Coinkite Rilascia Firmware Corretto Dopo il Bug di Coldcard; Probabile Coinvolgimento dell'IA nella Violazione

Bitcoin Magazine

Coinkite Rilascia Firmware Fisso Dopo il Bug di Coldcard; AI Probabilmente Coinvolta Nella Violazione

Si stima che oltre mille bitcoin siano stati rubati finora in un attacco di hacking di cui si è iniziato a discutere sui social media nel pomeriggio del 30 luglio. Coinkite, uno dei produttori di wallet hardware più rispettabili, ha rivelato di avere un bug critico nel modo in cui generava chiavi private sicure per i suoi wallet hardware Bitcoin. Gli esperti del settore credono che l'AI sia stata utilizzata nella violazione.

I dispositivi Coldcard MK3 con versione del firmware 4.0.1 (marzo 2021) fino a 4.1.9 sono i più colpiti. I semi di 12 o 24 parole generati dal dispositivo che non includevano lanci di dadi generati dall'utente o una passphrase extra BIP 39 sono vulnerabili.

Gli utenti che rientrano in questa categoria, che hanno bitcoin in un MK3 Coldcard e non hanno utilizzato la funzione di lancio dei dadi per ulteriore entropia o la passphrase extra, dovrebbero considerarsi a rischio e spostare le loro monete il prima possibile dai wallet. Lo scrittore tecnico di Bitcoin Magazine Shinobi ha pubblicato una guida sull'argomento, e Coinkite ha anche pubblicato una guida e un avviso.

La vulnerabilità era una linea di codice specifica nel firmware, una base di codice software a basso livello che controlla l'hardware. Questo firmware sembra essere aggiornabile. L'avviso di Coinkite è stato aggiornato questa mattina, consigliando agli utenti di aggiornare il firmware del dispositivo per tutti e tre i chip, dispositivi MK3, MK4 e MK5, incluso il Coldcard Q:

“Aggiornato il 31 luglio 2026 alle 9:33 EDT: il firmware corretto è ora disponibile. Gli utenti di Mk4 e Mk5 devono aggiornare alla versione 5.6.0 o successiva. Gli utenti di Q devono aggiornare alla versione 1.5.0Q o successiva. Per Mk3, aggiornare alla versione 4.2.0 o successiva.”

Coinkite ha anche spiegato nel loro avviso che aggiornare il firmware non significa che le chiavi private e pubbliche generate dal firmware vulnerabile prima di questo siano ora sicure; quelle chiavi rimangono vulnerabili poiché sono state effettivamente create con una password debole. Dopo l'aggiornamento del firmware, è necessario creare un nuovo wallet e i fondi devono essere inviati onchain ai nuovi indirizzi per garantire la sicurezza dei fondi. Coinkite ha scritto:

“Aggiornare il firmware non cambia né ripara un seed esistente. Se il tuo seed è stato generato prima della versione del firmware corretto per il tuo modello, segui le indicazioni per la migrazione qui sotto a meno che l'eccezione di entropia dei dadi indipendenti non si applichi a te.”

Alcuni Wallet Multisignature Potrebbero Essere a Rischio

Peter Todd, contributore principale e ingegnere della cybersecurity, ha affrontato oggi casi limite specifici per i wallet multi-firma che utilizzano una soglia di Coldcards per garantire i fondi. “Caso esemplare: hai un 2-di-3, con 2 Cold Cards e un 3° dispositivo non compromesso. Se trasferisci i tuoi fondi, nel momento in cui il tuo script viene rivelato per la prima volta – precedentemente nascosto dietro l'hash dell'indirizzo – l'attaccante ora sa abbastanza per utilizzare le 2 chiavi cold card compromesse per rubare i tuoi fondi.”

La transazione che rivela lo script multisig potrebbe essere non confermata, dando agli hacker abbastanza tempo per creare una transazione concorrente con una commissione più alta. Fortunatamente, tali casi hanno una soluzione: il pool minerario MARA può aiutare in questo caso con il loro servizio di mining nella mempool privata, Slipstream; “perché promettono di mantenere la tua transazione – e quindi le chiavi pubbliche – segrete fino a quando non sono già in un blocco. Riducendo drasticamente la capacità dell'attaccante di rubare i fondi,” ha detto Todd. Ha aggiunto che “Se hai già riutilizzato indirizzi, questo non è rilevante, e dovresti semplicemente cercare di spostare i tuoi fondi il prima possibile. Ma se non lo hai fatto, MARA potrebbe essere in grado di aiutarti.”

