Una società di sicurezza informatica specializzata in intelligenza artificiale (AI) è diventata pubblica con un bug nell'app Ledger Ethereum. Ledger afferma di aver già corretto il difetto in modo silenzioso, due settimane prima.
Il direttore tecnico Charles Guillemet ha definito la divulgazione un allarmismo. La patch è stata rilasciata il 12 agosto con una nota di una riga e senza bollettino di sicurezza.
Cosa ha fatto realmente il bug dell'app Ledger Ethereum
Ledger vende una promessa fondamentale. Lo schermo ti mostra cosa stai firmando. Quella promessa ha un nome. Ledger la chiama firma chiara, e trasforma il codice della transazione grezza in parole semplici sullo schermo del dispositivo.
TestMachine afferma di aver trovato un modo per aggirare questo. L'azienda costruisce un agente AI chiamato Azimuth che cerca exploit nei contratti intelligenti. Nel suo benchmark EVMBench, Azimuth cattura l'86,3% dei bug noti con circa il 2,7% di falsi positivi.
Ecco il difetto in termini semplici. Un sito web malevolo potrebbe inviare al dispositivo un secondo comando mentre stavi ancora leggendo il primo.
Il canale tra browser e dispositivo è chiamato Application Protocol Data Unit, o APDU. Ha continuato ad ascoltare durante la revisione. Quindi ha accettato lo scambio.
Leggeresti un piccolo trasferimento sullo schermo. Poi toccheresti approva. E in realtà firmeresti un'approvazione di token illimitata a uno sconosciuto.
Quell'ultima parte è il motivo per cui questo è importante. Chainalysis ha tracciato circa 1 miliardo di dollari in criptovalute rubate attraverso phishing di approvazione da maggio 2021. Quelle vittime hanno firmato le approvazioni stesse.
TestMachine afferma di aver confermato il bug su un Ledger Flex. Ledger ha venduto più di 7 milioni di dispositivi in 180 paesi.
Il Team Donjon di Ledger afferma di essere arrivato prima.
Guillemet ribalta la cronologia. Donjon è il team di hacking interno di Ledger. Dice che ha individuato il bug con i propri strumenti di intelligenza artificiale e ha inviato la correzione per primo.
Il changelog pubblico supporta la data. La versione 1.22.2 è stata rilasciata il 12 agosto. L'intera nota di sicurezza dice "Problemi di sicurezza."
Donjon ha pubblicato 22 bollettini di sicurezza numerati. Nessuno di essi copre questo bug. L'ultimo, datato 4 giugno, riguarda invece un problema di recupero chiave Monero.
Quel silenzio è il vuoto in cui è entrato TestMachine. Ledger ha chiuso la falla, poi non ha mai informato i proprietari su cosa avesse chiuso.
La lamentela più acuta di Guillemet riguarda le maniere. Dice che TestMachine ha contattato il programma di ricompense solo dopo che la patch è stata rilasciata. Non ha mai parlato con il team delle ricompense.
"...Poi hanno pubblicato un thread che implica che il problema sia irrisolto. Non lo è. Questa non è ricerca sulla sicurezza. È creare paura per attirare attenzione," ha osservato Charles Guillemet, CTO di Ledger.
Seguici su X per ricevere le ultime notizie in tempo reale
TestMachine ha lodato la velocità della correzione e ha rifiutato la ricompensa. Ledger paga le ricompense in Bitcoin, in un importo che stabilisce caso per caso.
L'IA ha trovato il bug due volte, ma gli esseri umani hanno ancora combattuto.
Entrambi i lati hanno utilizzato l'apprendimento automatico per raggiungere lo stesso difetto. Quella è la parte da tenere d'occhio.
Ledger ha già fatto questo argomento in passato. I suoi dirigenti hanno detto per mesi che gli attaccanti AI minacciano i portafogli più dell'hardware debole.
Guillemet ha tracciato la sua linea nella disciplina.
“La ricerca a velocità AI rende l'ecosistema più sicuro solo se le persone che la fanno seguono ancora i principi di sicurezza di base. Rivelare responsabilmente. Verificare prima di pubblicare. Non confondere il rumore con una scoperta.”
La lotta stessa è familiare. Le aziende di sicurezza si sono fatte sentire dopo aver hackerato un dispositivo Trezor, e i ricercatori di CertiK hanno combattuto con Kraken sui termini di divulgazione nel 2024.
Anche il difetto è familiare. Nel gennaio 2021, Donjon ha rivelato che questa stessa app Ethereum non mostrava i dati delle transazioni per gli asset non supportati. Stessa app, stessa lezione. Ciò che hai visto non è ciò che hai firmato.
L'AI ora mette in evidenza questi bug in poche ore. I fornitori e i ricercatori coordinano ancora a velocità umana. Quel divario è dove vive questo argomento.
Per i proprietari, la soluzione è noiosa. Apri Ledger Live, aggiorna l'app Ethereum e controlla che legga 1.22.2.
Fonte: BeInCrypto
