Эксплуатация уязвимости в Coldcard показала необходимость пересмотра проверки генераторов случайности в устройствах для хранения биткоина. Об этом заявил CTO Ledger Шарль Гийме, пишет Decrypt.
По его словам, инцидент показал ограниченность подхода «открытый код значит проверенный код». Специалист указал на то, что ошибка находилась в публичной базе более пяти лет, но не была обнаружена до начала атак.
Согласно документации Ledger, устройства компании генерируют 256 случайных бит через аппаратный генератор в Secure Element. Гийме заявил, что в такой архитектуре нет программного резервного пути, который стал проблемой в Coldcard.
Sleep at Night Technology: как Coldcard превратил сон своих пользователей в кошмар - ForkLog
Крах FTX в 2022 году вызвал рекордный спрос на аппаратные кошельки, что позволило существенно увеличить выручку производителям Trezor, Ledger, BitBox и
forklog.com
В Ledger связали инцидент с ростом роли ИИ-инструментов в анализе кода. По словам Гийме, такие системы ускоряют поиск уязвимостей как для атакующих, так и для защитников. Однако на момент написания публичных доказательств того, что злоумышленники действительно использовали искусственный интеллект, нет.
В U.Today обратили внимание на публикации в Reddit и X. По утверждению пользователей Claude Code якобы нашел уязвимость примерно за восемь минут после запроса на проверку исходного кода.
Ранее управляющий партнер венчурного фонда Dragonfly Хасиб Куреши заявил, что атаку на холодные кошельки Coldcard можно было предотвратить проверкой кода с помощью искусственного интеллекта за $2.
По данным Galaxy Research, уязвимостью воспользовались как минимум 15 различных злоумышленников. Потери от трех подтвержденных волн аналитики оценили в $100 млн. С учетом предполагаемой четвертой волны сумма может вырасти примерно до $130 млн.
Напомним, 4 августа производители аппаратных криптокошельков Trezor и Foundation предупредили пользователей о фишинговых атаках на фоне инцидента. В некоторых случаях мошенники рассылают письма якобы от имени производителя и предлагают пройти «аудит оборудования».