L'intelligenza artificiale sta rivoluzionando la sicurezza dei portafogli digitali, afferma Jameson Lopp dopo i furti di Coldcard
- Jameson Lopp afferma che i furti di Coldcard dimostrano come i modelli linguistici di grandi dimensioni stiano riducendo i costi di individuazione delle vulnerabilità del software sia per gli aggressori che per i difensori.
- La falla sospetta riguardava una debole generazione di seed in alcune versioni del firmware di Coldcard, che permetteva agli aggressori di prendere di mira i portafogli senza accesso fisico ai dispositivi.
- L'dent non significa che l'autocustodia sia fallita, ma rafforza la necessità di auditdent del firmware, configurazioni multisig e di una maggiore fiducia distribuita tra più fornitori di wallet.
Secondo Jameson Lopp, co-fondatore di Casa, la falla alla base dei furti bitcoin da oltre 83 milioni di dollari ai danni di Coldcard non si limita al malfunzionamento di un singolo portafoglio hardware. Essa evidenzia un cambiamento più ampio nella sicurezza informatica, con l'intelligenza artificiale che riduce il tempo necessario sia agli aggressori che ai difensori per individuare le vulnerabilità del software.
Nel podcast The Starting Block, Lopp ha affermato che i modelli linguistici di grandi dimensioni (LLM) stanno cambiando la sicurezza del software riducendo al minimo il costo di individuazione dei bug.
"I progressi nei modelli linguistici di grandi dimensioni stanno cambiando drasticamente il panorama della sicurezza", ha affermato, sostenendo che l'dent di Coldcard è uno dei primi esempi di questo fenomeno, che si prevede avrà ripercussioni su molti portafogli digitali.
Una gara che ha un doppio risvolto
Secondo Lopp, il problema non è tanto un malfunzionamento dell'hardware, quanto piuttosto un'evoluzione del software di sicurezza. L'analisi del codice basata sull'intelligenza artificiale, un tempo appannaggio esclusivo di team di sicurezza ben finanziati, è ora diventata una pratica comune. Di conseguenza, gli aggressori possono accedere ai repository di codice pubblici alla ricerca di vulnerabilità non rilevate prima ancora che vengano scoperte dagli sviluppatori.
L'amministratore delegato di Coinkite, Rodolfo Novak, è giunto alla stessa conclusione, riconoscendo la propria responsabilità in relazione al bug del firmware. Secondo lui, l'dent è "una sobria realtà del nuovo paradigma dell'IA", in quanto le verifiche assistite dall'IA sono in grado di individuare le falle molto più rapidamente rispetto alle tradizionali verifiche manuali.
Sorprendentemente, nel suo precedente rapporto, Cryptopolitan aveva menzionato che Coinkite aveva utilizzato un'applicazione di intelligenza artificiale per analizzare il proprio codice prima di essere hackerata.
Come riportato da Tradingview, tale analisi non è stata in grado di rilevare la vulnerabilità, evidenziando il fatto che sia gli attaccanti che i difensori hanno accesso a tecnologie di intelligenza artificiale simili, il che conferisce un vantaggio a chi individua per primo la falla.
Cosa è andato storto all'interno del dispositivo?
La vulnerabilità è emersa a causa del metodo di generazione delle chiavi di recupero del portafoglio in alcune versioni del firmware di Coldcard. Secondo le informazioni condivise dal team di ingegneria e sicurezza Bitcoin di Block, riportate dal New York Post, i dispositivi vulnerabili utilizzavano determinate informazioni prevedibili del chip (come il numero di serie del processore e i dati dell'orologio) anziché utilizzare un algoritmo di generazione casuale per i numeri.
Di conseguenza, i criminali informatici sono stati in grado di ricostruire le frasi di recupero utilizzate nei portafogli e di rubare i fondi senza accedervi fisicamente.
Il firmware difettoso è stato introdotto a marzo 2021 ed è stato corretto solo con il rilascio della versione 4.21. Secondo Coinkite, il semplice aggiornamento del firmware non risolve il problema. Gli utenti che hanno creato portafogli utilizzando le versioni difettose dovrebbero generare una nuova frase di recupero e trasferire i propri fondi, poiché la vulnerabilità è strettamente collegata alla frase di recupero utilizzata in precedenza.
Galaxy Research ha dichiarato che il 30 luglio i criminali sono riusciti a rubare 1.082,65 BTC da 1.196 portafogli in circa 40 minuti. In seguito, si sono verificati altri attacchi, tra cui l'ultima ondata rilevata da Alex Thorn di Galaxy, che sembrava essere diretta ai possessori di portafogli multi-firma, a differenza dei precedenti attacchi mirati esclusivamente agli utenti con una sola firma.
Il noto commentatore Bitcoin Guy Swann ha affermato che l'dent rappresenta "il peggior colpo nella storia bitcoin " per i possessori prudenti della valuta virtuale.
Dove finisce il principio "non fidarti, verifica"
Per Lopp, la violazione mette in luce anche i limiti di uno dei principi più noti di Bitcoin: "Non fidarti, verifica"
"È un buon mantra", ha affermato, "ma bisogna capire che la verifica di software e hardware complessi è semplicemente irrealizzabile per il 99,9% della popolazione."
