116万美元的Coldcard黑客攻击上周震动了比特币持有者。Ledger的首席安全执行官表示，头条新闻完全错过了重点。
在接受彭博社采访时，Ledger的首席人力资源官Ian Rogers辩称，这次攻击并不是自我保管或硬件钱包本质上存在风险的证据。他表示，真正的故事是人工智能让攻击者能够对建立在弱随机性基础上的系统做什么。
为什么Ledger没有受到影响
Coldcard的漏洞追溯到2021年的固件错误，该错误通过软件伪随机数生成器而不是设备的硬件芯片来路由种子生成。
这产生了大约40到72位的熵，对于一个AI驱动的攻击者来说，地址空间小到足以系统性地扫描并定位私钥。TRM Labs追踪到在7月30日的第一次攻击中，有1,082 BTC被盗。
Ledger完全在硬件中生成熵，Rogers告诉彭博社，使用的是没有软件后备的认证安全芯片。根据他的说法，结果的地址空间是“后面有67个零的数字3”。没有攻击者能够暴力破解这个。
这并不是Ledger第一次发现这种缺陷。2022年，该公司在Trust Wallet中发现了类似的漏洞，并通过负责任的披露帮助用户将资金转移到安全的地方。BeInCrypto对Coldcard持续盗窃潮的报道显示，一旦漏洞被知晓，利用的速度和系统性是多么迅速。
人工智能改变威胁的三种方式
罗杰斯列出了三个复合威胁。
首先，人工智能为攻击者提供了更多的火力，以发现任何系统中的漏洞，而不仅仅是加密货币。他提到对美国水务基础设施的攻击是同一趋势的一部分，因为基础工具是通用的。
其次，人工智能辅助开发意味着行业内更多的代码更快地发布，扩大了每个人的攻击面。BeInCrypto 报道了人工智能驱动的智能合约漏洞现在超过了用于检测它们的工具。
第三，这也是罗杰斯超越 Coldcard 故事的地方，企业正在部署持有内部机密（如电子邮件、Slack 和凭证）访问权限的代理。彭博社将 Coldcard 漏洞框架视为硬件故事。罗杰斯则将其视为一个更广泛的人工智能时代安全问题的早期信号。
罗杰斯警告的代理威胁
在去年年底，罗杰斯描述了一个未来，人们将密码、信用卡和身份交给人工智能代理，这是一种危险的、未管理的风险。当时很少有人理解他的意思。现在他们明白了。
他的类比将人工智能代理和机密与青少年和车钥匙进行了比较。钥匙并不在青少年的房间里。父母根据上下文决定何时访问是合适的。周一早上开车上学是可以的。周五晚上聚会后就不可以。罗杰斯认为，任何代理可以访问的内容和时间必须遵循相同的逻辑。
Ledger 已经提供了工具，让代理可以持有钱包而无需持有私钥。这个原则与硬件安全一直以来的原则相同：通过设计来保护，而不是通过政策。
无论您的资产存储在哪里，您都应该关注保护它们的安全级别。
罗杰斯告诉彭博社。
来源：BeInCrypto
