Il dirigente di Ledger Ian Rogers sostiene che il furto di 116 milioni di dollari ai danni dei wallet Coldcard dimostra come l’intelligenza artificiale possa amplificare guasti nella generazione casuale dei seed, più che provare che gli hardware wallet o l’autocustodia siano intrinsecamente insicuri.
Punti chiave
- Un difetto nella generazione del seed su Coldcard ha ridotto l’entropia effettiva a circa 40 bit sui dispositivi più vecchi e a circa 72 bit sui modelli più recenti colpiti.
- Secondo TRM Labs, ondate di furti iniziate il 30 luglio hanno prosciugato circa 1.816 Bitcoin (BTC), per un valore vicino a 116 milioni di dollari.
- Rogers sostiene che l’IA riduca drasticamente il costo di individuare vulnerabilità, mentre agenti autonomi creano nuovi rischi quando ottengono accesso a credenziali e altri segreti.
Il bug nel wallet Bitcoin
I media hanno riportato il 12 agosto che Rogers, chief human agency officer di Ledger, ha respinto l’idea che l’incidente dimostri una debolezza strutturale degli hardware wallet. Ha invece puntato il dito contro una scarsa qualità della casualità nei seed e contro gli strumenti di IA che consentono agli attaccanti di scandagliare i sistemi vulnerabili in modo molto più efficiente.
Il produttore di Coldcard, Coinkite, ha spiegato che un problema di firmware introdotto nel 2021 ha portato la generazione del seed a usare un generatore di numeri pseudocasuali software al posto del percorso hardware previsto. Le stime preliminari indicano un’entropia effettiva vicina a 40 bit sui dispositivi Mk2 e Mk3 interessati e circa 72 bit sui modelli più recenti coinvolti.
Secondo TRM Labs, quattro ondate di furti hanno prosciugato complessivamente circa 1.816 BTC da oltre 5.200 indirizzi, per un danno stimato intorno ai 116 milioni di dollari. Ledger sostiene che i propri dispositivi generano entropia tramite un true random number generator hardware all’interno di un Secure Element certificato, senza alcun fallback software.
Da leggere anche: XRP scivola sotto 1 dollaro mentre le “balene” accumulano in silenzio 380 milioni di token
L’allarme di Ian Rogers
Rogers afferma che l’IA sta trasformando il panorama delle minacce in tre modi: fornisce agli attaccanti strumenti più potenti per la scoperta delle vulnerabilità, accelera lo sviluppo software e moltiplica il numero di agenti di IA con accesso a sistemi sensibili.
Il terzo rischio va ben oltre i crypto wallet, perché gli agenti utilizzati dalle imprese possono gestire email, credenziali, dati di pagamento e comunicazioni interne.
Rogers paragona i controlli di accesso per gli agenti di IA alle decisioni di un genitore su quando consegnare le chiavi dell’auto a un adolescente, sostenendo che debba essere il contesto a determinare quando un agente può usare permessi sensibili. Ledger sta sviluppando strumenti che separano la capacità di un agente di operare un wallet dal controllo effettivo sulle chiavi private.
«Indipendentemente da dove siano custoditi i vostri asset, dovreste preoccuparvi del livello di sicurezza che li protegge», ha dichiarato Rogers a Bloomberg.
Ledger aveva già sollevato in passato preoccupazioni simili sull’entropia. Il team di sicurezza interno, Donjon, ha segnalato a Trust Wallet un bug nell’estensione browser nel novembre 2022, dopo aver riscontrato che l’entropia del seed era scesa a 32 bit.
Prossimo articolo: La responsabile di Apple Pay Jennifer Bailey si ritira dopo 25 anni in azienda
