Il dirigente di Ledger Ian Rogers sostiene che il furto da 116 milioni di dollari ai danni dei wallet Coldcard dimostra come l’intelligenza artificiale possa amplificare i fallimenti nella generazione casuale delle seed, più che provare che gli hardware wallet o l’auto-custodia siano intrinsecamente insicuri.
Punti chiave
- Un difetto nella generazione delle seed su Coldcard ha ridotto l’entropia effettiva a circa 40 bit sui dispositivi più vecchi e a circa 72 bit sui modelli più recenti colpiti.
- TRM Labs indica che, a partire dal 30 luglio, quattro ondate di furti hanno drenato circa 1.816 Bitcoin (BTC), per un valore vicino a 116 milioni di dollari.
- Secondo Rogers, l’AI abbassa drasticamente i costi per individuare vulnerabilità, mentre agenti autonomi introducono nuovi rischi quando ottengono accesso a credenziali e altri segreti.
Il difetto nel wallet Bitcoin
Come riportato il 12 agosto, Rogers, chief human agency officer di Ledger, ha respinto l’idea che l’incidente dimostri una debolezza strutturale degli hardware wallet. Il problema, ha spiegato, risiede piuttosto nella scarsa qualità della casualità e nell’uso di strumenti di AI che consentono agli aggressori di individuare in modo molto più efficiente i sistemi vulnerabili.
Il produttore di Coldcard, Coinkite, ha spiegato che un bug di firmware introdotto nel 2021 ha portato il software a usare un generatore pseudocasuale invece del percorso hardware previsto per la generazione delle seed. Le stime preliminari indicano un’entropia effettiva di circa 40 bit sui dispositivi Mk2 e Mk3 interessati, e di circa 72 bit sui modelli più recenti colpiti.
Secondo TRM Labs in quattro ondate di attacchi sono stati sottratti circa 1.816 BTC da oltre 5.200 indirizzi, per perdite complessive nell’ordine di 116 milioni di dollari. Ledger precisa che i suoi dispositivi generano entropia tramite un true random number generator hardware integrato in un Secure Element certificato, senza alcun fallback software.
Da leggere anche: XRP scende sotto 1 dollaro mentre le “balene” accumulano silenziosamente 380 milioni di token
L’allarme di Ian Rogers
Rogers sostiene che l’AI stia trasformando il panorama delle minacce in tre modi: offre agli attaccanti strumenti molto più potenti per la ricerca di vulnerabilità, accelera lo sviluppo software e moltiplica il numero di agenti AI con accesso a sistemi sensibili.
Il terzo rischio va ben oltre i wallet crypto, perché gli agenti usati dalle aziende possono gestire email, credenziali, dati di pagamento e comunicazioni interne.
Rogers paragona i controlli di accesso per gli agenti AI a un genitore che decide quando consegnare le chiavi dell’auto a un figlio adolescente, sostenendo che il contesto debba determinare quando un agente può esercitare permessi sensibili. Ledger sta sviluppando strumenti che separano la capacità operativa di un agente sul wallet dal controllo effettivo delle chiavi private.
«Indipendentemente da dove siano custoditi i vostri asset, dovreste interessarvi al livello di sicurezza che li protegge», ha dichiarato Rogers a Bloomberg.
Ledger aveva già sollevato in passato preoccupazioni simili sulla qualità della casualità. Il team di sicurezza Donjon ha segnalato a Trust Wallet un bug nell’estensione browser nel novembre 2022, dopo aver scoperto che l’entropia delle seed si era ridotta a 32 bit.
Prossimo articolo: La responsabile di Apple Pay Jennifer Bailey si ritira dopo 25 anni in azienda
