O hack de $116 milhões do Coldcard abalou os detentores de Bitcoin na semana passada. O principal executivo de segurança da Ledger diz que a manchete perdeu completamente o ponto.
Falando à Bloomberg, Ian Rogers, Diretor de Agência Humana da Ledger, argumentou que o ataque não é uma evidência de que a autocustódia ou as carteiras de hardware são inerentemente arriscadas. A verdadeira história, disse ele, é o que a IA permite que os atacantes façam com sistemas construídos em aleatoriedade fraca.
Por que a Ledger não foi afetada
A vulnerabilidade do Coldcard remonta a um bug de firmware de 2021 que direcionou a geração de sementes através de um gerador de números pseudorrandômicos de software em vez do chip de hardware do dispositivo.
Isso produziu uma entropia de aproximadamente 40 a 72 bits, um espaço de endereço pequeno o suficiente para que um atacante alimentado por IA pudesse escanear sistematicamente e localizar chaves privadas. A TRM Labs rastreou 1.082 BTC drenados na varredura de 41 minutos da primeira onda em 30 de julho.
A Ledger gera entropia inteiramente em hardware, disse Rogers à Bloomberg, usando um chip seguro certificado sem fallback de software. O espaço de endereço resultante é, em suas palavras, “o número três com 67 zeros atrás dele.” Nenhum atacante pode forçar isso.
Não é a primeira vez que a Ledger identifica esse tipo de falha. Em 2022, a empresa identificou um bug semelhante na Trust Wallet e trabalhou através de divulgação responsável para ajudar os usuários a mover fundos para segurança. A cobertura da BeInCrypto sobre as ondas de roubo em andamento do Coldcard mostra quão rápido e sistemático a exploração se tornou uma vez que a vulnerabilidade foi conhecida.
3 maneiras que a IA mudou a ameaça
Rogers apresentou três ameaças em crescimento.
Primeiro, a IA dá aos atacantes mais poder de fogo para encontrar vulnerabilidades em qualquer sistema, não apenas em criptomoedas. Ele citou ataques à infraestrutura de água dos EUA como parte da mesma tendência, uma vez que as ferramentas subjacentes são de uso geral.
Segundo, o desenvolvimento assistido por IA significa que mais código é lançado mais rapidamente em toda a indústria, expandindo a superfície de ataque para todos. O BeInCrypto relatou como os exploits de contratos inteligentes impulsionados por IA agora superam as ferramentas criadas para detectá-los.
Terceiro, e aqui é onde Rogers vai além da história do Coldcard, as empresas estão implantando agentes que têm acesso a segredos internos como e-mail, Slack e credenciais. A Bloomberg enquadrou o exploit do Coldcard como uma história de hardware. Rogers o enquadra como um sinal inicial de um problema de segurança na era da IA muito mais amplo.
A Ameaça Agente que Rogers Alertou
No final do ano passado, Rogers descreveu um futuro onde as pessoas entregam a agentes de IA suas senhas, cartões de crédito e identidades como um risco perigoso e não gerenciado. Poucas pessoas entenderam o que ele queria dizer na época. Elas entendem agora.
Sua analogia compara agentes de IA e segredos a um adolescente e chaves de carro. As chaves não ficam no quarto do adolescente. Um pai decide, com base no contexto, quando o acesso é apropriado. Uma viagem de segunda-feira de manhã para a escola é aceitável. Uma noite de sexta-feira após uma festa não é. A mesma lógica, argumenta Rogers, deve governar o que qualquer agente pode acessar e quando.
A Ledger já oferece ferramentas que permitem a um agente manter uma carteira sem segurar as chaves privadas. O princípio é o mesmo que sempre governou a segurança de hardware: proteção por design, não por política.
Onde quer que seus ativos estejam armazenados, você deve estar interessado no nível de segurança que os protege.
Rogers disse à Bloomberg.
Fonte: BeInCrypto
