Menü

Bitcoin: Bug in Core-Software ist deutlich schwerwiegender

Ein kürzlich gefixter Bug in der Bitcoin-Software Core hätte nicht nur DoS-Angriffe ermöglicht, sondern unter bestimmten Bedingungen auch einen Double Spend.

Von
vorlesen Drucken Kommentare lesen 155 Beiträge
Bitcoin Coin

(Bild: dpa, Ina Fassbender)

Die in dieser Woche gepatchte Lücke im Bitcoin-Referenzclient Core ist offenbar noch gravierender als gedacht: So wären damit nicht nur Denial-of-Service-Attacken (DoS) gegen Bitcoin-Netzwerkknoten möglich, sondern auch eine Erzeugung von Bitcoins über die definierte Geldmenge von 21 Millionen Einheiten hinaus. Nutzer, die einen Netzwerkknoten mit Bitcoin Core betreiben, sollten also unbedingt auf die Version 0.16.3 updaten.

Die Lücke (CVE-2018-17144) wurde am Dienstag kurz nach Bekanntwerden gefixt, allerdings hielt die Entwickler-Community des Core-Clients das volle Ausmaß der Schwachstelle noch unter Verschluss. Lediglich die DoS-Anfälligkeit machte man publik, gleichzeitig wandten sich die Entwickler an Firmen, Mining-Pools und ähnliche wichtige Player des Netzwerks. Das sollte den großen Netzwerkteilnehmern Aufschub für schnell umgesetzte Updates verschaffen.

Der Bug konnte sich erstmals in Version 0.14 vom März 2017 einschleichen. Eine damals entfernte Prüfroutine für Transaktionsinputs sollte eigentlich nur Performance-Vorteile schaffen, riss dabei aber gleichzeitig die Lücke auf. Angreifer könnten einen speziell präparierten Blockkandidaten, der einen Double Spend enthält, ans Netzwerk senden und damit Bitcoin-Nodes dieser Version zum Absturz bringen. Ein Double Spend bezeichnet den im Bitcoin-Protokoll untersagten Versuch, die gleichen Coins zweifach auszugeben.

Mit einer in Version 0.15 eingebrachten Änderung wurde es dann noch schlimmer. Ein Double Spend mit Coins innerhalb eines Blocks hätte die Software ebenfalls abstürzen lassen; aber einen Double-Spend-Versuch mit Coins, die in einem Vorgängerblock ausgegeben wurden, würden die Clients von Version 0.15 bis zu 0.16.2 wohl nicht als illegitim erkennen können und folglich zulassen. Damit könnten sich Angreifer quasi jeden der Bitcoins in ihrem Besitz kopieren, auch über die auf 21 Millionen Coins begrenzte Geldmenge hinaus. Technische Details zu dieser schwerwiegenden Lücke finden sich in der Mitteilung der Entwickler.

Das Core-Entwicklerteam geht davon aus, dass inzwischen über die Hälfte der Nodes auf die Version 0.16.3 umgestellt sind. Versuche, die Schwachstelle auszunutzen, habe es bislang nicht gegeben. Weniger rosig klingen Zahlen des Informationsdienstes coin.dance, laut denen derzeit nur 44 Prozent der Nodes vor der Lücke geschützt sind.

Nutzerguthaben seien prinzipiell nicht in Gefahr, heißt es in einem Eintrag auf Reddit. Allerdings wird als Vorsichtsmaßnahme geraten, in der kommenden Woche Transaktionen erst nach 200 Bestätigungen aus dem Netzwerk als gültig anzusehen, da eine geringe Gefahr eines Chainsplits durch unterschiedliche Softwareversionen bestehe. (axk)

Anzeige