Die aktuelle Update-Version von Sparrows AI-Sicherheitslösung zeigt die Kosten auf, die mit dem Besitz eigener Bitcoin einhergehen.

Am Donnerstag veröffentlichte der Entwickler von Sparrow Wallet, einem kostenlosen Programm zur privaten Speicherung von Bitcoin auf dem eigenen Computer, die Version 2.5.4. Es handelt sich dabei um eine Routine-Updates-Veröffentlichung – kleine Sicherheitslücken wurden geschlossen, die Validierung wurde verbessert und einige Probleme mit Hardware-Wallets wurden behoben. Das Ungewöhnliche ist jedoch, wie das Programm entwickelt wurde: Der Entwickler Craig Raw.Er hat den gesamten Codebase-Code mit einer von KI unterstützten Sicherheitsprüfung durchgegangen.UndDie KI erstellte den Großteil der Lösungen.Das Urteil war beruhigend – es wurde nichts gefunden, was die Finanzen in Gefahr bringen könnte. Auch gab es keine Anzeichen dafür, dass jemand diese Probleme ausgenutzt hätte.

Diese Ruhe ist nicht das eigentliche Problem. Das Problem ist vielmehr das, was die Überprüfung auslöst – und auch das, was es kostet, den Versprechen einzuhalten, die die gesamte Bitcoin-Industrie einhalten muss.

Das Ereignis, das es erzwingen musste.

Ende Juli begannen die Geldbörsen, die mit Coldcard verbunden waren – einem beliebten Hardware-Geldbörse von Coinkite – ihre Inhalte zu verlieren. Die Ursache lag in einer Firmware-Änderung im März 2021: Dadurch wurde die Generierung der Seed-Dateien vom zufälligen Zahlengerät des Hardware-Geldborses auf ein Software-basiertes Gerät umgeleitet. Für einige Geldbörsen führte dies dazu, dass die kryptografische Stärke der privaten Schlüssel verringert wurde.Von 128 Bits bis auf nur noch 40 Bits.„Zu schwach, um mit Brute-Force-Methoden gearbeitet zu werden – ohne das Gerät dabei zu berühren. Laut einer Erhebung von der Blockchain-Analysefirma TRM Labs wurden etwa 1.816 Bitcoins (rund 116 Millionen US-Dollar zum Zeitpunkt des Ereignisses) über 5.200 Adressen abgezogen. Das macht es zu dem größten Hardware-Wallet-Exploit im Jahr 2026.“Coinkite hat das feste Firmware-Update auf alle betroffenen Modelle verteilt.Es ist zu beachten, dass die Exposition abhängig ist von der Art und Weise, wie die „Seeds“ jedes Benutzers erstellt wurden – sowie davon, ob eine starke Passphrase diese Seeds schützt.

Wichtig ist hier die vermutete Methode – nicht nur der Diebstahl an sich. Coinkite sagte, er glaube, dass künstliche Intelligenz dem Angreifer dabei geholfen haben könnte, ein Loch zu finden, das seit mehr als fünf Jahren unentdeckt geblieben war.

Die Beschreibung von Raw sowie die Situation mit Coldcard sind offensichtlich der Grund dafür, dass Sparrow 2.5.4 existiert. Er sagte, dass die Überprüfung durch die KI auf die Veröffentlichung von ungeregelten chinesischen KI-Modellen und die neuen Möglichkeiten zur Suche in großen Codebasen für mögliche Angriffe zurückzuführen ist. Er hat alle Probleme, die die KI aufgedeckt hat, selbst überprüft. Die Situation ist wirklich beunruhigend: Ein kostenpflichtiges Hardwareprodukt hatte ein fünfjähriges Bug, das neunstellige Summen kostete; ein kostenloses Softwareprodukt reagierte innerhalb weniger Wochen, indem es eine Maschine einsetzte, um alles zu scannen, was es je hergestellt hatte.

Was die Lösungen eigentlich tun

Der Inhalt der Verbesserungen ist viel aussagekräftiger als die Schlagzeile. Sparrow kann mit dem eigenen Bitcoin-Node eines Benutzers verbunden werden – außerdem funktioniert es auch als sogenannter „Light Client“: Es nutzt kostenlose, öffentliche Electrum-Server, um die Kontostände und den Transaktionsverlauf anzuzeigen – anstatt den gesamten Blockchain-Code herunterzuladen. Das Hauptziel dieser Aktualisierung ist es, die Anzahl der Daten, auf die man bei diesen Servern vertrauen muss, zu reduzieren. Sparrow überprüft nun, ob die von einem Electrum-Server zurückgegebene Transaktion tatsächlich diejenige ist, nach der man gefragt hat. Zudem werden die kryptografischen Beweise für die Tatsache, dass eine Transaktion tatsächlich in den Blockchain eingefügt wurde, überprüft. Auch die Proof-of-Work-Beweise für die neu erhaltenen Informationen werden überprüft. Die verifizierten Block-Header werden an festen Punkten überprüft. Das Gleiche gilt für alle anderen Aspekte.Die BitBox02-Hardwarewälle benötigen jetzt ein aktuelles Firmware-Update mit aktivierter Anti-Kleptomöglichkeit.Eine Verteidigung gegen das Entweichen privater Schlüssel: Die Zugangsdaten von Bitcoin Core werden aus den Debug-Protokollen entfernt. Die Wallet-Verzeichnisse sind an den File-Eigentümer gebunden. Die verbleibenden DNS-Leaks, die durch das Routing über Tor entstehen, werden geschlossen. Zudem werden die Überprüfungen von verschlüsselten Nachrichten ständig durchgeführt, um Timing-Angriffe abzuwehren.

