Podatność stojąca za kradzieżami Bitcoinów z Coldcard o wartości ponad $83 million oznacza coś znacznie szerszego niż pojedynczą awarię portfela sprzętowego — uważa współzałożyciel Casa, Jameson Lopp. Wskazuje ona na szerszą zmianę w cyberbezpieczeństwie, ponieważ sztuczna inteligencja przyspiesza moment wykrywania luk w oprogramowaniu zarówno przez atakujących, jak i obrońców. Portfele sprzętowe od dawna były uznawane za złoty standard samodzielnej kontroli nad aktywami, właśnie dlatego że przechowują klucze prywatne offline, co czyni to naruszenie szczególnie istotnym dla zaufania użytkowników do tej kategorii.

W podcastcie The Block The Starting Block podcast Lopp stwierdził, że duże modele językowe (LLM) zmieniają bezpieczeństwo oprogramowania, dramatycznie obniżając koszt znajdowania błędów.

„Advancements in large language models are drastically changing the security landscape,” powiedział Lopp. Określił incydent z Coldcard jako jeden z najwcześniejszych konkretnych przykładów tego zjawiska, które — jak oczekuje — będzie miało konsekwencje dla całej branży portfeli sprzętowych.

Wyścig, który działa w obie strony

Zdaniem Loppa incydent w Coldcard dotyczy mniej wadliwego sprzętu, a bardziej zmieniającego się krajobrazu bezpieczeństwa oprogramowania. Analiza kodu wspierana przez AI, niegdyś zarezerwowana dla dobrze finansowanych zespołów bezpieczeństwa, stała się powszechna. W rezultacie atakujący mogą teraz przeszukiwać publiczne repozytoria kodu w poszukiwaniu przeoczonych podatności, zanim zrobią to sami deweloperzy.

CEO Coinkite, Rodolfo Novak, doszedł do podobnego wniosku, jednocześnie przyznając odpowiedzialność swojej firmy za błąd w firmware. Nazwał incydent „a sober reality of the new AI paradigm”, wskazując, że audyty wspierane przez AI mogą wykrywać błędy znacznie szybciej niż tradycyjne ręczne przeglądy.

Co istotne, jak poinformował TradingView, Coinkite przed włamaniem faktycznie używało aplikacji AI do analizy swojego kodu. Analiza ta nie wykryła słabości — co podkreśla fakt, że zarówno atakujący, jak i obrońcy dysponują dziś podobnymi narzędziami AI, a przewagę ma ten, kto pierwszy znajdzie lukę.

Co dokładnie poszło nie tak wewnątrz urządzenia

Słabość wynikała ze sposobu generowania kluczy odzyskiwania portfela w niektórych wersjach firmware Coldcard. Według informacji przekazanych przez zespół inżynierii i bezpieczeństwa Bitcoina Block, opisanych przez New York Post, podatne urządzenia wykorzystywały przewidywalne dane chipa (takie jak numer seryjny procesora i dane zegara) zamiast właściwej losowości kryptograficznej do generowania liczb.

W efekcie cyberprzestępcy mogli odtworzyć frazy odzyskiwania używane w portfelach i ukraść środki bez fizycznego dostępu do urządzenia.

Wadliwy firmware wprowadzono w March 2021 i naprawiono dopiero w wydaniu wersji 4.21. Według Coinkite samo zaktualizowanie firmware’u nie rozwiązuje problemu. Osoby, które utworzyły portfele przy użyciu wadliwych wersji, powinny wygenerować nowy seed odzyskiwania i przenieść swoje środki, ponieważ podatność jest ściśle powiązana z wcześniej używaną frazą seed.

Galaxy Research podało, że 30 July przestępcy zdołali ukraść 1,082.65 BTC z 1,196 portfeli w około 40 minut. Następnie doszło do kolejnych ataków, w tym ostatniej fali zaobserwowanej przez Alexa Thorna z Galaxy, która — w przeciwieństwie do wcześniejszych ataków wymierzonych wyłącznie w użytkowników single-sig — wyglądała na skierowaną do posiadaczy portfeli multi-sig.

Popularny komentator Bitcoina Guy Swann stwierdził, że incydent jest „the worst hit in bitcoin history” dla ostrożnych posiadaczy tej wirtualnej waluty.

Gdzie kończy się „don't trust, verify”

Dla Loppa włamanie ujawnia również ograniczenia jednej z najbardziej znanych zasad Bitcoina: „Don't trust, verify”.

„It’s a good mantra,” powiedział, „but you have to understand that verification of complex software and hardware is simply not feasible for 99.9% of the population.”

Według Loppa użytkownicy ostatecznie i tak będą musieli zaufać stronie trzeciej, która potwierdzi informacje. Zamiast rezygnować z możliwości korzystania z własnych portfeli, Lopp zaleca dywersyfikację zaufania poprzez używanie wielu portfeli sprzętowych i aplikacji programowych.

Zach Herbert, CEO Foundation, wyraził na podcastcie podobny pogląd, stwierdzając, że wyciąganie wniosku, iż self-custody zawiodła, na podstawie jednego przypadku jest „really dangerous”. Zamiast tego, jego zdaniem, branża musi poprawić praktyki bezpieczeństwa.

Lorenzo Valente związany z ARK Invest stwierdził, że wielu użytkowników po prostu zamieniło ryzyko kontrahenta giełdowego na „software risk, hardware risk, supply-chain risk, phishing risk, backup risk”.

Argument za niezależnymi audytami

To zdarzenie ponownie wywołało zapotrzebowanie na audyty firmware’u prowadzone przez niezależną stronę zamiast całkowitego polegania na własnym przeglądzie dostawcy. Cryptopolitan niedawno opublikował artykuł na temat tego, czy kod open source zapewnia wystarczające bezpieczeństwo, a incydent z Coldcard stanowi kolejne potwierdzenie tej dyskusji.

Według Andrew Lazutkina, Chief Technological Officer w Tangem, publicznie dostępny kod nie powinien być z góry uznawany za bezpieczny. Jak wyjaśnił, „Security comes from strong architecture, thorough testing and independent verification.”

Lopp zauważył, że poważne ujawnienia dotyczące portfeli sprzętowych miały miejsce „a dozen times” i uważa, że każdy z tych incydentów przyczynił się do poprawy branży. Następne pytanie brzmi, czy Coinkite wdroży obiecany techniczny post-mortem oraz szersze niezależne oceny bezpieczeństwa, zanim kolejnej słabości odkryją hakerzy wspierani przez AI.

Najbystrzejsze umysły krypto już czytają nasz newsletter. Chcesz do nich dołączyć? Dołącz do nich.