Oltre la crisi immediata

NVK, uno dei co-fondatori di Coldcard, ha pubblicato un lungo post su X con un'analisi iniziale oltre ai passaggi di sicurezza di base necessari per proteggere i fondi. In esso, ha scritto che l'azienda è “impegnata a lavorare con gli utenti colpiti che vogliono presentare una denuncia alla polizia, una richiesta di risarcimento assicurativo o la propria indagine”, inclusa “una sintesi scritta dell'incidente specifica per la tua perdita e qualsiasi dato di transazione che possiamo condividere”.

Oltre la crisi immediata, NVK ha indicato un cambiamento tecnologico più ampio poiché le capacità di hacking dell'IA iniziano a cambiare le precedenti dinamiche e aspettative della cybersecurity. Nel post del blog ha scritto:

“A tutti gli altri sviluppatori: crediamo che questa sia una realtà sobria del nuovo paradigma dell'IA. La revisione del codice assistita dall'IA può ora trovare bug latenti a una velocità che supera anche gli esperti più esperti del settore. Se il tuo firmware è open-source o è stato pubblico, assumi che sia già in fase di lettura da parte di attaccanti e difensori.”

L'hack e oltre 70 milioni di dollari in fondi stimati rubati nelle ultime 24 ore sono una taglia efficace pagata agli hacker che ora probabilmente stanno esaminando ogni codice di wallet disponibile per vulnerabilità. Mentre l'industria del Bitcoin e della crittografia in generale ha operato generalmente con l'assunzione che gli hacker testeranno il loro codice, lo sviluppo di modelli di IA ottimizzati per la cybersecurity accelera questi processi.

Esperti del settore si sono riuniti in una lunga chiamata pubblica su X Spaces la scorsa notte, discutendo l'argomento per molte ore. Oltre alle raccomandazioni immediate e alle risposte alle domande degli utenti di Bitcoin durante i lunghi Spaces, è stata discussa anche un'analisi di ciò che è probabile che segua nelle prossime settimane. Altri fornitori di wallet potrebbero essere esaminati, e in particolare i progetti open source che generano materiale per chiavi private saranno testati.

Gli X Spaces non sono stati registrati, probabilmente per preservare la privacy di tutti i partecipanti alla chiamata; tuttavia, il sentimento iniziale suggerisce che le aziende dovranno auditare il proprio codice con i modelli più recenti, come questione di sopravvivenza. I più recenti modelli di IA orientati alla cybersecurity di Anthropic, OpenAI, Kimi K3 di Moonshot e altri sono già disponibili al pubblico. Molte aziende nel settore del Bitcoin li utilizzano già per testare l'integrità del codice, ma alcune potrebbero non farlo, e la corsa per trovare vulnerabilità nel codice rivolto ai portafogli continuerà sicuramente, specialmente nelle prossime settimane.

In definitiva, oggi piangiamo monete perdute, e si verifica uno stato di introspezione e attenta revisione. Oltre a questo hack ora storico ci sarà un'industria e un'infrastruttura di custodia autonoma open source che sarà probabilmente di ordini di grandezza più sicura, con lezioni molto dure apprese. Dopotutto, ogni hacker con un agente IA sta probabilmente testando le difese ora.

Portafogli Multi-vendor, Multi-key e Covenants

I futuri portafogli ad alta sovranità, sia a livello retail che corporate, probabilmente non dipenderanno da alcun singolo fornitore. I portafogli multisignature, se ben realizzati, possono distribuire i rischi di vulnerabilità su diverse basi di codice, team e hardware.

L'entropia generata dagli utenti è stata anche un tema principale negli X Spaces discussi in precedenza, con l'entropia generata dal lancio dei dadi menzionata regolarmente come soluzione. I Coldcard, così come altri portafogli hardware come Foundation Devices, guidano gli utenti su come aggiungere correttamente la propria entropia; molti dadi devono essere lanciati, idealmente più di un centinaio di lanci individuali. Una volta fatto, tuttavia, i lanci dei dadi rappresentano una fonte di casualità non software per i portafogli che separa anche gli utenti dai rischi di casi limite nell'entropia generata da software o hardware.

I covenant, un popolare soft fork tra una certa nicchia nell'industria del Bitcoin, sono stati anche menzionati come ulteriore passo per rafforzare l'industria della custodia autonoma. Questo aggiornamento al consenso di Bitcoin, che potrebbe essere difficile da ottenere, se mai raggiunto, potrebbe fornire agli utenti importanti capacità di smart contract, come un portafoglio che può inviare solo a un elenco bianco di indirizzi, qualcosa di non possibile nello script di Bitcoin oggi.

Questo post Coinkite Rilascia Firmware Fisso Dopo il Bug di Coldcard; AI Probabilmente Coinvolta nella Violazione è apparso per la prima volta su Bitcoin Magazine ed è scritto da Juan Galt.

Fonte: BitcoinMagazine