Bitcoin Core Schrapt Maandenlange Bug-Embargo’s: AI Maakt Verstoppen Zinloos

Samenvatting: Bitcoin Core, de belangrijkste software waarmee het bitcoin-netwerk draait, heeft zijn beveiligingsbeleid aangepast. Kwetsbaarheden die “makkelijk vindbaar” zijn — denk aan bugs die een AI-model met één simpele prompt kan blootleggen — krijgen vanaf nu meteen een fix voor alle ondersteunde versies, in plaats van de maandenlange (soms bijna een jaar durende) stilzwijgperiode die Bitcoin Core tot nu toe hanteerde. Aanleiding: een vrijwilligersgroep vond via AI-modellen in één dag 4.962 potentiële kwetsbaarheden in 390 bitcoin-projecten, en een aantal daarvan werd in de praktijk ook echt misbruikt — waaronder een Coldcard-hack van bijna $114 miljoen.

Disclosure: dit artikel bevat affiliate-links. Als je via zo’n link een account aanmaakt, ontvangen we soms een kleine vergoeding — zonder extra kosten voor jou. Dit artikel is bovendien uitsluitend informatief en geen financieel advies; crypto is volatiel, beleg alleen wat je kunt missen. Lees meer in onze redactionele richtlijnen.

4.962 potentiële kwetsbaarheden. Dat is wat een groepje van zestien vrijwillige ontwikkelaars vond toen ze eind juli, in iets meer dan één dag, AI-modellen loslieten op de broncode van 390 bitcoin-projecten. Vijfentachtig van die bevindingen waren kritiek. Ik volg Bitcoin Core al sinds ik in 2013 in crypto begon, en de ontwikkelcultuur daar stond altijd bekend als traag en voorzichtig — met opzet. Deze week bleek dat die voorzichtigheid zelf een probleem is geworden.

Op donderdag 22 oktober keurden de Bitcoin Core-ontwikkelaars een voorstel goed van Antoine Poinsot, ontwikkelaar bij Chaincode Labs, dat het beveiligingsbeleid van het project fundamenteel verandert. De reden is simpel: AI heeft het vinden van bugs zo goedkoop gemaakt dat het oude systeem van geheimhouding niet meer werkt.

Wat was het oude beleid?

Bitcoin Core deelde gerapporteerde kwetsbaarheden tot nu toe in naar zwaarte. Bugs met een lage ernst werden pas twee weken na het uitkomen van de volgende grote softwareversie openbaar gemaakt. Bugs met een gemiddelde of hoge ernst bleven onder embargo tot twee weken na het einde van de ondersteuning van de laatste getroffen versie — een periode die in de praktijk tot bijna een jaar kon oplopen. De gedachte erachter: als niemand weet van het gat, kunnen aanvallers het ook niet misbruiken voordat nodebeheerders hebben kunnen updaten.

Een node is, voor wie net begint, simpelweg een computer die een volledige kopie van de bitcoin-blockchain bijhoudt en zelf transacties controleert — Bitcoin Core is de meest gebruikte software om zo’n node te draaien. Hoe meer mensen zelf een node draaien in plaats van te vertrouwen op een externe partij, hoe decentraler en veiliger het netwerk als geheel is.

Waarom AI het oude systeem om zeep hielp

“We recently experienced an increase in the number of reports for security vulnerabilities that can be easily (re-)discovered. This is largely due to LLMs drastically reducing the bar to find certain classes of issues or identify covert fixes.”

— Antoine Poinsot, Chaincode Labs-ontwikkelaar (bron: CoinDesk, 23 oktober 2026)

Die toename is niet abstract. Eind juli draaide de “Bitcoin Red Team” — een vrijwilligersgroep van zestien ontwikkelaars — AI-modellen over 390 bitcoin-projecten en vond binnen ongeveer een dag 4.962 potentiële kwetsbaarheden, waarvan 85 als kritiek werden beoordeeld. Dat bleef niet zonder gevolgen:

1. Een kwetsbaarheid in BTCPay Server, die de groep privé had gemeld, werd binnen dagen actief misbruikt op live servers van handelaren — waarbij hun Lightning-nodes werden leeggehaald.
2. Het kleine ontwikkelteam van Core Lightning moest operators in augustus vertellen om te updaten of de verbinding te verbreken, nadat AI-gegenereerde bugmeldingen bleken te kloppen.
3. Hardware wallet Coldcard werd getroffen door een sluimerende kwetsbaarheid uit 2021: op 30 juli werd in 25 minuten 594 BTC gestolen, met verliezen van bijna $114 miljoen over vier aanvalsgolven. Deze specifieke bug werd niet via AI ontdekt, maar Coldcard gaf bij de reparatie aan dat AI had geholpen om extra bugs op te sporen.

