Der $116 Millionen Coldcard-Hack hat Bitcoin-Inhaber letzte Woche erschüttert. Ledgers oberster Sicherheitsverantwortlicher sagt, die Schlagzeile habe den Punkt völlig verfehlt.
Im Gespräch mit Bloomberg argumentierte Ian Rogers, Chief Human Agency Officer von Ledger, dass der Angriff kein Beweis dafür sei, dass Selbstverwahrung oder Hardware-Wallets von Natur aus riskant sind. Die wahre Geschichte, sagte er, ist, was KI Angreifern ermöglicht, mit Systemen zu tun, die auf schwacher Zufälligkeit basieren.
Warum Ledger nicht betroffen war
Die Coldcard-Sicherheitsanfälligkeit geht auf einen Firmware-Fehler aus dem Jahr 2021 zurück, der die Seed-Generierung über einen softwarebasierten Pseudozufallszahlengenerator anstelle des Hardware-Chips des Geräts leitete.
Das erzeugte Entropie von etwa 40 bis 72 Bit, ein zu kleiner Adressraum, den ein KI-gestützter Angreifer systematisch scannen und private Schlüssel lokalisieren kann. TRM Labs verfolgte 1.082 BTC, die in der ersten Welle während eines 41-minütigen Durchsuchens am 30. Juli abgezogen wurden.
Ledger erzeugt Entropie vollständig in Hardware, sagte Rogers gegenüber Bloomberg, und verwendet einen zertifizierten sicheren Chip ohne Software-Backup. Der resultierende Adressraum ist, in seinen Worten, „die Zahl drei mit 67 Nullen dahinter.“ Kein Angreifer kann das brute-forcen.
Es ist nicht das erste Mal, dass Ledger einen solchen Fehler entdeckt hat. Im Jahr 2022 identifizierte das Unternehmen einen ähnlichen Fehler in Trust Wallet und arbeitete durch verantwortungsvolle Offenlegung, um den Nutzern zu helfen, ihre Gelder in Sicherheit zu bringen. Die Berichterstattung von BeInCrypto über die laufenden Diebstahlswellen von Coldcard zeigt, wie schnell und systematisch die Ausnutzung wurde, sobald die Sicherheitsanfälligkeit bekannt war.
3 Wege, wie KI die Bedrohung verändert hat
Rogers skizzierte drei sich verstärkende Bedrohungen.
Erstens gibt KI Angreifern mehr Feuerkraft, um Schwachstellen in jedem System zu finden, nicht nur in Krypto. Er nannte Angriffe auf die Wasserinfrastruktur der USA als Teil desselben Trends, da die zugrunde liegenden Werkzeuge allgemein einsetzbar sind.
Zweitens bedeutet die KI-unterstützte Entwicklung, dass mehr Code schneller in der Branche bereitgestellt wird, was die Angriffsfläche für alle erweitert. BeInCrypto berichtete darüber, wie KI-gestützte Smart-Contract-Ausnutzungen jetzt die Werkzeuge übertreffen, die entwickelt wurden, um sie zu erkennen.
Drittens, und hier geht Rogers über die Coldcard-Geschichte hinaus, setzen Unternehmen Agenten ein, die Zugang zu internen Geheimnissen wie E-Mail, Slack und Anmeldeinformationen haben. Bloomberg stellte die Coldcard-Ausnutzung als Hardware-Geschichte dar. Rogers sieht es als ein frühes Signal für ein viel breiteres Sicherheitsproblem im KI-Zeitalter.
Die agentische Bedrohung, vor der Rogers warnte
Am Ende des letzten Jahres beschrieb Rogers eine Zukunft, in der Menschen KI-Agenten ihre Passwörter, Kreditkarten und Identitäten anvertrauen, was ein gefährliches, unkontrolliertes Risiko darstellt. Wenige Menschen verstanden damals, was er meinte. Jetzt tun sie es.
Seine Analogie vergleicht KI-Agenten und Geheimnisse mit einem Teenager und Autoschlüsseln. Die Schlüssel befinden sich nicht im Zimmer des Teenagers. Ein Elternteil entscheidet, basierend auf dem Kontext, wann der Zugang angemessen ist. Eine Autofahrt zur Schule am Montagmorgen ist in Ordnung. Ein Freitagabend nach einer Party ist es nicht. Dieselbe Logik, so argumentiert Rogers, muss regeln, auf was jeder Agent zugreifen kann und wann.
Ledger bietet bereits Tools an, die es einem Agenten ermöglichen, eine Wallet zu halten, ohne die privaten Schlüssel zu besitzen. Das Prinzip ist dasselbe, das immer die Hardware-Sicherheit bestimmt hat: Schutz durch Design, nicht durch Richtlinien.
Egal, wo Ihre Vermögenswerte gespeichert sind, sollten Sie sich für das Sicherheitsniveau interessieren, das sie schützt.
Rogers sagte gegenüber Bloomberg.
Quelle: BeInCrypto
