Ayon sa gumagawa ng hardware wallet na Ledger, ang kamakailang Coldcard exploit ay dapat magsilbing babala para sa industriya ng cryptocurrency.

Ayon kay Ledger CTO Charles Guillemet, ibinunyag ng insidente ang mga kahinaan sa kung paano gumagawa ang ilang device, sa kasong ito ang mga hardware cryptocurrency wallet, ng cryptographic randomness habang ipinapakita kung paano binabago ng artificial intelligence ang parehong cyberattacks at digital defenses.

"Itinuturing namin ito bilang isang seryosong paalala kung paano nakasalalay o nawawala ang buong modelo ng seguridad ng isang hardware wallet sa randomness," sabi ni Guillemet sa Decrypt. "Mahirap ang kriptograpiya at mas mahirap itong ipatupad nang ligtas. Ang insidente ng Coldcard ngayong linggo ay ginawa itong nakikita sa pinakamahal na posibleng paraan."

Dumating ang mga komento habang patuloy na lumalaki ang epekto ng Coldcard exploit.

Noong nakaraang linggo, ibinunyag ng gumagawa ng Coldcard na Coinkite ang isang depekto sa air-gapped Coldcard Bitcoin hardware wallet na nagsimula pa noong Marso 2021 na firmware build. Ang bug ay gumamit ng software fallback sa halip na hardware random number generator ng device upang lumikha ng mga wallet recovery seed, na nagpapaging hulaan ang ilang private key at nagpapahintulot sa mga magnanakaw na nakawin ang Bitcoin ng user.

Sa ngayon, umabot na sa humigit-kumulang $130 milyon ang mga pagkalugi habang patuloy na iniimbestigahan ang iba pang pagnanakaw. Noong Linggo, naglabas ang Coinkite ng patched firmware at hinikayat ang mga apektadong user na ilipat ang mga pondo sa mga bagong henerasyong wallet.

Hindi tumugon ang Coinkite sa kahilingan ng Decrypt para sa komento tungkol sa kuwentong ito.

Sinabi ng Ledger na ang sarili nitong mga hardware wallet ay hindi apektado dahil iba ang paraan ng pagbuo nito ng mga parirala sa pagbawi.

"Ang mga Ledger hardware wallet ay kumukuha ng kanilang root secret (ang 24-salitang Secret Recovery Phrase) mula sa isang tunay na hardware random number generator na direktang binuo sa isang sertipikadong Secure Element, nang walang software fallback path," sabi ni Guillemet. "Ang generator na iyon ay gumagawa ng buong 256 bits ng entropy para sa bawat seed."

Para sa Ledger, nagdudulot ang insidente ng mas malawak na mga tanong tungkol sa kung paano sinusuri ang seguridad ng hardware wallet.

"Ang open source at na-review ay hindi pareho," sabi ni Guillemet. "Ang depektong ito ay nanatili sa pampublikong code nang higit sa limang taon hanggang, ayon sa ulat, ginamit ng isang kalaban ang AI upang hanapin ito, isang paalala na magkaiba ang pagiging open at pagiging na-review."

Sinabi niya na binabago ng AI ang cybersecurity sa pamamagitan ng pagpapahintulot sa mga umaatake na i-scan ang code, maghanap ng mga error sa configuration, at tukuyin ang mga kahinaan "sa bilis ng makina."

"Nangangahulugan iyon na ang pagtatanggol ay kailangang kumilos sa parehong bilis," aniya. "Kailangan itong magmula sa seguridad sa pamamagitan ng disenyo, hardware, at matematika."

Noong Mayo, isang security researcher na gumagamit ng Claude Opus 4.8 ang nakatuklas ng apat na taong gulang na kahinaan na maaaring nagpasigla ng walang limitasyong pagmimina ng Zcash, na nagdulot ng malawakang takot sa mga mamumuhunan at nagpababa sa Zcash ng higit sa 40% sa isang araw bilang tugon.

Ayon kay Guillemet, sinabi ng Ledger na gumugol ito ng nakaraang dalawang taon sa paggamit ng AI kasama ang mga human security engineer at cryptographer upang suriin ang code at tukuyin ang mga kahinaan bago pa man ito samantalahin ng mga umaatake.

“Hindi lang din kami umaasa sa aming sariling salita para doon,” paliwanag niya. “Ang aming Donjon research lab ay umiiral upang subukang sirain ang aming mga produkto bago pa man ang iba.”

Upang mapagaan ang panganib sa hinaharap, sinabi ni Guillemet na ang mga gumagamit na sumusuri sa anumang hardware wallet ay dapat maunawaan kung paano ito bumubuo ng randomness at kung ang prosesong iyon ay independiyenteng na-sertipikado.

"Ang randomness ay dapat magmula sa pisika, hindi isang formula," aniya. "Kailangan itong sertipikahan ng mga taong ang trabaho ay subukang sirain ang pahayag na iyon, hindi lamang iginiit ng vendor."