Las billeteras de hardware no son el problema, dice un ejecutivo de Ledger. Los atacantes de IA lo son

El hackeo de Coldcard de 116 millones de dólares inquietó a los poseedores de Bitcoin la semana pasada. El principal ejecutivo de seguridad de Ledger dice que el titular se perdió por completo el punto.

Hablando con Bloomberg, Ian Rogers, Director de Agencia Humana de Ledger, argumentó que el ataque no es evidencia de que la autoconservación o las billeteras de hardware sean inherentemente arriesgadas. La verdadera historia, dijo, es lo que la IA permite a los atacantes hacer a sistemas construidos sobre una aleatoriedad débil.

Por qué Ledger no fue afectado {#h-why-ledger-was-not-affected}

La vulnerabilidad de Coldcard se remontó a un error de firmware de 2021 que enrutó la generación de semillas a través de un generador de números pseudoaleatorios de software en lugar del chip de hardware del dispositivo.

Eso produjo una entropía de aproximadamente 40 a 72 bits, un espacio de direcciones lo suficientemente pequeño para que un atacante impulsado por IA escanee sistemáticamente y localice claves privadas. TRM Labs rastreó 1,082 BTC drenados en la primera ola de 41 minutos el 30 de julio.

Ledger genera entropía completamente en hardware, dijo Rogers a Bloomberg, utilizando un chip seguro certificado sin respaldo de software. El espacio de direcciones resultante es, en sus palabras, "el número tres con 67 ceros detrás de él". Ningún atacante puede forzarlo por fuerza bruta.

No es la primera vez que Ledger ha detectado este tipo de falla. En 2022, la compañía identificó un error similar en Trust Wallet y trabajó a través de una divulgación responsable para ayudar a los usuarios a mover fondos a un lugar seguro. La cobertura de BeInCrypto sobre las olas de robo en curso de Coldcard muestra cuán rápido y sistemático se volvió la explotación una vez que se conoció la vulnerabilidad.

3 formas en que la IA ha cambiado la amenaza {#h-3-ways-ai-has-changed-the-threat}

Rogers expuso tres amenazas acumulativas.

Primero, la IA le da a los atacantes más poder para encontrar vulnerabilidades en cualquier sistema, no solo en criptomonedas. Citó ataques a la infraestructura de agua de EE. UU. como parte de la misma tendencia, ya que las herramientas subyacentes son de propósito general.

En segundo lugar, el desarrollo asistido por IA significa que más código se envía más rápido en toda la industria, ampliando la superficie de ataque para todos. BeInCrypto informó sobre cómo los exploits de contratos inteligentes impulsados por IA ahora superan las herramientas construidas para detectarlos.

En tercer lugar, y aquí es donde Rogers va más allá de la historia de Coldcard, las empresas están desplegando agentes que tienen acceso a secretos internos como correos electrónicos, Slack y credenciales. Bloomberg enmarcó la explotación de Coldcard como una historia de hardware. Rogers la enmarca como una señal temprana de un problema de seguridad en la era de la IA mucho más amplio.

La amenaza agentiva de la que Rogers advirtió {#h-the-agentic-threat-rogers-warned-about}

A finales del año pasado, Rogers describió un futuro donde las personas entregan a los agentes de IA sus contraseñas, tarjetas de crédito e identidades como un riesgo peligroso y no gestionado. Pocas personas entendieron lo que quería decir en ese momento. Ahora lo entienden.

Su analogía compara a los agentes de IA y secretos con un adolescente y las llaves del coche. Las llaves no viven en la habitación del adolescente. Un padre decide, según el contexto, cuándo es apropiado el acceso. Un viaje a la escuela un lunes por la mañana está bien. Una noche de viernes después de una fiesta no lo está. La misma lógica, argumenta Rogers, debe gobernar lo que cualquier agente puede acceder y cuándo.

Ledger ya ofrece herramientas que permiten a un agente mantener una billetera sin tener las claves privadas. El principio es el mismo que siempre ha gobernado la seguridad del hardware: protección por diseño, no por política.

Donde sea que se almacenen sus activos, debe estar interesado en el nivel de seguridad que los protege.

Rogers dijo a Bloomberg.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.