Secondo Lopp, gli utenti finiranno per affidarsi a terze parti per la convalida delle informazioni. Piuttosto che rinunciare alla possibilità di utilizzare i propri portafogli, Lopp consiglia agli utenti di diversificare le proprie fonti di fiducia utilizzando più portafogli hardware e applicazioni software.
Zach Herbert, CEO di Foundation, ha espresso la stessa opinione nel podcast, affermando che è "davvero pericoloso" concludere che l'autocustodia abbia fallito basandosi su un solo caso. Al contrario, suggerisce che il settore debba migliorare le proprie pratiche di sicurezza.
Lorenzo Valente, associato ad ARK Invest, ha affermato che molti utenti hanno semplicemente barattato il rischio di controparte della loro borsa con "rischio software, rischio hardware, rischio della catena di approvvigionamento, rischio di phishing, rischio di backup"
Le ragioni a favore delle revisionident indipendenti
Questo episodio ha riacceso la richiesta di audit del firmware da parte di un soggettodent , in sostituzione della totale dipendenza dall'autovalutazione del fornitore. Cryptopolitan ha recentemente pubblicato un articolo in cui si discute se il codice open source offra un livello di sicurezza adeguato, e l'dent di Coldcard ne è un'ulteriore conferma.
Secondo Andrew Lazutkin, Chief Technological Officer di Tangem, non si dovrebbe dare per scontato che il codice accessibile pubblicamente sia sicuro. Come ha spiegato, "La sicurezza deriva da un'architetturatron, da test approfonditi e da verifichedent "
Lopp ha commentato che importanti rivelazioni di vulnerabilità relative ai portafogli hardware si sono verificate "una dozzina di volte" e ha affermato che tutti questidenthanno contribuito al miglioramento del settore. La prossima domanda a cui bisogna rispondere è se Coinkite implementerà le promesse analisi tecniche post-mortem e valutazioni di sicurezzadent più diffuse prima che gli hacker che utilizzano l'intelligenza artificiale scoprano la prossima vulnerabilità.
Non limitarti a leggere le notizie sulle criptovalute. Cerca di capirle. Iscriviti alla nostra newsletter. È gratis.
Domande frequenti
Quanti bitcoin sono stati rubati con l'attacco a Coldcard?
Secondo le stime di Galaxy Research, il 30 luglio, in un arco di 40 minuti, sono stati prelevati 1.082,65 BTC, per un valore di circa 70 milioni di dollari, da 1.196 indirizzi, e le ondate successive hanno portato il totale complessivo a circa 83-89 milioni di dollari.
Qual è stata la causa della vulnerabilità di Coldcard?
Un errore del firmware risalente alla versione 4.0.0 di marzo 2021 ha fatto sì che i dispositivi tornassero a utilizzare un generatore di numeri casuali software debole, basato su dati non segreti del chip come il numero di serie e l'orologio, producendo frasi di ripristino sufficientemente prevedibili da poter essere decifrate con la forza bruta.
Cosa dovrebbero fare ora i possessori di Coldcard?
Secondo Coinkite, l'aggiornamento del firmware non è sufficiente, poiché la vulnerabilità si manifesta dopo la fase di ripristino; gli utenti interessati devono generare una nuova frase di recupero sul firmware aggiornato e trasferire i propri bitcoin nel nuovo portafoglio.
I produttori di portafogli hardware dovrebbero sottoporsi a verifiche di sicurezzadent ?
Gli esperti generalmente considerano le verifichedent come un livello di una strategia di sicurezza più ampia che include anche codice open source, programmi di divulgazione responsabile e test continui.
La generazione di entropia dovrebbe essere certificata esternamente?
Alcuni ricercatori sostengono che i fornitori di portafogli digitali dovrebbero fornire provetronsolide del fatto che i loro metodi di generazione di entropia siano stati validati o certificati indent. Altri avvertono che la sola certificazione non può eliminare gli errori di implementazione e dovrebbe integrare, piuttosto che sostituire, la progettazione di hardware sicuro, la revisione trasparente del codice e i test di sicurezza continui.
Il firmware riproducibile dovrebbe diventare obbligatorio?
Le build del firmware riproducibili, o deterministiche, consentono a chiunque di verificare che il firmware installato su un dispositivo corrisponda al codice sorgente rilasciato pubblicamente. Molti sviluppatori Bitcoin considerano le build riproducibili un'importante caratteristica di trasparenza perché riducono il rischio che venga introdotto codice nascosto o non autorizzato durante il processo di build. Tuttavia, il firmware riproducibile non previene tutte le vulnerabilità,
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Micah Abiodun
Micah Abiodun sfrutta al meglio la sua laurea magistrale in Ingegneria e Gestione Ambientale (MSc) conseguita presso l'Università di Tecnologia di Tallinn (TalTech) per perfezionare i contenuti e le notizie sulle previsioni di prezzo di Cryptopolitan. Giunto al suo settimo anno nel settore dei media crypto, si occupa delle principali criptovalute, altcoin, DeFi, stablecoin, macro tendenze e tecnologie emergenti
