Уязвимость Coldcard: роль ИИ и скрытые риски в криптокошельках

Технический директор Ledger Шарль Гийме объявил о необходимости пересмотра методов проверки генераторов случайности в биткоин-хранилищах после выявленной уязвимости в Coldcard. Как сообщает Decrypt, инцидент продемонстрировал, что подход «открытый код — проверенный код» имеет свои ограничения. Ошибка оставалась незамеченной в публичной базе более пяти лет, пока не была использована в атаках.

Гийме подчеркнул, что открытый код не всегда проходит тщательную проверку. В устройствах Ledger для генерации случайных бит используется аппаратный генератор в Secure Element, где отсутствует программный резервный путь, ставший причиной проблем в Coldcard.

В связи с инцидентом возник вопрос о влиянии ИИ на анализ кода. По словам Гийме, ИИ-инструменты ускоряют обнаружение уязвимостей как для атакующих, так и для защитников, но доказательства использования искусственного интеллекта злоумышленниками пока отсутствуют.

Пользователи Reddit и X утверждают, что некий Claude Code обнаружил уязвимость Coldcard всего за восемь минут. Ранее представитель Dragonfly Хасиб Куреши отметил, что проверка кода через ИИ могла бы предотвратить атаку за небольшую сумму.

Согласно Galaxy Research, по крайней мере 15 злоумышленников воспользовались уязвимостью, а потери от трех подтвержденных атак составили $100 млн. В случае четвертой волны ущерб может достичь $130 млн. На фоне событий компании Trezor и Foundation предупредили пользователей о фишинговых атаках, в которых мошенники имитируют производителей, предлагая фальшивый аудит оборудования.