Hakerstwo Coldcard o wartości 116 milionów dolarów wstrząsnęło posiadaczami Bitcoina w zeszłym tygodniu. Najwyższy specjalista ds. bezpieczeństwa Ledger powiedział, że nagłówek całkowicie minął się z celem.
Rozmawiając z Bloomberg, Ian Rogers, dyrektor ds. zasobów ludzkich w Ledger, argumentował, że atak nie jest dowodem na to, że samodzielne przechowywanie lub portfele sprzętowe są z natury ryzykowne. Prawdziwa historia, powiedział, dotyczy tego, co AI pozwala atakującym robić z systemami opartymi na słabej losowości.
Dlaczego Ledger nie został dotknięty
Wrażliwość Coldcard sięgała błędu oprogramowania z 2021 roku, który kierował generację nasion przez programowy generator liczb pseudolosowych zamiast przez chip sprzętowy urządzenia.
To wygenerowało entropię wynoszącą od około 40 do 72 bitów, co stanowiło zbyt małą przestrzeń adresową, aby atakujący z AI mógł systematycznie skanować i lokalizować klucze prywatne. TRM Labs zidentyfikowało 1,082 BTC wykradzione w pierwszej fali w ciągu 41 minut 30 lipca.
Ledger generuje entropię całkowicie w sprzęcie, powiedział Rogers Bloomberg, używając certyfikowanego bezpiecznego chipa bez programowego zapasowego rozwiązania. Powstała przestrzeń adresowa to, według jego słów, „liczba trzy z 67 zerami za nią”. Żaden atakujący nie może tego złamać siłą brute-force.
To nie pierwszy raz, kiedy Ledger wykrył tego rodzaju błąd. W 2022 roku firma zidentyfikowała podobny błąd w Trust Wallet i pracowała nad odpowiedzialnym ujawnieniem, aby pomóc użytkownikom przenieść środki w bezpieczne miejsce. Relacja BeInCrypto na temat trwających fal kradzieży Coldcard pokazuje, jak szybko i systematycznie wykorzystanie stało się, gdy wrażliwość stała się znana.
3 sposoby, w jakie AI zmieniło zagrożenie
Rogers przedstawił trzy narastające zagrożenia.
Po pierwsze, AI daje atakującym większą siłę rażenia do znajdowania luk w każdym systemie, nie tylko w kryptowalutach. Wskazał na ataki na infrastrukturę wodną w USA jako część tego samego trendu, ponieważ używane narzędzia są ogólnego przeznaczenia.
Po drugie, rozwój wspomagany przez AI oznacza, że więcej kodu jest szybciej wdrażane w całej branży, co zwiększa powierzchnię ataku dla wszystkich. BeInCrypto doniosło, jak wykorzystania inteligentnych kontraktów wspomagane przez AI wyprzedzają narzędzia stworzone do ich wykrywania.
Po trzecie, i tutaj Rogers wykracza poza historię Coldcard, przedsiębiorstwa wdrażają agentów, którzy mają dostęp do wewnętrznych tajemnic, takich jak e-maile, Slack i dane uwierzytelniające. Bloomberg przedstawił wykorzystanie Coldcard jako historię sprzętową. Rogers przedstawia to jako wczesny sygnał znacznie szerszego problemu bezpieczeństwa w erze AI.
Zagrożenie agentowe, o którym ostrzegał Rogers
Pod koniec ubiegłego roku Rogers opisał przyszłość, w której ludzie przekazują agentom AI swoje hasła, karty kredytowe i tożsamości jako niebezpieczne, niezarządzane ryzyko. Niewielu ludzi rozumiało, co miał na myśli w tamtym czasie. Teraz już rozumieją.
Jego analogia porównuje agentów AI i tajemnice do nastolatka i kluczyków do samochodu. Kluczyki nie znajdują się w pokoju nastolatka. Rodzic decyduje, w zależności od kontekstu, kiedy dostęp jest odpowiedni. Poniedziałkowa jazda do szkoły jest w porządku. Piątkowa noc po imprezie już nie. Ta sama logika, argumentuje Rogers, musi rządzić tym, do czego każdy agent może mieć dostęp i kiedy.
Ledger już oferuje narzędzia, które pozwalają agentowi posiadać portfel bez trzymania kluczy prywatnych. Zasada jest ta sama, która zawsze rządziła bezpieczeństwem sprzętowym: ochrona przez projekt, a nie przez politykę.
Gdziekolwiek są przechowywane Twoje aktywa, powinieneś być zainteresowany poziomem bezpieczeństwa, który je chroni.
Rogers powiedział Bloombergowi.
Źródło: BeInCrypto
