Bitcoin-beveiligers wijken uit naar Chinese AI

Bitcoin Red Team-oprichter Rob Hamilton zegt dat beperkingen van OpenAI zijn beveiligingsonderzoek bemoeilijken. Daarom gebruikt hij opnieuw Chinese open-source AI-modellen. Zijn team heeft inmiddels 1.288 kwetsbaarheden met een hoge of kritieke ernst gevonden in software binnen het Bitcoin-ecosysteem.

AI helpt bij het opsporen van Bitcoin-kwetsbaarheden

Bitcoin Red Team bestaat uit vrijwilligers die openbare software rond Bitcoin onderzoeken. Het team kijkt onder meer naar wallets, Lightning-toepassingen en andere projecten die onderdeel zijn van de bredere Bitcoin-infrastructuur.

Daarbij combineren de onderzoekers AI met menselijke controles. Een AI-model kan in korte tijd grote hoeveelheden programmeercode analyseren en verdachte patronen herkennen. Vervolgens beoordelen beveiligingsonderzoekers of er daadwerkelijk sprake is van een kwetsbaarheid.

Volgens de meest recente cijfers heeft Bitcoin Red Team 1.288 ernstige en kritieke beveiligingsproblemen gevonden.

Dat betekent overigens niet dat er 1.288 kwetsbaarheden in het Bitcoin-protocol zelf zitten. Veel bevindingen hebben betrekking op afzonderlijke applicaties en diensten die Bitcoin gebruiken.

OpenAI beperkt toegang tijdens onderzoek

Hamilton begon recent mogelijkheden van OpenAI op het gebied van cybersecurity te gebruiken voor het werk van Bitcoin Red Team. Volgens hem kreeg hij een dag later al te maken met beperkingen.

Dat maakt verder onderzoek volgens Hamilton lastig. Wanneer zijn team een kwetsbaarheid vindt, wil het daarna bijvoorbeeld controleren of ontwikkelaars het probleem goed hebben opgelost. Ook moeten onderzoekers nagaan of dezelfde fout op andere plaatsen in de code voorkomt.

Hamilton stelt dat de beperkingen dit proces hinderen. Hij besloot daarom opnieuw gebruik te maken van Chinese open-source AI-modellen.

Die keuze ligt voor hem gevoelig. Hamilton is Amerikaan en gaf aan liever Amerikaanse technologie te gebruiken om Bitcoin-infrastructuur te beschermen. Tegelijkertijd vindt hij dat beveiligingsonderzoek zwaarder moet wegen dan de herkomst van het AI-model.

Waarom open-source AI interessant is

Bij open-source AI zijn belangrijke onderdelen van het model publiek beschikbaar. Ontwikkelaars kunnen zulke modellen vaak zelf draaien en aanpassen, zonder voor iedere analyse afhankelijk te zijn van een commerciële AI-dienst.

Voor beveiligingsonderzoek kan dat een belangrijk voordeel zijn. Onderzoekers moeten soms code analyseren die lijkt op technieken die hackers gebruiken. Commerciële AI-platforms kunnen zulke verzoeken blokkeren om misbruik te voorkomen.

Daar zit ook het probleem. Dezelfde AI-technologie kan namelijk twee kanten op werken. Een onderzoeker kan ermee zoeken naar een beveiligingslek om dat te repareren. Een aanvaller kan vergelijkbare technologie gebruiken om hetzelfde lek te vinden en vervolgens te misbruiken.

AI-bedrijven moeten daarom bepalen waar ze de grens leggen.

Hackers houden zich niet aan dezelfde regels

Hamilton vindt dat de huidige situatie legitieme onderzoekers kan benadelen. Cybercriminelen hoeven zich immers niet aan de voorwaarden van grote AI-platforms te houden. Zij kunnen open-source modellen gebruiken of zelf systemen aanpassen.

Onderzoekers die wel binnen de regels van commerciële aanbieders werken, kunnen ondertussen tegen beperkingen aanlopen.

Voor de cryptosector is dat een relevant probleem. Blockchainprojecten beheren soms miljarden dollars aan digitale bezittingen. Een klein softwareprobleem kan daardoor grote financiële gevolgen hebben.

De discussie draait daarom niet alleen om de kracht van AI, maar vooral om de vraag wie toegang krijgt tot die technologie.

