Một lỗ hổng trong ví phần cứng Coldcard, được một mô hình AI phát hiện với chi phí khoảng $2, đang buộc ngành công nghiệp ví phần mềm tiền điện tử phải xem xét lại kinh tế bảo mật. Lỗ hổng này, có thể cho phép kẻ tấn công trích xuất khóa riêng dưới một số điều kiện nhất định, đã được phát hiện một cách dễ dàng và với chi phí tối thiểu.
Theo bản cập nhật thị trường từ WuBlockchain, Đối tác quản lý của Dragonfly, Haseeb Qureshi, đã chia sẻ các chi tiết về sự cố, lưu ý rằng điều này cho thấy cách AI đang tái định hình kinh tế của việc kiểm tra an toàn sản phẩm. Ông giới thiệu một chỉ số mà ông gọi là “Chi phí Phát hiện”, đo lường mức độ rẻ tiền mà một mô hình tiên tiến có thể tái tạo lỗ hổng.
Cuộc khám phá $2
Qureshi ước tính chi phí phát hiện lỗ hổng của Coldcard vào khoảng $2. Một nỗ lực được báo cáo sử dụng Claude Code chỉ mất tám phút, mặc dù ông cảnh báo rằng tốc độ này có thể đã bị ảnh hưởng bởi khả năng truy cập tìm kiếm web. Một bài kiểm tra ngoại tuyến riêng biệt với mô hình GLM đã tái tạo lại vấn đề trong khoảng 20 phút, xác nhận rằng lỗ hổng này không phụ thuộc vào việc tra cứu internet theo thời gian thực.
Các con số này gây sốc vì ví phần cứng được kỳ vọng là hàng phòng thủ cuối cùng cho những người nắm giữ crypto nghiêm túc. Một lỗ hổng có chi phí phát hiện chỉ bằng tiền lẻ đã làm suy yếu giả định rằng việc kiểm toán kỹ lưỡng và tốn kém là cách duy nhất để phá vỡ thiết bị. Điều này cho thấy đường cong chi phí để phát hiện lỗ hổng đang sụp đổ.
Chi phí khám phá và những hệ quả của nó
Chỉ số mới của Qureshi không chỉ là một bài tập học thuật. Nó cung cấp một con số dollar thô mà các nhà sản xuất phần cứng có thể dùng để so sánh với ngân sách kiểm tra nội bộ của họ. Nếu một lỗ hổng có thể được phát hiện với chi phí $2, thì bất kỳ đối thủ nào có nguồn lực tốt—hoặc thậm chí một nhà nghiên cứu tò mò—đều có thể tự động hóa việc tìm kiếm và mở rộng quy mô trên nhiều phiên bản firmware hoặc mô hình thiết bị.
Điều này chuyển gánh nặng sang các nhà sản xuất ví. Họ hiện phải đối mặt với một tương lai nơi an ninh không thể dựa vào sự bí mật của mã nhúng hay chi phí cao để reverse engineering. Thay vào đó, họ phải giả định rằng các công cụ AI sẽ kiểm tra mọi bản phát hành, và khoảng thời gian giữa bản cập nhật firmware và việc công bố lỗ hổng công khai có thể thu hẹp xuống còn vài giờ, chứ không phải vài tuần.
Sự cố này cũng gây áp lực lên các chương trình thưởng lỗi. Các khoản thưởng từng dường như hào phóng có thể trở nên quá cao khi chi phí để phát hiện lỗi là không đáng kể. Các công ty sẽ cần quyết định liệu có nên thưởng cho những phát hiện được hỗ trợ bởi AI với chi phí thấp hay không, hoặc tái cấu trúc các động lực để ưu tiên mức độ nghiêm trọng hơn là tính mới lạ của phương pháp.
Sự mở rộng ngày càng lớn của AI trong lĩnh vực tiền mã hóa
Sự kiện Coldcard diễn ra vào thời điểm AI đang thâm nhập gần như mọi ngóc ngách của thị trường tiền mã hóa. UXLINK và Origins Network đang hợp tác để hỗ trợ các ứng dụng Web3 được điều khiển bởi AI có khả năng mở rộng, trong khi các mạng lưu trữ như Filecoin đang thu hút sự chú ý do nhu cầu ngày càng tăng đối với việc lưu trữ dữ liệu AI trên chuỗi. Sự hào hứng xung quanh các tài sản chủ đề AI cũng vẫn mạnh mẽ, với các NFT BRC-20 như $X@AI dẫn đầu bảng xếp hạng doanh số hàng tuần.
Nhưng trường hợp Coldcard cho thấy một khía cạnh khắc nghiệt hơn của sự tích hợp này. AI không chỉ thúc đẩy các trường hợp sử dụng token mới; nó đang viết lại quy tắc bảo mật cho lớp hạ tầng bảo vệ hàng tỷ đô la tài sản kỹ thuật số. Đối với các nhà sản xuất ví phần cứng, lợi thế cạnh tranh không còn chỉ nằm ở thiết kế chip hoặc các thành phần được niêm phong—mà giờ đây còn bao gồm tốc độ và chi phí của việc kiểm toán được hỗ trợ bởi máy móc.
Điều gì vẫn chưa rõ ràng
Vẫn còn là một câu hỏi mở liệu các ví phần cứng được sử dụng rộng rãi khác có sẽ đối mặt với những phát hiện tương tự với chi phí rẻ không. Coldcard nổi tiếng với trọng tâm mở nguồn và chỉ dành cho bitcoin, điều này có thể làm cho mã nguồn của nó dễ phân tích hơn một số lựa chọn không mở nguồn khác. Nhưng xu hướng là rõ ràng: các mô hình AI tiên tiến đang trở nên nhanh hơn và rẻ hơn, và việc ứng dụng chúng vào kiểm thử bảo mật chỉ càng trở nên gia tăng.
Cũng có sự không chắc chắn xung quanh việc liệu dữ liệu chi phí phát hiện có được tích hợp vào các khung pháp lý hay không. Nếu một lỗ hổng có thể được tìm thấy với số tiền nhỏ, liệu ngưỡng bắt buộc phải tiết lộ hoặc thu hồi có nên được hạ thấp không? Cuộc tranh luận này chưa bắt đầu, nhưng các sự kiện xung quanh lỗ hổng $2 này cho thấy sẽ không lâu trước khi nó xảy ra.