L'hack da 116 milioni di dollari di Coldcard ha scosso i possessori di Bitcoin la scorsa settimana. Il principale dirigente della sicurezza di Ledger afferma che il titolo ha completamente perso il punto.
Parlando con Bloomberg, Ian Rogers, Chief Human Agency Officer di Ledger, ha sostenuto che l'attacco non è prova che la custodia autonoma o i portafogli hardware siano intrinsecamente rischiosi. La vera storia, ha detto, è ciò che l'IA consente agli attaccanti di fare ai sistemi costruiti su una debole casualità.
Perché Ledger non è stata colpita
La vulnerabilità di Coldcard risale a un bug del firmware del 2021 che indirizzava la generazione di seed attraverso un generatore di numeri pseudocasuali software invece che attraverso il chip hardware del dispositivo.
Questo ha prodotto entropia di circa 40-72 bit, uno spazio di indirizzi abbastanza piccolo perché un attaccante potenziato dall'IA potesse scansionare sistematicamente e localizzare le chiavi private. TRM Labs ha tracciato 1.082 BTC drenati nella prima ondata di 41 minuti il 30 luglio.
Ledger genera entropia interamente in hardware, ha detto Rogers a Bloomberg, utilizzando un chip sicuro certificato senza fallback software. Lo spazio di indirizzi risultante è, nelle sue parole, “il numero tre con 67 zeri dietro di esso.” Nessun attaccante può forzare quella.
Non è la prima volta che Ledger ha individuato questo tipo di difetto. Nel 2022, l'azienda ha identificato un bug simile in Trust Wallet e ha lavorato attraverso una divulgazione responsabile per aiutare gli utenti a spostare i fondi in sicurezza. La copertura di BeInCrypto sulle ondate di furto in corso di Coldcard mostra quanto velocemente e sistematicamente sia diventata l'esploitazione una volta che la vulnerabilità è stata conosciuta.
3 Modi in cui l'IA ha cambiato la minaccia
Rogers ha delineato tre minacce in crescita.
In primo luogo, l'IA fornisce agli attaccanti maggiore potenza di fuoco per trovare vulnerabilità in qualsiasi sistema, non solo nelle criptovalute. Ha citato attacchi alle infrastrutture idriche degli Stati Uniti come parte della stessa tendenza, poiché gli strumenti sottostanti sono di uso generale.
In secondo luogo, lo sviluppo assistito dall'IA significa che più codice viene distribuito più rapidamente in tutta l'industria, ampliando la superficie di attacco per tutti. BeInCrypto ha riportato come gli exploit dei contratti intelligenti alimentati dall'IA ora superino gli strumenti costruiti per rilevarli.
In terzo luogo, e qui Rogers va oltre la storia di Coldcard, le imprese stanno distribuendo agenti che detengono l'accesso a segreti interni come email, Slack e credenziali. Bloomberg ha inquadrato l'exploit di Coldcard come una storia hardware. Rogers lo inquadra come un segnale precoce di un problema di sicurezza molto più ampio nell'era dell'IA.
La Minaccia Agente di cui Rogers ha Avvertito
Alla fine dello scorso anno, Rogers ha descritto un futuro in cui le persone consegnano agli agenti IA le loro password, carte di credito e identità come un rischio pericoloso e non gestito. Poche persone capivano cosa intendesse all'epoca. Ora lo capiscono.
La sua analogia confronta gli agenti IA e i segreti con un adolescente e le chiavi dell'auto. Le chiavi non si trovano nella stanza dell'adolescente. Un genitore decide, in base al contesto, quando l'accesso è appropriato. Un viaggio lunedì mattina per andare a scuola va bene. Una notte di venerdì dopo una festa no. La stessa logica, sostiene Rogers, deve governare ciò a cui qualsiasi agente può accedere e quando.
Ledger offre già strumenti che consentono a un agente di detenere un portafoglio senza possedere le chiavi private. Il principio è lo stesso che ha sempre governato la sicurezza hardware: protezione per design, non per politica.
Ovunque siano archiviati i tuoi beni, dovresti essere interessato al livello di sicurezza che li protegge.
Rogers ha detto a Bloomberg.
Fonte: BeInCrypto
