Een scan met een taalmodel heeft drie fouten in Bitcoin Core gevonden waarmee nodes op Windows en macOS konden worden platgelegd. De lekken zijn nu openbaar gemaakt. Het zijn de eerste die onder de nieuwe regels van het ontwikkelteam vallen voor kwetsbaarheden die eenvoudig te vinden zijn.
Crashes op Windows en macOS
Met de drie fouten kon een node, dus een computer die de volledige Bitcoin-software draait en transacties en blokken controleert, onder bepaalde omstandigheden crashen. Het ging om installaties op Windows en Mac. Linux, waarop het grootste deel van de professionele infrastructuur draait, wordt in de berichtgeving niet genoemd. Daardoor ligt het risico vooral bij thuisgebruikers en kleinere partijen die een node op een gewone desktop of laptop draaien.
Een crash is iets anders dan diefstal. Er verdwijnen geen munten en de regels van het netwerk veranderen niet. Wel kan een node die offline gaat tijdelijk geen transacties meer controleren of doorgeven. Voor wie op zijn eigen node vertrouwt om betalingen te verifiëren, is dat vervelend. Gebeurt het bij veel nodes tegelijk, dan raakt het de veerkracht van het netwerk.
Nieuwe regels voor makkelijk vindbare fouten
Het meest opvallende is hoe deze lekken openbaar werden. De ontwikkelaars van Bitcoin Core hebben hun beleid kort geleden aangepast. Een fout die met een eenvoudige opdracht aan een AI-model opnieuw te vinden is, geldt nu als makkelijk vindbaar. Zo’n fout wordt niet meer lang geheimgehouden. Het team brengt dan zo snel mogelijk een reparatie uit voor de versies die nog worden onderhouden, met een beveiligingsbericht erbij. Deze drie fouten zijn de eerste die onder die nieuwe regels naar buiten komen.
Achter die keuze zit een eenvoudige redenering. Bij gewone openbaarmaking wacht een project lang met het publiceren van details, zodat gebruikers eerst kunnen updaten. Dat werkt alleen zolang aanvallers de fout niet zelf vinden. Als iedereen met toegang tot een taalmodel dezelfde zwakte in korte tijd kan ontdekken, beschermt geheimhouding weinig meer. Dan telt vooral hoe snel er een reparatie beschikbaar is.
AI verandert het speelveld voor beveiliging
De aanpassing staat niet op zichzelf. Eerder dit jaar bleek dat AI-modellen een uitgebuite kwetsbaarheid in een bekende hardwarewallet zelfstandig konden terugvinden. Daarna begon een groep vrijwilligers met AI-hulp grote delen van de open-source software rond Bitcoin te doorzoeken. Ook bij Lightning-software leverden AI-rapporten echte fouten op. Hetzelfde gereedschap dat verdedigers gebruiken, staat ook voor aanvallers klaar.
Voor Bitcoin is dat een gemengd verhaal. De software is open source, iedereen kan de code lezen en dus ook doorzoeken. Lange tijd was dat een kracht: veel ogen zien meer. Nu machines dat zoekwerk razendsnel doen, wordt de tijd tussen ontdekking en reparatie belangrijker. Wie wil weten waarom nodes zo’n centrale rol spelen in het netwerk, vindt meer uitleg op onze pagina wat is Bitcoin.
Updaten blijft de zwakke schakel
Een reparatie werkt pas als nodebeheerders hem ook installeren, en daar zit het probleem. In het verleden bleek bij openbaar gemaakte Bitcoin Core-fouten dat een aanzienlijk deel van het netwerk nog op oude, kwetsbare versies draaide. Nodes worden door duizenden losse partijen beheerd, en niemand kan een update afdwingen. Dat hoort bij de decentrale opzet, maar het maakt snelle openbaarmaking ook riskanter.
Het nieuwe beleid moet zich dus nog bewijzen. Als het werkt, worden makkelijk vindbare lekken snel gedicht en blijft het venster voor aanvallers klein. Lopen updates achter, dan staan de details openbaar terwijl een deel van het netwerk nog kwetsbaar is. Welke van de twee het wordt, hangt af van hoe snel beheerders van Windows- en Mac-nodes de reparaties de komende weken installeren.
