Portfele sprzętowe to nie problem, twierdzi przedstawiciel Ledger. Atakujący wykorzystujący AI są

Atak na Coldcard o wartości 116 mln USD wstrząsnął posiadaczami Bitcoin w zeszłym tygodniu. Główny specjalista ds. bezpieczeństwa Ledger twierdzi, iż nagłówek całkowicie rozminął się z istotą sprawy.

W rozmowie z Bloomberg, Ian Rogers, Chief Human Agency Officer firmy Ledger, przekonywał, iż atak nie dowodzi, iż samodzielna kontrola środków czy portfele sprzętowe są z natury ryzykowne. Jego zdaniem, prawdziwą historią jest to, co sztuczna inteligencja umożliwia atakującym względem systemów opartych na słabej losowości.

Dlaczego Ledger nie ucierpiał

Podatność Coldcard wynikała z błędu w oprogramowaniu z 2021 roku, opisanego tutaj, który przekierowywał generowanie seeda przez pseudolosowy generator liczb w oprogramowaniu zamiast przez sprzętowy chip urządzenia.

To dawało entropię na poziomie około 40–72 bitów, czyli zbyt małą przestrzeń adresową, którą atakujący wykorzystujący sztuczną inteligencję mogli przeszukiwać systematycznie i odnajdywać klucze prywatne. TRM Labs ustaliło, iż w pierwszej fali, trwającej 41 minut 30 lipca, wyczyszczono 1082 BTC.

Ledger generuje entropię całkowicie sprzętowo – wyjaśnił Rogers w rozmowie z Bloomberg – używając certyfikowanego, bezpiecznego chipu bez programowego trybu awaryjnego. Powstała w ten sposób przestrzeń adresowa to, jak sam powiedział, „cyfra trzy z 67 zerami po niej”. Nikt nie jest w stanie przeprowadzić ataku brute-force na tym poziomie.

Ledger już wcześniej wykrywał podobne luki. W 2022 roku firma zidentyfikowała podobny błąd w Trust Wallet i odpowiedzialnie przekazała informację, by użytkownicy mogli przenieść środki w bezpieczne miejsce. Relacja BeInCrypto na temat kolejnych fal kradzieży z Coldcard pokazuje, jak gwałtownie i metodycznie atakujący zaczęli wykorzystywać znaną już lukę.

3 sposoby, w jakie AI zmieniło zagrożenia

Rogers podsumował trzy rosnące zagrożenia.

Po pierwsze, sztuczna inteligencja daje atakującym większe możliwości wyszukiwania luk w każdym systemie, nie tylko kryptowalutach. Wskazał ataki na infrastrukturę wodociągową w USA jako przykład tego samego trendu, ponieważ narzędzia mają zastosowanie ogólne.

Po drugie, rozwój wspierany przez AI sprawia, iż do branży trafia coraz więcej kodu, co zwiększa powierzchnię ataku dla wszystkich. BeInCrypto pisało o tym, jak exploity inteligentnych kontraktów zasilanych AI wyprzedzają narzędzia budowane do ich wykrywania.

Po trzecie, i tu Rogers wykracza poza historię Coldcard, firmy korzystają już z agentów mających dostęp do wewnętrznych sekretów, takich jak e-mail, Slack czy dane logowania. Bloomberg przedstawił atak na Coldcard jako problem sprzętowy. Rogers traktuje go jako wczesny sygnał dużo szerszego problemu bezpieczeństwa w erze sztucznej inteligencji.

Zagrożenie agentów, o którym ostrzegał Rogers

Pod koniec ubiegłego roku Rogers opisał przyszłość, w której ludzie powierzają agentom AI swoje hasła, karty kredytowe i tożsamości jako niebezpieczne, niekontrolowane ryzyko. Wtedy kilka osób rozumiało, co miał na myśli. Teraz już rozumieją.

Jego analogia porównuje agentów AI i sekrety do nastolatka i kluczyków do auta. Kluczyki nie leżą w pokoju nastolatka. Rodzic decyduje w zależności od kontekstu, kiedy dostęp jest adekwatny. Jazda do szkoły w poniedziałek rano to dobry pomysł. Wyjazd po imprezie w piątkowy wieczór to zły pomysł. Ta sama logika, twierdzi Rogers, powinna określać, do czego i kiedy może mieć dostęp każdy agent.

Ledger oferuje już narzędzia, które pozwalają agentowi obsługiwać portfel bez posiadania kluczy prywatnych. Tu działa ta sama zasada, która zawsze była podstawą bezpieczeństwa sprzętowego: ochrona przez projekt, a nie przez politykę.

Niezależnie od miejsca przechowywania Twoich aktywów, powinieneś interesować się poziomem bezpieczeństwa, który je chroni.

Stwierdził to Rogers w rozmowie z Bloomberg.

BeInCrypto Polska - Portfele sprzętowe to nie problem, twierdzi przedstawiciel Ledger. Atakujący wykorzystujący AI są