Làm thế nào một bài kiểm tra AI giá $2 đã giúp phát hiện ra lỗi phần mềm gây tổn thất hàng triệu đô la cho người dùng Coldcard?

Một sự cố bảo mật gần đây của Coldcard đã cho thấy sức mạnh ngày càng lớn của AI trong việc tìm kiếm lỗi phần mềm.

Các nhà nghiên cứu phát hiện rằng một mô hình AI có thể xác định cùng một lỗ hổng phần mềm trong khoảng 20 phút với chi phí tính toán khoảng $2. Lỗi này đã ẩn náu trong phần mềm nguồn mở của Coldcard hơn năm năm.

Lỗi đó là gì?

Vấn đề không nằm ở Bitcoin.

Mà nằm ở cách một số thiết bị Coldcard tạo ra các cụm từ hạt giống khôi phục ví.

Do một lỗi phần mềm được đưa vào năm 2021, một số thiết bị đã tạo ra các cụm từ hạt giống có độ ngẫu nhiên thấp hơn nhiều so với mong đợi. Điều này khiến một số khóa riêng tư dễ bị bẻ khóa bằng phương pháp brute-force hơn mức cần thiết.

Tại sao nó nghiêm trọng?

Bảo mật ví phụ thuộc vào các khóa riêng tư không thể đoán trước.

Khi độ ngẫu nhiên bị giảm, kẻ tấn công có thể đoán các cụm từ hạt giống có thể có ngoại tuyến cho đến khi tìm được cụm chính xác.

Các nhà nghiên cứu ước tính kẻ tấn công đã đánh cắp khoảng 2.055 BTC, trị giá khoảng 130 triệu đô la, bằng cách khai thác các ví được tạo bằng phần mềm dễ bị tổn thương.

AI đóng vai trò gì ở đây?

AI không hề xâm nhập vào các ví.

Nó giúp các nhà nghiên cứu xem xét hàng ngàn dòng mã nhanh hơn nhiều so với phân tích thủ công. Sau khi lỗi được công khai, một mô hình AI đã có thể chỉ ra cho các nhà nghiên cứu cùng đường dẫn mã dễ bị tổn thương chỉ trong vài phút.

Các chuyên gia con người vẫn phải xác minh các phát hiện trước khi xác nhận lỗ hổng.

Bài học lớn nhất

Các ví phần cứng chỉ an toàn đến mức mã chạy bên trong chúng.

Sự cố này cũng cho thấy AI đang thay đổi an ninh mạng. Nó có thể giúp các bên phòng thủ tìm ra các lỗi ẩn náu nhanh hơn, nhưng cũng có thể giúp kẻ tấn công dễ dàng phát hiện điểm yếu trong mã nguồn công khai.