Firma AI ujawnia błąd w Ledgerze, CTO nazywa to sianiem strachu po cichym naprawieniu

Firma zajmująca się bezpieczeństwem sztucznej inteligencji (AI) ujawniła błąd w aplikacji Ledger Ethereum. Ledger twierdzi, że naprawił tę lukę w ciszy, dwa tygodnie wcześniej.

Dyrektor technologiczny Charles Guillemet nazwał to ujawnienie sianiem strachu. Łatka została wydana 12 sierpnia z jednolinijkową notatką i bez biuletynu bezpieczeństwa.

Co tak naprawdę zrobił błąd w aplikacji Ledger Ethereum

Ledger sprzedaje jedną podstawową obietnicę. Ekran pokazuje, co podpisujesz. Ta obietnica ma swoją nazwę. Ledger nazywa to jasnym podpisywaniem i przekształca surowy kod transakcji w proste słowa na ekranie urządzenia.

TestMachine twierdzi, że znalazł sposób na obejście tego. Firma buduje agenta AI o nazwie Azimuth, który poluje na exploity w inteligentnych kontraktach. W swoim własnym teście EVMBench, Azimuth wychwytuje 86,3% znanych błędów z około 2,7% fałszywych pozytywów.

Oto luka w prostych słowach. Złośliwa strona internetowa mogła wysłać urządzeniu drugie polecenie, podczas gdy wciąż czytałeś pierwsze.

Kanał między przeglądarką a urządzeniem nazywa się Jednostką Danych Protokółu Aplikacji, czyli APDU. Nadal nasłuchiwał podczas przeglądania. Więc zaakceptował zamianę.

Czytałbyś mały transfer na ekranie. Następnie dotknąłbyś zatwierdzenia. I tak naprawdę podpisałbyś nieograniczone zatwierdzenie tokena dla obcego.

To ostatnia część sprawia, że to ma znaczenie. Chainalysis prześledził około 1 miliarda dolarów w kryptowalutach skradzionych poprzez phishing zatwierdzeń od maja 2021 roku. Ci ofiary same podpisały zatwierdzenia.

TestMachine mówi, że potwierdził błąd na Ledger Flex. Ledger sprzedał ponad 7 milionów urządzeń w 180 krajach.

Zespół Donjon Ledger mówi, że dotarł tam pierwszy

Guillemet przewraca oś czasu. Donjon to wewnętrzny zespół hakerski Ledger. Mówi, że wykrył błąd za pomocą własnych narzędzi AI i jako pierwszy wysłał poprawkę.

Publiczny dziennik zmian potwierdza datę. Wersja 1.22.2 została wydana 12 sierpnia. Cała jej notatka dotycząca bezpieczeństwa mówi „Problemy z bezpieczeństwem.”

Donjon opublikował 22 numerowane biuletyny bezpieczeństwa. Żaden z nich nie dotyczy tego błędu. Najnowszy, datowany na 4 czerwca, dotyczy problemu z odzyskiwaniem kluczy Monero.

Ta cisza to luka, w którą wszedł TestMachine. Ledger zamknął lukę, a potem nigdy nie powiedział właścicielom, co zamknął.

Ostry zarzut Guillemeta dotyczy manier. Mówi, że TestMachine skontaktował się z programem nagród dopiero po wydaniu poprawki. Nigdy nie rozmawiał z zespołem nagród.

„…Potem opublikowali wątek sugerujący, że problem nie został rozwiązany. Nie jest. To nie jest badanie bezpieczeństwa. To wytwarzanie strachu dla uwagi,” zauważył Charles Guillemet, CTO Ledger.

Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco

TestMachine pochwalił szybkość poprawki i odmówił nagrody. Ledger wypłaca nagrody w Bitcoinie, w kwocie ustalanej indywidualnie.

AI znalazło błąd dwa razy, ale ludzie wciąż walczyli

Obie strony wykorzystały uczenie maszynowe, aby dotrzeć do tej samej wady. To jest część, którą warto obserwować.

Ledger już wcześniej przedstawiał ten argument. Jego kierownictwo od miesięcy mówi, że atakujący AI zagrażają portfelom bardziej niż słaby sprzęt.

Guillemet postawił swoją granicę na dyscyplinie.

„Badania w tempie AI czynią ekosystem bezpieczniejszym tylko wtedy, gdy osoby je prowadzące nadal przestrzegają podstawowych zasad bezpieczeństwa. Odpowiedzialnie ujawniaj. Weryfikuj przed publikacją. Nie myl hałasu z odkryciem.”

Sama walka jest znajoma. Firmy zajmujące się bezpieczeństwem głośno ogłosiły po zhakowaniu urządzenia Trezor, a badacze CertiK walczyli z Krakenem o warunki ujawnienia w 2024 roku.

Wada również jest znana. W styczniu 2021 roku Donjon ujawnił, że ta sama aplikacja Ethereum nie wyświetlała danych transakcji dla nieobsługiwanych aktywów. Ta sama aplikacja, ta sama lekcja. To, co widziałeś, nie było tym, co podpisałeś.

AI teraz ujawnia te błędy w ciągu godzin. Dostawcy i badacze nadal współpracują z prędkością ludzką. Ta luka to miejsce, w którym żyje ten argument.

Dla właścicieli naprawa jest nudna. Otwórz Ledger Live, zaktualizuj aplikację Ethereum i sprawdź, czy wyświetla wersję 1.22.2.

Źródło: BeInCrypto