Son bir Coldcard güvenlik olayı, yazılım hatalarını bulmak için AI'nın ne kadar güçlü hale geldiğini gösterdi.
Araştırmacılar, bir AI modelinin yaklaşık 20 dakikada ve yaklaşık 2 dolarlık hesaplama maliyetiyle aynı donanım hatasını tespit edebileceğini buldu. Bu hata, Coldcard'ın açık kaynaklı donanım yazılımında beş yıldan fazla bir süredir gizli kalmıştı.
Hata nediydi?
Sorun Bitcoin ile ilgili değildi.
Bazı Coldcard cihazlarının cüzdan kurtarma anahtar cümlelerini nasıl oluşturduğuydu.
2021 yılında yapılan bir donanım yazılımı hatası nedeniyle, bazı cihazlar beklenenden çok daha az rastgelelikle anahtar cümleler oluşturuyordu. Bu da bazı özel anahtarların, olması gerekenden daha kolay brute-force edilebilir hale gelmesine neden oldu.
Neden ciddiydi?
Cüzdan güvenliği, öngörülemeyen özel anahtarlar üzerine kuruludur.
Rastgelelik azaldığında, saldırganlar, doğru anahtar cümleyi bulana kadar olası anahtar cümleleri çevrimdışı tahmin edebilir.
Araştırmacılar, savunmasız donanım yazılımıyla oluşturulmuş cüzdanları kullanarak yaklaşık 2.055 BTC, yani yaklaşık 130 milyon dolarlık bir miktar çaldığını tahmin ediyor.
AI nerede yer alıyor?
AI, cüzdanları hacklememişti.
AI, araştırmacıların binlerce satır kodu manüel analizden çok daha hızlı incelemesine yardımcı oldu. Hata kamuoyuna açıklandıktan sonra, bir AI modeli araştırmacıları sadece dakikalar içinde aynı savunmasız kod yoluna yönlendirebildi.
Güvenlik açıklarının doğrulanmadan önce insan uzmanların bulguları doğrulaması gerekiyordu.
En büyük ders
Donanım cüzdanlar, içinde çalışan kod kadar güvendir.
Bu olay ayrıca AI'nın siber güvenliği değiştirdiğini gösteriyor. AI, savunmacıların gizli hataları daha hızlı bulmasına yardımcı olabilir, ancak aynı zamanda saldırganların açık kaynaklı kodlarda zayıflıkları keşfetmesini de kolaylaştırabilir.