Coldcard-hack zet beveiliging opnieuw op de agenda

Het werk van Bitcoin Red Team kreeg extra urgentie na de grote aanval rond Coldcard-hardwarewallets. Daarbij werd voor meer dan $100 miljoen aan bitcoin gestolen.

Een hardwarewallet is een fysiek apparaat dat de privésleutels voor crypto buiten een gewone computer of smartphone bewaart. Dat beschermt gebruikers tegen verschillende online aanvallen, maar een hardwarewallet blijft afhankelijk van software en firmware.

De aanval laat zien dat ook producten die specifiek voor veiligheid zijn ontwikkeld kwetsbaarheden kunnen bevatten.

Bitcoin Red Team versnelde daarna zijn onderzoek naar honderden open-source projecten rond Bitcoin. AI maakt het mogelijk om veel meer code te controleren dan een klein team volledig handmatig zou kunnen doen.

Toegang tot krachtige AI wordt belangrijker

Ook andere cryptobedrijven willen geavanceerde AI inzetten om hun beveiliging te verbeteren. Niet iedereen krijgt echter toegang tot de krachtigste cyberfuncties van grote AI-aanbieders.

Daar hebben de aanbieders een duidelijke reden voor. Een model dat zelfstandig complexe kwetsbaarheden kan ontdekken, kan zowel verdedigers als aanvallers helpen.

Tegelijkertijd ontstaat een risico wanneer beperkingen vooral onderzoekers treffen die zich wel aan de regels houden. Open-source modellen blijven immers beschikbaar voor partijen die geen rekening houden met de voorwaarden van Amerikaanse AI-bedrijven.

De ervaringen van Bitcoin Red Team maken duidelijk dat dit spanningsveld steeds relevanter wordt.

Wat betekent dit voor Bitcoin-investeerders?

Voor beleggers is het belangrijk om onderscheid te maken tussen Bitcoin zelf en de software die rond Bitcoin wordt gebouwd.

De bevindingen van Bitcoin Red Team betekenen niet dat het Bitcoin-netwerk plotseling onveilig is. De onderzoekers bekijken een veel breder landschap van wallets, toepassingen en andere open-source projecten.

Wel onderstreept het grote aantal gevonden problemen hoe belangrijk beveiligingsonderzoek blijft. Crypto-infrastructuur verandert voortdurend en iedere nieuwe regel code kan nieuwe risico’s introduceren.

AI kan onderzoekers helpen die risico’s sneller te ontdekken. De vraag is alleen of beveiligingsteams toegang houden tot de modellen die daarvoor het meest geschikt zijn.

Conclusie

Bitcoin Red Team heeft inmiddels 1.288 ernstige en kritieke kwetsbaarheden gevonden in software binnen het Bitcoin-ecosysteem. Oprichter Rob Hamilton zegt dat beperkingen van OpenAI verder onderzoek bemoeilijken en kiest daarom opnieuw voor Chinese open-source AI.

Daarmee ontstaat een bredere discussie over Bitcoin beveiliging en AI. Krachtige modellen kunnen cyberaanvallen ondersteunen, maar ze kunnen ontwikkelaars ook helpen om fouten te vinden voordat criminelen toeslaan. Voor de cryptosector wordt toegang tot deze technologie daardoor steeds belangrijker.

Veelgestelde vragen

Wat is Bitcoin Red Team?

Bitcoin Red Team is een vrijwillige groep beveiligingsonderzoekers die open-source software binnen het Bitcoin-ecosysteem controleert. Het team gebruikt AI om grote hoeveelheden code te analyseren en controleert mogelijke kwetsbaarheden vervolgens handmatig.

Zijn de gevonden kwetsbaarheden een probleem voor Bitcoin zelf?

Niet automatisch. De 1.288 ernstige en kritieke bevindingen hebben betrekking op het bredere Bitcoin-ecosysteem. Daaronder vallen bijvoorbeeld wallets en andere applicaties. Een kwetsbaarheid in zo’n toepassing betekent niet dat het Bitcoin-protocol zelf is gehackt.

Waarom gebruikt Bitcoin Red Team Chinese AI?

Rob Hamilton zegt dat beperkingen van Amerikaanse AI-systemen bepaalde vormen van beveiligingsonderzoek hinderen. Open-source Chinese modellen geven zijn team meer vrijheid om code te analyseren en eerder gevonden problemen verder te onderzoeken.