Generatieve AI heeft in korte tijd veranderd wat het kost om een gat in software te vinden. Waar dat vroeger weken specialistisch werk vroeg, vraag je nu aan een chatbot of er een zwakke plek in zit en heb je binnen vijf minuten antwoord, voor een tientje. In de bitcoinwereld leverde dat afgelopen zomer een reeks incidenten op waarbij honderden miljoenen verdwenen. Bitcoin Core-ontwikkelaar Sjors Provoost legt uit wat er gebeurde en of dit het einde van open source betekent.

Het begon bij Coldcard, een hardwarewallet met juist een reputatie op het gebied van beveiliging. De code die de seed genereert, de geheime sleutel achter je bitcoin, bleek een fout te bevatten. De bedoeling was meer combinaties dan er atomen in het heelal zijn, in de praktijk waren het er nog zo'n vier miljard. Die fout stond vijf jaar in publieke broncode. Menselijke auditors zagen hem niet.

Kort daarna ging het Bitcoin Red Team, gefinancierd door OpenSats, langs honderden opensourceprojecten. Het resultaat was een berg meldingen, waarvan tientallen kritiek. Provoost noemt het de grote schoonmaak die nodig was, maar wijst ook op de keerzijde: modellen weten zelf niet altijd wat een bug is en wat een feature, en de projecten die het moeten opruimen worden vaak door één of twee mensen onderhouden.

Bij Liquid, de bitcoinsidechain van Blockstream, ging het toch mis. Een van de meldingen van het Red Team werd daar netjes gerepareerd, maar de reparatie was erger dan het probleem. Iemand zag dat, en haalde er in één keer 4000 bitcoin uit. De dader noemde zichzelf een white hat, stuurde het grootste deel terug en hield ongeveer vijftig miljoen dollar achter. Provoost heeft daar een ander woord voor: afpersing.

Daarmee staat de hele praktijk van responsible disclosure onder druk. En als je een fix hebt gebouwd, dan staat op GitHub meteen zichtbaar waar het gat zat, en vragen bots binnen een paar uur hoe je dat uitbuit. Core Lightning hield de details twee weken geheim en zag dat AI de wijziging uit de binary reconstrueerde. Waar dit afloopt? Dat is voorlopig nog de vraag.

Co-host is Jacob Boersma.

Over de podcast

Cryptocurrency are here to stay. In deze wekelijkse podcast gidst Daniël Mol je door het belangrijkste cryptonieuws, langs hypes en trends, voor- en tegenstanders en winst en verlies. In het A-deel bespreken we het laatste nieuws en in het B-deel gaan we in gesprek met een gast. Van cypherpunkpioneers tot grootbanken die aan de haal gaan met stablecoins, van Bitcoin tot Ethereum tot CBDC's. Alles passeert de revue.
Reageren? Stuur dan een mail naar cryptocast@bnr.nl

Gasten

• Sjors Provoost is ontwikkelaar bij Bitcoin Core en host van Bitcoin Explained.
• Jacob Boersma is onafhankelijk payments expert.

Links

• De aflevering van Bitcoin Explained over de Coldcard hack
• De technische uitleg van Sjors Provoost bij het Liquid incident
• Het contact tussen de hacker en Blockstream, bericht voor bericht op de blockchain

Host

• Daniël Mol is presentator en redacteur van de Cryptocast. Hij is sinds 2017 met Bitcoin bezig en kwam in 2021 bij het team van de Cryptocast.

Redactie

• Daniël Mol