Aggiornamento sull'hack di Coldcard: almeno 15 gruppi di attaccanti hanno sfruttato una falla del wallet

Almeno 15 diversi gruppi di attaccanti hanno sfruttato la vulnerabilità che ha colpito i wallet hardware Coldcard. Lo ha riferito Alex Thorn, responsabile della ricerca di Galaxy Digital, dopo nuove segnalazioni di vittime che hanno fatto emergere furti finora non identificati. Secondo Thorn, queste segnalazioni hanno permesso ai ricercatori di Galaxy di collegare ulteriori indirizzi Bitcoin all'incidente. In un caso, una vittima che ha perso meno di 1 Bitcoin ha aiutato a individuare un attaccante che avrebbe sottratto 12 BTC da 126 indirizzi. A differenza di una violazione di un exchange centralizzato, i movimenti hanno riguardato fondi trasferiti da numerosi wallet gestiti in modo indipendente verso più indirizzi controllati dagli attaccanti. Di conseguenza, alcune sottrazioni potrebbero restare invisibili se le vittime non rendono pubblici indirizzi e transazioni. Galaxy Research stima che, in tre ondate d'attacco confermate, siano stati rubati Bitcoin per circa 100 milioni di dollari. I ricercatori hanno anche individuato una sospetta quarta ondata che potrebbe portare le perdite complessive a circa 130 milioni di dollari. I 15 cluster di indirizzi non corrispondono necessariamente a 15 persone note: più indirizzi potrebbero essere gestiti dallo stesso soggetto o gruppo, mentre altri attaccanti potrebbero non essere ancora stati scoperti. Bug Coldcard: indebolita la generazione del seed La falla ha interessato il processo con cui alcuni dispositivi Coldcard generano le frasi di recupero. Un errore di integrazione del firmware avrebbe fatto sì che i wallet coinvolti si basassero su un generatore pseudocasuale deterministico, invece del generatore di numeri casuali basato su hardware previsto. Questo avrebbe ridotto l'effettiva casualità che protegge alcune chiavi private, rendendo più praticabile per gli attaccanti la ricerca di frasi seed valide. Francesco, cofondatore di Castle Labs, ha affermato che alcuni wallet Coldcard colpiti potrebbero aver generato chiavi private con circa 40 bit di entropia. Una frase di recupero standard di 12 parole fornisce normalmente 128 bit. Ciò non implica che gli attaccanti potessero estrarre direttamente le chiavi da un dispositivo air-gapped: l'approccio consisteva nel ricostruire possibili frasi di recupero e monitorare gli indirizzi Bitcoin associati in attesa di fondi. Agli utenti con wallet potenzialmente interessati è stato consigliato di aggiornare il firmware, generare una nuova frase seed e trasferire i Bitcoin verso indirizzi controllati dal nuovo wallet. Importare la vecchia frase di recupero su un altro dispositivo non elimina la debolezza di base. Il ruolo dell'AI: avrebbe potuto evitare l'exploit? L'episodio ha riacceso il dibattito sull'eventualità che test di sicurezza assistiti dall'intelligenza artificiale avrebbero potuto individuare prima la vulnerabilità. Haseeb Qureshi, managing partner di Dragonfly, ha sostenuto che circa “2 dollari di hardening con AI” avrebbero potuto prevenire le perdite. Ha citato esperimenti secondo cui alcuni modelli avrebbero “riscoperto” la falla in pochi minuti, includendo un test in cui il modello open source GLM 5.2 l'avrebbe trovata in circa 20 minuti senza accesso al web. I critici hanno messo in dubbio che questi esperimenti dimostrino la capacità dell'AI di individuare la vulnerabilità prima che diventasse pubblica. Tatsapat Saerejittima, data lead di Tokenomist, ha osservato che alcuni test sarebbero stati condotti dopo la disclosure e senza blind testing, metodologie documentate e valutazioni dei falsi positivi. L'AI può ridurre i costi di individuazione delle vulnerabilità, ma non sostituisce audit indipendenti e test end-to-end su come i wallet hardware generano e proteggono le chiavi private.