cryptopolitan.com
Laut Jameson Lopp, Mitbegründer von Casa, ist der Fehler, der zu bitcoin Diebstählen im Wert von über 83 Millionen US-Dollar durch Coldcard-Systeme führte, mehr als nur ein einzelnes Hardware-Wallet-Problem. Er verdeutlicht einen umfassenderen Wandel in der Cybersicherheit: Künstliche Intelligenz verkürzt die Zeit, die Angreifer und Verteidiger benötigen, um Software-Schwachstellen aufzudecken.
Im Podcast „The Starting Block“behauptete Lopp, dass große Sprachmodelle (LLMs) die Softwaresicherheit verändern, indem sie die Kosten für die Entdeckung von Fehlern minimieren.
„Fortschritte bei großen Sprachmodellen verändern die Sicherheitslandschaft drastisch“, sagte er und behauptete, der Coldcard-dent sei eines der ersten Beispiele für dieses Phänomen, das voraussichtlich Auswirkungen auf viele Wallets haben werde.
Ein Rennen, das in beide Richtungen führt
Laut Lopp liegt das Problem weniger in fehlerhafter Hardware als vielmehr in veränderter Sicherheitssoftware. KI-gestützte Codeanalyse, einst ausschließlich gut finanzierten Sicherheitsteams vorbehalten, ist mittlerweile weit verbreitet. Dadurch können Angreifer nun auf öffentliche Code-Repositories zugreifen und unentdeckte Schwachstellen aufspüren, bevor Entwickler diese überhaupt finden.
Der CEO von Coinkite, Rodolfo Novak, kam zum selben Schluss und räumte gleichzeitig seine Verantwortung für den Firmware-Fehler ein. Laut Novak ist derdent „eine nüchterne Realität des neuen KI-Paradigmas“, da KI-gestützte Audits Fehler deutlich schneller aufdecken können als herkömmliche manuelle Audits.
Überraschenderweise erwähnte Cryptopolitan in seinem vorherigen Bericht, dass Coinkite vor dem Hackerangriff eine Anwendung künstlicher Intelligenz zur Analyse seines Quellcodes eingesetzt hatte.
Wie Tradingview berichtet , konnte diese Analyse die Schwachstelle nicht aufdecken, was verdeutlicht, dass sowohl Angreifer als auch Verteidiger Zugang zu ähnlicher KI-Technologie haben, was demjenigen einen Vorteil verschafft, der den Fehler zuerst entdeckt.
Was genau ist im Gerät schiefgelaufen?
Die Schwachstelle entstand durch die Methode zur Generierung von Wiederherstellungs-Wallet-Schlüsseln in einigen Coldcard-Firmware-Versionen. Wie Bitcoin -Entwicklungs- und Sicherheitsteam von Block gegenüber der New York Post mitteilte, verwendeten die betroffenen Geräte bestimmte vorhersehbare Chipinformationen (wie Prozessorseriennummer und Taktfrequenzdaten) anstelle von korrekter Zufallsgenerierung.
Dadurch waren Cyberkriminelle in der Lage, die in den Wallets verwendeten Wiederherstellungsphrasen zu rekonstruieren und die Gelder zu stehlen, ohne physisch auf die Wallet zugreifen zu müssen.
Die fehlerhafte Firmware wurde im März 2021 eingeführt und erst mit Version 4.21 behoben. Laut Coinkitereicht ein einfaches Firmware-Update nicht aus, um das Problem zu lösen. Nutzer, die Wallets mit der fehlerhaften Version erstellt haben, sollten eine neue Wiederherstellungsphrase generieren und ihre Guthaben transferieren, da die Sicherheitslücke eng mit der zuvor verwendeten Wiederherstellungsphrase zusammenhängt.
Galaxy Research berichtete, dass Kriminelle am 30. Juli innerhalb von etwa 40 Minuten 1.082,65 BTC aus 1.196 Wallets erbeuteten. Anschließend folgten weitere Angriffe, darunter die letzte von Alex Thorn (Galaxy) beobachtete Welle, die sich offenbar gegen Inhaber von Multi-Signatur-Wallets richtete, im Gegensatz zu den früheren Angriffen, die ausschließlich Single-Signatur-Nutzer im Visier hatten.
Der bekannte Bitcoin Kommentator Guy Swann erklärte, derdent sei „der schlimmste Schlag in der Geschichte bitcoin “ für vorsichtige Besitzer der virtuellen Währung.
Wo das Prinzip „Vertrauen ist besser als Nachsicht“ seine Grenzen erreicht
Für Lopp offenbart der Vorfall auch die Grenzen eines der bekanntesten Bitcoin-Prinzipien: „Vertrauen ist besser als Nachsicht.“
„Das ist ein guter Leitsatz“, sagte er, „aber man muss verstehen, dass die Überprüfung komplexer Software und Hardware für 99,9 % der Bevölkerung einfach nicht durchführbar ist.“
Laut Lopp werden Nutzer letztendlich einem Drittanbieter vertrauen, der die Informationen validiert. Anstatt auf die Nutzung ihrer eigenen Wallets zu verzichten, plädiert Lopp dafür, dass Nutzer ihr Vertrauen diversifizieren, indem sie mehrere Hardware-Wallets und Software-Anwendungen verwenden.
Zach Herbert, CEO von Foundation, äußerte im Podcast dieselbe Meinung und erklärte, es sei „wirklich gefährlich“, aus nur einem Fall auf das Scheitern der Selbstverwahrung zu schließen. Im Gegenteil, er meint, die Branche müsse ihre Sicherheitsvorkehrungen verbessern.
Lorenzo Valente, der mit ARK Invest in Verbindung steht, behauptete, dass viele Nutzer lediglich ihr Kontrahentenrisiko an der Börse gegen „Softwarerisiko, Hardwarerisiko, Lieferkettenrisiko, Phishing-Risiko, Backup-Risiko“ eingetauscht hätten
Argumente für unabhängigedent
Dieser Vorfall hat erneut die Forderung nach Firmware-Audits durch unabhängigedent anstelle des alleinigen Vertrauens auf die Selbstprüfung des Herstellers verstärkt. Cryptopolitan veröffentlichte kürzlich einen Artikel, der die Frage der ausreichenden Sicherheit von Open-Source-Code erörtert, und der Coldcard-dent liefert einen weiteren Beleg für diese These.
Laut Andrew Lazutkin, dem Chief Technology Officer von Tangem, sollte man öffentlich zugänglichen Code nicht automatisch als sicher betrachten. Er erklärte: „Sicherheit entsteht durch einetronArchitektur, gründliche Tests unddent Verifizierung.“
Lopp merkte an, dass es bereits ein Dutzend schwerwiegende Sicherheitslücken bei Hardware-Wallets gegeben habe und dass all diesedentzur Verbesserung der Branche beigetragen hätten. Die nächste Frage, die beantwortet werden muss, ist, ob Coinkite die angekündigten technischen Nachuntersuchungen und umfassenderendent Sicherheitsbewertungen durchführen wird, bevor KI-gestützte Hacker die nächste Schwachstelle entdecken.