El hackeo de Coldcard de $116 millones sacudió a los poseedores de Bitcoin la semana pasada. El principal ejecutivo de seguridad de Ledger dice que el titular perdió completamente el punto.
Hablando con Bloomberg, Ian Rogers, Director de Agencia Humana de Ledger, argumentó que el ataque no era evidencia de que la autocustodia o las billeteras de hardware sean inherentemente arriesgadas. La verdadera historia, dijo, es lo que la IA permite a los atacantes hacer a sistemas construidos sobre una aleatoriedad débil.
Por qué Ledger no fue afectado
La vulnerabilidad de Coldcard se remonta a un error de firmware de 2021 que enrutó la generación de semillas a través de un generador de números pseudoaleatorios de software en lugar del chip de hardware del dispositivo.
Eso produjo una entropía de aproximadamente 40 a 72 bits, un espacio de direcciones lo suficientemente pequeño para que un atacante impulsado por IA lo escanee sistemáticamente y localice claves privadas. TRM Labs rastreó 1,082 BTC drenados en la primera ola durante un barrido de 41 minutos el 30 de julio.
Ledger genera entropía completamente en hardware, dijo Rogers a Bloomberg, utilizando un chip seguro certificado sin respaldo de software. El espacio de direcciones resultante es, en sus palabras, “el número tres con 67 ceros detrás”. Ningún atacante puede forzar eso.
No es la primera vez que Ledger ha detectado este tipo de falla. En 2022, la compañía identificó un error similar en Trust Wallet y trabajó a través de una divulgación responsable para ayudar a los usuarios a mover fondos a un lugar seguro. La cobertura de BeInCrypto sobre las olas de robo en curso de Coldcard muestra cuán rápida y sistemática se volvió la explotación una vez que se conoció la vulnerabilidad.
3 formas en que la IA ha cambiado la amenaza
Rogers expuso tres amenazas que se están acumulando.
Primero, la IA le da a los atacantes más poder para encontrar vulnerabilidades en cualquier sistema, no solo en criptomonedas. Citó ataques a la infraestructura de agua de EE. UU. como parte de la misma tendencia, ya que las herramientas subyacentes son de propósito general.
Segundo, el desarrollo asistido por IA significa que más código se lanza más rápido en toda la industria, ampliando la superficie de ataque para todos. BeInCrypto informó sobre cómo los exploits de contratos inteligentes impulsados por IA ahora superan las herramientas construidas para detectarlos.
Tercero, y aquí es donde Rogers va más allá de la historia de Coldcard, las empresas están desplegando agentes que tienen acceso a secretos internos como correos electrónicos, Slack y credenciales. Bloomberg enmarcó el exploit de Coldcard como una historia de hardware. Rogers lo enmarca como una señal temprana de un problema de seguridad mucho más amplio en la era de la IA.
La Amenaza Agente de la que Rogers Advirtió
A finales del año pasado, Rogers describió un futuro donde las personas entregan a los agentes de IA sus contraseñas, tarjetas de crédito e identidades como un riesgo peligroso y no gestionado. Pocas personas entendieron lo que quería decir en ese momento. Ahora lo entienden.
Su analogía compara a los agentes de IA y los secretos con un adolescente y las llaves del coche. Las llaves no viven en la habitación del adolescente. Un padre decide, según el contexto, cuándo es apropiado el acceso. Un viaje a la escuela un lunes por la mañana está bien. Una noche de viernes después de una fiesta no lo está. La misma lógica, argumenta Rogers, debe gobernar qué puede acceder cualquier agente y cuándo.
Ledger ya ofrece herramientas que permiten a un agente tener una billetera sin poseer las claves privadas. El principio es el mismo que siempre ha gobernado la seguridad del hardware: protección por diseño, no por política.
Donde sea que se almacenen tus activos, deberías estar interesado en el nivel de seguridad que los protege.
Rogers dijo a Bloomberg.
Fuente: BeInCrypto
