konkret geht es um das „Embargo“ zwischen der Meldung einer Schwachstelle und dem Zeitpunkt, an dem Details und Patches öffentlich werden. Die Entwickler begründen den Schritt damit, dass sich mittlerweile vermehrt solche Probleme melden, die sich von Dritten mit vergleichsweise geringem Aufwand erneut auffinden lassen – und zwar auch mit Hilfe von Large Language Models. Damit wird die klassische Logik des bisherigen Modells, nämlich: Je länger man wartet, desto weniger Zeit haben Angreifer für kreative Ausnutzung, bei bestimmten Bugklassen weniger überzeugend.
Bislang ordnete Bitcoin Core gemeldete Schwachstellen nach ihrer Schwere ein und staffelte die Veröffentlichung zeitlich entlang dem Release- und Lebenszyklus der betroffenen Software. Niedrig priorisierte Fehler wurden in der Regel zwei Wochen nach dem nächsten großen Release veröffentlicht. Mittlere und hohe Risiken blieben dagegen unter Embargo, bis zwei Wochen nach dem Ende der Laufzeit der letzten betroffenen Veröffentlichung. In der Praxis konnte dieser Zeitraum bis zu einem Jahr reichen, was zwar betroffenen Node-Betreibern Zeit geben sollte, rechtzeitig auf gepatchte Versionen umzusteigen, aber eben auch dazu führte, dass Fixes für ältere, noch gepflegte Versionen lange „unsichtbar“ blieben und häufig erst mit dem nächsten großen Release tatsächlich bei Nutzern ankamen.
Die neue Policy führt während der Triage eine zusätzliche Einordnung ein: „easily discoverable“, also Sicherheitslücken, die sich mit minimalem Aufwand wiederfinden lassen. Als Beispiel nennt die Policy ausdrücklich Probleme, die sich „mit minimalem Aufwand“ finden lassen – etwa durch einen einfachen LLM-Prompt. Für diese Kategorie plant Bitcoin Core andere Abläufe: Das Projekt will Fixes in alle gepflegten Major-Versionen zurückportieren, Punkt-Releases möglichst schnell nachschieben und parallel zeitnah eine Security Advisory veröffentlichen, die bereits einige Details enthält. Antoine Poinsot, der die Änderung vorgeschlagen hat, argumentiert dabei, dass ein Embargo für diese Bugklasse wenig Mehrwert stiftet, weil die „verzögernde Wirkung“ dann nicht mehr greift. Gleichzeitig räumt die Begründung ein, dass solche Backports in der Regel weniger Zeit für umfassende Tests haben, bevor sie das Feld erreichen.
Die Entscheidung bedeutet nicht, dass künftig jede Schwachstelle ohne Abstand behandelt wird. Für Meldungen außerhalb der „easily discoverable“-Kategorie gilt weiterhin der bestehende, schweregradbasierte Zeitplan. Kritische Lücken – etwa solche, die auf Protokollebene etwa Coin-Theft ermöglichen, die Geldmenge (supply) ungewollt erhöhen oder einen permanenten Chain-Split auslösen könnten – bleiben laut Policy ausdrücklich außerhalb des Standardprozesses und werden weiterhin im Einzelfall bewertet. Interessant ist außerdem die Diskussion innerhalb des Entwicklerteams: Antoine Riard brachte die Idee ein, Fixes auch ohne Advisory auszuliefern und Details nur fallweise zurückzuhalten. Poinsot lehnte das ab, weil eine Warnung ohne konkrete Informationen nach seiner Darstellung unnötige Risiken schaffen kann, etwa durch eine überstürzte Migration, obwohl nicht alle Nutzer durch die jeweilige Schwachstelle tatsächlich betroffen wären.
Der politische Druck auf Open-Source-Ökosysteme rund um Bitcoin steigt seit Monaten, und die neue Policy ist auch als Reaktion auf eine real beobachtete Entwicklung zu lesen. In den Berichten wird geschildert, dass eine freiwillige Gruppe von 16 Entwicklern in kurzer Zeit KI-Modelle über 390 Repositorys laufen ließ und dabei 4.962 Fundstellen protokollierte, darunter 85 als kritisch bewertete. Kurz danach soll eine zuvor privat gemeldete Schwachstelle in BTCPay Server in Live-Umgebungen ausgenutzt worden sein und dabei Lightning-Knoten leergesaugt haben. In einer späteren Phase sollen Core-Lightning-Entwickler Betreiber zum Upgrade oder zum Disconnect aufgefordert haben, nachdem KI-generierte Berichte zur betroffenen Software laut den Ausführungen ihre Aussagekraft unter Beweis gestellt hatten.
Auch abseits von „Software-Bugs“ wird in diesem Kontext auf Hardware-Szenarien verwiesen: Ein Angriffsweg, der an eine Coldcard-Hardware-Wallet-Implementierung anknüpfen soll, wird als Fall erwähnt, bei dem Angreifer am 30. Juli innerhalb von 25 Minuten 594 BTC abgezogen haben. Die beschriebenen Verluste über mehrere Durchläufe sollen sich auf etwa 114 Millionen US-Dollar summiert haben. Für die neue Disclosure-Policy ist das vor allem deshalb relevant, weil es das Grundproblem bestätigt, das Poinsot adressiert: Wenn sich Schwachstellen nicht nur finden, sondern auch rekonstruieren und für konkrete Angriffe zeitnah nutzbar machen lassen, verschiebt sich der Nutzen von langen Veröffentlichungs-Embargos zugunsten schneller Patches und koordinierter Kommunikation.
Für Node-Betreiber und Unternehmen, die Bitcoin-in ihre Infrastruktur integrieren, reduziert die Änderung im Kern den Überraschungsfaktor: Bei als „easily discoverable“ eingestuften Lücken ist der Fix früh geplant, Punkt-Releases sollen „so schnell wie möglich“ kommen, und die Security Advisory wird nicht erst mit Verzögerung veröffentlicht. Das verbessert die Planbarkeit im Betrieb, fordert aber zugleich ein strengeres Patch- und Testing-Management, weil kürzere Testzyklen realer werden. Gleichzeitig bleibt die differenzierte Behandlung nach Kritikalität bestehen, wodurch Hochrisiko-Lücken weiterhin gesondert bewertet werden. Insgesamt wirkt das wie ein Übergang vom reinen Zeit-Embargo-Modell hin zu einem risikobasierten Kommunikationsansatz, der die gestiegenen Fähigkeiten automatisierter Schwachstellensuche durch KI in den Sicherheitsprozess integriert.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Bitcoin Core beendet lange Embargos bei KI-gefundenen Sicherheitslücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Bitcoin Core beendet lange Embargos bei KI-gefundenen Sicherheitslücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Bitcoin Core beendet lange Embargos bei KI-gefundenen Sicherheitslücken« bei Google Deutschland suchen, bei Bing oder Google News!