Das ist das Muster: Eine „Sicherheitsgrenze“-Entwirrung – bei der die meisten Anstrengungen darauf gerichtet waren, den Fremden weniger vertraut zu werden.

Das Spiel dahinter

Treten Sie einen Schritt zurück – dann können Sie die Welt erkennen, die durch diese Lösungen beschrieben wird. Die Selbstverwaltung wird als die „ohne Dritte“-Lösung verkauft: Ihre Schlüssel, Ihre Münzen – keine Bank zwischen Ihnen und dem Vermögen. Doch eine Wallets ist eine Kette des Vertrauens – nicht Nullvertrauen. Sie vertrauen immer noch dem Software-Programm, dem Firmware auf dem Gerät, den freien Servern, die Ihnen mitteilen, was im Netzwerk passiert, sowie Ihren eigenen Handlungsgewohnheiten. Solche Updates verringern die „sanften“ Verbindungen – sie machen „Vertrauen auf den Server“ zu „Überprüfung des Servers“.

Dann achten Sie darauf, wer dafür bezahlt.Sparrow ist freie, Open-Source-Software – sie wurde im Grunde von einer einzigen Person entwickelt und gepflegt.Es verlangt keine Gebühren und druckt keine Tokens aus. Der Wert, den es schützt, ist enorm – etwa ein Teil eines Assetmarktes von rund 1,6 Billionen Dollar. Doch die Schicht, die den Schutz übernimmt, erhält nichts dafür. Coldcard ist das typische Beispiel dafür: ein kostenpflichtiges Hardwareprodukt, das zu einem bestimmten Marktpreis verkauft wird. Dennoch weist dieses Produkt eine fatale Rückfallgefahr auf – diese Rückfallgefahr hat fünf Jahre lang überlebt, weil niemand bei dieser Kostenstruktur die Änderungen auf der Skala überprüft hat, wie sie später von einem künstlichen Intelligenz-gestützten Angreifer vorgenommen werden könnten. Der Wert in dieser Stack fließt nicht in die Software, die ihn schützt. Er fließt vielmehr zu den Herstellern von Hardware und letztendlich zu Bitcoin selbst. Die Wallets und die Verifizierungsschicht sind eine öffentliche Güter – sie werden durch Goodwill sowie die Zeit eines Einzelentwicklers finanziert.

Diese Fragilität zeigt sich in kleinen Details. Im Juni drohte Apple, Raws Entwicklerkonto komplett zu entziehen – wegen…Ein Warn-App, die er entwickelt hat, um gefälschte Kopien von Sparrow zu erkennen. — Bevor der Berufungsprozess abgeschlossen war.Das, was die Selbstverwaltung auf einer mainstreamen Plattform ermöglicht, ist das Konto einer einzigen Person.

Was das für einen Investor bedeutet

Für einen Einzelinvestor ist die Situation mit Coldcard und AI eher als eine Art „Risikogebiet“ zu betrachten. Wenn man Bitcoin durch einen Custodian – also eine Börse, eine Fondsgesellschaft oder ein Trust – hält oder halten möchte, hat man diesen gesamten Prozess an einen Dritten ausgelagert. Das Risiko entsteht dann beim Dritten. Wenn man Bitcoin selbst aufbewahrt, behält man zwar die Schlüssel, aber die gesamte Infrastruktur bleibt bei einem Dritten. Es handelt sich dabei um freie Software, freiwillige Überprüfungen, Firmware, die man nicht selbst entwickelt hat, sowie Server, über die man vielleicht gar nicht nachgedacht hat.

Die Updates von Sparrow sind eine geringfügige Erleichterung für den Weg der Selbstkontrolle: Die Reaktionen waren schnell, kostenlos und beruhten auf Sicherheitselementen. Die KI reduziert außerdem die Kosten der Verteidigung – das gleiche Tool, das auch für Coldcard verwendet wurde, konnte innerhalb weniger Wochen den gesamten Code von Sparrow untersuchen. Laut Raw fand keine Anzeichen dafür, dass es Risiken für die Finanzen geben könnte. Das Problem ist jedoch strukturell: Der Standard für „sicher“ wird jetzt durch das bestimmt, was die mit KI unterstützten Angreifer finden können. Die Verteidigungsseite hat keine Einnahmen, mit denen sie diese Aufgabe bewältigen könnte. Diese Korrekturen waren kostenlos – denn Sparrow hat nichts zu verlangen. Die Überprüfung erfolgte, weil ein Entwickler seine Zeit dafür aufwenden wollte. Nichts im Modell garantiert, dass dies weiterhin so bleibt – und die Kosten der Angreifer nehmen weiter ab.

Das ist die nützliche Spannung, die diese Lösung hinterlässt. Es handelt sich dabei nicht um ein Problem – und es verändert auch nicht die Sichtweise von Bitcoin auf irgendein Chart. Es handelt sich vielmehr um einen Kostenaspekt: Der größte Vermögensmarkt wird durch den am wenigsten finanzierten Sicherheitsschutz geschützt. Jeder, der zwischen dem Bezahlen eines Custodians und dem Behalten seiner eigenen Schlüssel wählen muss, entscheidet tatsächlich, welche Art von Fehler er akzeptieren kann. Der Changelog von Sparrow macht diese Entscheidung etwas deutlicher sichtbar.