Het nieuwe beleid introduceert een label: “easily discoverable” (makkelijk vindbaar), voor bugs die met minimale moeite te vinden zijn — bijvoorbeeld met één simpele prompt aan een taalmodel. Zo’n bug krijgt direct een fix teruggeporteerd naar alle nog ondersteunde versies, een nieuwe puntversie wordt zo snel mogelijk uitgebracht, en er komt een beveiligingsadvies mét details uit op het moment dat de gerepareerde software verschijnt. Poinsot erkende zelf dat zulke fixes daardoor minder “bake time” (testtijd) krijgen voordat ze bij gebruikers terechtkomen.

“The embargo period achieves little but it delays the availability of a fixed release.”

— Antoine Poinsot (bron: Bitcoin Magazine, 23 oktober 2026)

Let op: de écht zware categorie — bugs die coindiefstal op protocolniveau, een onbedoelde toename van het aanbod of een permanente chain split mogelijk maken — valt buiten dit nieuwe, snellere traject. Die blijven per geval beoordeeld, net als voorheen.

Niet iedereen is overtuigd

Bitcoin-beveiligingsonderzoeker Antoine Riard was het niet volledig eens met het voorstel. Hij wilde dat Core de optie zou houden om een fix uit te brengen zónder beveiligingsadvies, met details die per geval achtergehouden konden worden. Poinsot wees dat af.

“Alerting users of a security vulnerability without any details could create more risk unnecessarily” — het risico op een gehaaste migratie door gebruikers die anders niet eens getroffen zouden zijn, wogen voor hem zwaarder.

— Antoine Poinsot, in reactie op Antoine Riard (bron: CoinDesk / Bitcoin Magazine, 23 oktober 2026)

Wat betekent dit voor jou als bitcoin-gebruiker

Dit nieuws raakt in eerste instantie nodebeheerders en ontwikkelaars, niet de gemiddelde bitcoin-bezitter rechtstreeks. Maar het is wel een goed moment om je eigen beveiliging tegen het licht te houden, zeker nu blijkt dat AI kwetsbaarheden in wallet-software en -firmware sneller blootlegt dan ooit:

1. Houd de firmware van je hardware wallet altijd up-to-date — de Coldcard-hack liet zien dat een sluimerende bug jarenlang onopgemerkt kan blijven. Een Ledger Nano S Plus is een gangbare, goed onderhouden keuze voor wie zijn bitcoin zelf wil bewaren.
2. Verspreid niet al je vermogen over één opslagmethode. Een combinatie van hardware wallet en een keyless mobiele oplossing zoals Zengo spreidt het risico als één specifieke implementatie onverwacht kwetsbaar blijkt.
3. Draai je zelf een node, update dan sneller dan je gewend was: dit beleid betekent dat patches voor “makkelijk vindbare” bugs nu met minder testtijd naar buiten gaan — snel updaten blijft verstandig, maar wacht niet te lang met het testen van je eigen setup na een update.

Conclusie

Bitcoin Core koos jarenlang voor stilte als beveiligingsstrategie, en dat werkte zolang kwetsbaarheden moeilijk te vinden waren. AI heeft die aanname onderuitgehaald: als een taalmodel een bug met één prompt kan blootleggen, heeft geheimhouding geen zin meer — je race dan tegen aanvallers die hetzelfde model kunnen gebruiken. Het nieuwe beleid is een eerlijke erkenning van die realiteit: snel patchen en transparant communiceren, in plaats van hopen dat niemand het gat vindt voordat jij het dicht. Voor gewone gebruikers verandert er vandaag niets concreet, maar de onderliggende les is wel relevant: in een wereld waarin AI net zo goed kwetsbaarheden in jouw wallet-software kan vinden, is tijdig updaten geen overbodige luxe meer.