Red Team finder 85 kritiske huller i 390 bitcoinprojekter
Seksten frivillige skannede på 27,5 timer 390 open source-projekter fra bitcoinøkosystemet og indsendte 4.962 fund, heraf 85 kritiske og 635 høje. Det handler ikke om selve bitcoinprotokollen, men om værktøjerne omkring den. Anledningen var Coldcard-sagen.
Efter tyveriet gennem Coldcard-punge gik en gruppe sikkerhedsforskere i gang med at gennemlyse resten af bitcoinøkosystemet. Resultatet af den indsats, afsluttet 5. august 2026, er tungt: på 27,5 timers aktiv tid blev 390 open source-projekter skannet og 4.962 fund indsendt. Af dem er 85 klassificeret som kritiske og 635 som høje. Seksten frivillige deltog, svarende til 2,31 høje eller kritiske fund per person i timen.
Et vigtigt forbehold med det samme: det handler ikke om bitcoinprotokollen. Det handler om laget omkring den — biblioteker, pungesoftware, nodeværktøjer, betalingsintegrationer. Netop den kode, de fleste går igennem hver dag uden at tænke over det.
Sådan gjorde de
Bitcoin Red Team ledes af Calle, softwareudvikler og skaber af Bitchat, og Rob Hamilton, direktør i Anchorwatch. Gruppen byggede sit eget testmiljø på 171.599 linjer kode og kørte dermed en række AI-modeller hen over kodelagrene, blandt andre Kimi K3, GPT Sol, Fable, Opus og GLM5.2. Fundene blev genskabt lokalt, før de blev meldt ind, og det er forskellen på en brugbar rapport og en bunke falske alarmer.
OpenSats, fonden der finansierer open source-udvikling omkring bitcoin, dækkede omkostningerne: over 40.000 dollars (cirka 35.000 euro) i AI-forbrug. Gruppen havde tidligere gennemgået omkring 150 kodelagre med mere end ti fortrolige indberetninger; denne indsats er den opskalerede udgave.
Indberetningerne går direkte til dem, der vedligeholder de berørte projekter, efter de sædvanlige regler for ansvarlig offentliggørelse. Der er bevidst ikke offentliggjort nogen liste med projektnavne. Gruppen vil gøre selve testmiljøet til open source, så virksomheder kan lægge deres egen lukkede kode ind under samme målestok.
Bagsiden, der hører med
Der er en ubehagelig side af historien. De samme modeller, der finder 85 kritiske huller på godt et døgn, kan sættes på den samme kode af en anden, som ikke melder noget. Det er præcis det punkt, de europæiske tilsynsmyndigheder advarede om i slutningen af juli i deres fælles udmelding om AI og it-risiko.
Og udbedringen ligger hos projekterne selv. Det er ofte frivillige eller små hold uden budget til en sikkerhedsrunde. At indsende et fund koster nu en brøkdel af, hvad det koster at løse det, og den forskel er ny.
Hvad det betyder for dig
Du kan ikke bruge en liste, du ikke kan se, men du kan gennemgå din egen opsætning. Installer opdateringer til pungesoftware, nodeværktøjer og betalingsintegrationer, så snart de kommer, for rettelserne fra denne runde lander i de kommende uger som helt almindelige opdateringer. Læs samtidig udgivelsesnoterne: står der noget om et sikkerhedsproblem, er det den opdatering, der ikke kan vente.
Bruger du en hardwarepung, så tjek, om producenten har en sikkerhedsside, og om der er lagt noget op for nylig. Coldcard-sagen, hvor on-chain-analysen fra TRM Labs placerede forsvindingen af omkring 1.816 bitcoin (over 116 millioner dollars, cirka 101,5 millioner euro) fra mere end 5.200 adresser, udsprang af firmware fra 2021, der ganske enkelt blev ved med at være i brug i årevis. Gammel firmware er ikke stabil firmware.
Og den bredere lære: at der findes 85 kritiske fund, er bedre nyt, end hvis ingen havde kigget. Problemerne var der i forvejen. Det nye er, at de nu bliver fundet og meldt, før en anden finder dem.
Kilder: Bitcoin Red Team via Bitcoin Magazine (6. august 2026), Crypto Briefing (6. august 2026), OpenSats, TRM Labs (Coldcard-analyse, 5. august 2026). Sidst kontrolleret: 7. august 2026.