Producătorul de portofele hardware Ledger spune că recentul exploit Coldcard ar trebui să servească drept un avertisment pentru industria criptomonedelor.

Potrivit CTO-ului Ledger, Charles Guillemet, incidentul a expus slăbiciuni în modul în care unele dispozitive, în acest caz portofelele hardware de criptomonede, generează aleatoriu criptografic, arătând în același timp cum inteligența artificială remodelează atât atacurile cibernetice, cât și apărările digitale.

"Tratăm acest lucru ca o reamintire serioasă a modului în care întregul model de securitate al unui portofel hardware depinde de aleatoriu", a declarat Guillemet pentru Decrypt. "Criptografia este dificilă, iar implementarea ei în siguranță este și mai dificilă. Incidentul Coldcard de săptămâna aceasta a făcut acest lucru vizibil în cel mai costisitor mod posibil."

Comentariile vin pe măsură ce consecințele exploit-ului Coldcard continuă să se amplifice.

Săptămâna trecută, producătorul Coldcard, Coinkite, a dezvăluit o vulnerabilitate în portofelul hardware Bitcoin Coldcard, izolat fizic (air-gapped), care datează dintr-o versiune de firmware din martie 2021. Eroarea a folosit un mecanism de fallback software în loc de generatorul hardware de numere aleatorii al dispozitivului pentru a crea seed-uri de recuperare ale portofelului, făcând unele chei private ghicibile și permițând hoților să fure Bitcoin-ul utilizatorilor.

Până în prezent, pierderile au atins aproximativ 130 de milioane de dolari, în timp ce alte furturi sunt încă sub investigație. Duminică, Coinkite a lansat un firmware patch-uit și a îndemnat utilizatorii afectați să își mute fondurile în portofele nou generate.

Coinkite nu a răspuns solicitării de comentarii a Decrypt pentru acest articol.

Ledger a declarat că propriile sale portofele hardware nu au fost afectate deoarece acestea generează fraze de recuperare în mod diferit.

"Portofelele hardware Ledger își extrag secretul rădăcină (fraza secretă de recuperare de 24 de cuvinte) dintr-un generator hardware de numere aleatorii real, încorporat direct într-un element securizat certificat, fără nicio cale de fallback software", a spus Guillemet. "Acel generator produce toți cei 256 de biți de entropie pentru fiecare seed."

Pentru Ledger, incidentul ridică întrebări mai ample despre modul în care este evaluată securitatea portofelelor hardware.

"Sursa deschisă și revizuită nu sunt același lucru", a spus Guillemet. "Această vulnerabilitate a existat în cod public timp de peste cinci ani până când, se pare, un adversar a folosit AI pentru a o găsi, o reamintire că a fi deschis și a fi revizuit sunt două lucruri diferite."

El a spus că AI schimbă securitatea cibernetică, permițând atacatorilor să scaneze codul, să caute erori de configurare și să identifice vulnerabilități "la viteza mașinii".

"Asta înseamnă că apărarea trebuie să se miște cu aceeași viteză", a spus el. "Trebuie să provină din securitate prin design, hardware și matematică."

În luna mai, un cercetător în securitate, folosind Claude Opus 4.8, a descoperit o vulnerabilitate veche de patru ani, care ar fi putut alimenta crearea nelimitată de Zcash, ducând la o panică generalizată a investitorilor și la o scădere de peste 40% a Zcash într-o singură zi ca răspuns.

Potrivit lui Guillemet, Ledger afirmă că a petrecut ultimii doi ani utilizând AI alături de ingineri de securitate umani și criptografi pentru a revizui codul și a identifica vulnerabilitățile înainte ca atacatorii să le poată exploata.

„De asemenea, nu ne bazăm doar pe propriul nostru cuvânt”, a explicat el. „Laboratorul nostru de cercetare Donjon există pentru a încerca să spargă produsele noastre înainte ca oricine altcineva să o poată face.”

Pentru a atenua riscurile viitoare, Guillemet a declarat că utilizatorii care evaluează orice portofel hardware ar trebui să înțeleagă cum generează aleatoriu și dacă acest proces a fost certificat independent.

"Aleatoriul trebuie să provină din fizică, nu dintr-o formulă", a spus el. "Trebuie să fie certificat de oameni a căror meserie este să încerce să demoleze acea afirmație, nu doar afirmat de către vânzător."