Almeno 15 aggressori diversi hanno sfruttato la vulnerabilità di Coldcard, secondo il responsabile della ricerca di Galaxy Digital, Alex Thorn, che ha citato nuovi rapporti delle vittime ricevuti dopo l’incidente.

Thorn ha detto martedì che i rapporti aggiuntivi hanno permesso a Galaxy di identificare aggressori che altrimenti sarebbero rimasti sconosciuti, poiché la natura dello sfruttamento era diversa da un attacco a un exchange centralizzato, dove perdite e attività sono spesso più facili da tracciare da un singolo punto di fallimento.

“Grazie al rapporto di una singola vittima con meno di 1 BTC rubato, abbiamo identificato un nuovo attacco con 12 BTC sottratti da 126 indirizzi”, ha scritto Thorn in un post su X martedì.

Galaxy Research stima ora che le perdite derivanti dallo sfruttamento di Coldcard abbiano raggiunto 100 milioni di dollari in tre ondate di attacco confermate. L’azienda ha inoltre identificato una sospetta quarta ondata che potrebbe portare le perdite complessive a circa 130 milioni di dollari in Bitcoin (BTC).

L’attacco ha riacceso il dibattito sulla sicurezza dei wallet di cold storage e sul fatto che gli utenti siano più al sicuro detenendo i propri Bitcoin. Evidenzia inoltre come la segnalazione degli incidenti possa modificare retroattivamente la portata di uno sfruttamento, soprattutto quando i fondi colpiti sono distribuiti su molti indirizzi anziché concentrati su un’unica piattaforma.

Il managing partner di Dragonfly, Haseeb Qureshi, ha scritto che circa “$2 di AI hardening” avrebbero potuto prevenire lo sfruttamento di Coldcard, citando report sui social media secondo cui alcuni modelli di AI avrebbero riscoperto la vulnerabilità in meno di 20 minuti.

Le osservazioni di Qureshi sono arrivate in risposta a diversi utenti dei social media che sostenevano che Claude fosse stato in grado di rigenerare la vulnerabilità in soli otto minuti. Ha affermato che quei risultati potrebbero essere stati influenzati dalla ricerca sul web e ha aggiunto che il modello open-source GLM 5.2 è riuscito a riscoprire l’attacco in 20 minuti con l’accesso al web disattivato.

Tuttavia, è improbabile che i modelli di AI avrebbero scoperto autonomamente questa vulnerabilità prima che venisse resa pubblica, ha detto a Cointelegraph Tatsapat Saerejittima, responsabile dei dati della piattaforma di analisi crypto Tokenomist. Ha affermato:

“L’affermazione che l’AI lo abbia trovato in 2 minuti proveniva da un utente Reddit pseudonimo che ha esaminato il codice dopo che la vulnerabilità era già diventata pubblica. Non c’era alcun test in cieco, nessuna metodologia documentata e nessuna valutazione del tasso di falsi positivi del modello.”

Francesco, cofondatore della società di ricerca crypto Castle Labs, ha detto che le capacità in crescita dei modelli di AI stanno riducendo drasticamente il costo e il tempo necessari per scoprire nuove vulnerabilità nelle criptovalute. Ha aggiunto che la configurazione della chiave privata di Coldcard potrebbe aver contribuito al problema.

Coldcard utilizzava un “livello di entropia della chiave privata (40 bit) molto inferiore allo standard adottato da altri wallet (un seed di 12 parole è 128 bit), risultato di un bug del firmware, che ha reso il lavoro più facile”, ha detto a Cointelegraph.

Francesco, che ha chiesto a Cointelegraph di non usare il suo cognome, ha detto di aspettarsi che il costo della scoperta dei bug continui a diminuire man mano che i modelli di AI acquisiranno maggiori capacità e diventeranno più presenti sia nella cybersecurity sia negli exploit.

Related: AI has not triggered DeFi ‘hackpocalypse,’ Dragonfly partner says

Magazine: Does Botanix’s failure prove Bitcoiners don’t care about DeFi?