Sebuah kerentanan dalam dompet peranti keras Coldcard, yang ditemukan oleh model AI dengan kos sekitar $2, memaksa semula pertimbangan ekonomi keselamatan di seluruh industri peranti keras kripto. Kelemahan ini, yang boleh membenarkan penyerang mengekstrak kunci peribadi di bawah keadaan tertentu, ditemui dengan mudah dan kos yang minimum.
Menurut a market update from WuBlockchain, rakan pengurusan Dragonfly, Haseeb Qureshi, berkongsi butiran insiden tersebut, mencatat bahawa ia menunjukkan bagaimana AI mengubah ekonomi pengujian keselamatan produk. Beliau memperkenalkan apa yang disebutnya sebagai metrik "Cost of Discovery", yang mengukur seberapa murah model terkini boleh mereproduksi kerentanan.
Penemuan $2
Qureshi menganggarkan kos penemuan kelemahan Coldcard pada sekitar $2. Satu percubaan yang dilaporkan menggunakan Claude Code hanya mengambil masa lapan minit, walaupun beliau berhati-hati bahawa kelajuan itu mungkin dipengaruhi oleh akses carian web. Satu ujian luar talian berasingan dengan model GLM berjaya meniru isu tersebut dalam masa sekitar 20 minit, mengesahkan bahawa kerentanan itu tidak bergantung kepada carian internet secara masa nyata.
Angka-angka tersebut mengejutkan kerana dompet keras sepatutnya menjadi garis pertahanan terakhir bagi pemegang kripto serius. Sebuah kelemahan yang memerlukan kos perubahan untuk ditemui meruntuhkan anggapan bahawa pemeriksaan yang teliti dan mahal adalah satu-satunya cara untuk merosakkan peranti. Ia menandakan bahawa lengkung kos untuk penemuan kerentanan sedang runtuh.
Kos Pengenalan dan Implikasinya
Ukuran baharu Qureshi bukan sekadar latihan akademik. Ia memberikan angka dolar mentah yang boleh menjadi tolok ukur kepada pembuat peranti berbanding bajet ujian dalaman mereka. Jika satu kelemahan boleh dikenal pasti dengan harga $2, maka mana-mana lawan yang mempunyai sumber yang baik—atau bahkan penyelidik yang penasaran—boleh mengautomatikan pencarian dan menggandakannya ke pelbagai versi firmware atau model peranti.
Ini memindahkan beban kepada pembuat dompet. Mereka kini menghadapi masa depan di mana keselamatan tidak boleh bergantung pada kerahsiaan kod terbenam atau kos tinggi merekabentuk songsang. Sebaliknya, mereka mesti menganggap bahawa alat AI akan menguji setiap rilis, dan masa antara kemas kini firmware dan pengumuman kerentanan awam boleh berkurang kepada jam, bukan minggu.
Insiden ini juga memberi tekanan kepada program bounty ralat. Pembayaran yang dahulu kelihatan murah hati mungkin kelihatan terlalu tinggi apabila kos untuk mencari ralat adalah hampir tiada. Syarikat perlu memutuskan sama ada perlu memberi ganjaran kepada penemuan yang dibantu AI dengan kos rendah, atau menyemula struktur insentif untuk mengutamakan keparahan berbanding kebaruan kaedah.
Jejak AI yang Semakin Meningkat dalam Kripto
Acara Coldcard berlaku pada masa apabila AI meresap hampir ke setiap sudut pasaran kripto. UXLINK dan Origins Network bekerjasama untuk memperkuat aplikasi Web3 berasaskan AI yang boleh diskalakan, sementara rangkaian penyimpanan seperti Filecoin menarik perhatian kerana permintaan yang meningkat untuk penyimpanan data AI di rantai. Hype terhadap aset bertema AI juga masih kuat, dengan BRC-20 NFT seperti $X@AI memuncaki carta jualan mingguan.
Tetapi kes Coldcard menunjukkan sisi yang lebih keras daripada integrasi ini. AI bukan sahaja memberi kuasa kepada kes-kes penggunaan token baru; ia sedang menulis semula permainan keselamatan untuk lapisan infrastruktur yang melindungi miliaran dolar aset digital. Bagi pembuat dompet keras, keunggulan persaingan bukan lagi hanya tentang reka bentuk cip atau elemen yang disegel—ia kini termasuk kelajuan dan kos audit yang dibantu mesin.
Apa yang Masih Tidak Jelas
Masih menjadi pertanyaan terbuka sama ada dompet keras yang lain yang banyak digunakan akan menghadapi penemuan yang serupa yang murah. Coldcard dikenali kerana fokusnya yang bersumber terbuka dan hanya untuk bitcoin, yang mungkin menjadikan kodnya lebih mudah dianalisis berbanding beberapa alternatif bersumber tertutup. Tetapi garis trennya jelas: model AI terkini menjadi lebih pantas dan lebih murah, dan aplikasinya terhadap pengujian keselamatan hanya akan meningkat.
Terdapat juga ketidakpastian mengenai sama ada data kos-penemuan akan dimasukkan ke dalam kerangka peraturan. Jika kerentanan boleh ditemui untuk wang receh, patutkah tahap pengungkapan atau penarikan wajib menjadi lebih rendah? Perbincangan ini belum bermula, tetapi peristiwa-peristiwa yang mengelilingi kelemahan $2 ini menunjukkan ia tidak akan lama sebelum ia bermula.