Haseeb Qureshi von Dragonfly erklärt, dass die Coldcard-Sicherheitslücke verdeutlicht, wie künstliche Intelligenz (KI) die Ökonomie der Cybersicherheit neu definiert. Da die Kosten für die Aufdeckung von Schwachstellen drastisch sinken, müssen Krypto-Unternehmen seiner Meinung nach bei jeder Software-Veröffentlichung modernste KI-Modelle einsetzen.
Haseeb Qureshi von Dragonfly sagt, ein KI-Audit für 2 Dollar hätte die Coldcard-Sicherheitslücke aufdecken können
GESCHRIEBEN VON
TEILEN
Das Wichtigste auf einen Blick
- Coldcard hat am 31. Juli einen Seed-Fehler behoben, nachdem KI ihn Berichten zufolge innerhalb von 8 Minuten entdeckt hatte.
- Haseeb Qureshi sagt, dass KI-Prüfungen für 2 US-Dollar Krypto-Unternehmen mit größeren Sicherheitsbudgets begünstigen könnten.
- Qureshi drängte auf KI-Prüfungen auf dem neuesten Stand der Technik bei jeder Veröffentlichung, da die Entdeckung von Schwachstellen mittlerweile nur noch wenige Minuten dauert.
Coldcard-Sicherheitslücke könnte Krypto-Unternehmen dazu veranlassen, jede Version mit KI zu testen
Künstliche Intelligenz macht die Aufdeckung von Schwachstellen so kostengünstig, dass die Sicherheit zunehmend davon abhängen könnte, wie viel Unternehmen bereit sind auszugeben, bevor Angreifer zuschlagen. Das ist die Warnung von Haseeb Qureshi, geschäftsführender Gesellschafter bei Dragonfly, nachdem KI-Modelle Berichten zufolge innerhalb weniger Minuten eine kritische Schwachstelle in der Firmware der Bitcoin-Wallet von Coldcard wiederentdeckt hatten.
„Bei der Cybersicherheit dreht sich mittlerweile alles um die Ausgaben“, schrieb Qureshi auf X. Die entscheidende Frage sei, so Qureshi, wie viel Entwickler im Vergleich zu potenziellen Angreifern in KI-basierte Tests investieren.
Coldcard gab eine Entropie-Sicherheitslücke bekannt, die Seeds betrifft, die mit bestimmten Firmware-Versionen erstellt wurden. Der Fehler führte dazu, dass einige Geräte auf einen deterministischen Software-Generator zurückgriffen, anstatt auf die vorgesehene Hardware-Zufallsquelle. Coinkite veröffentlichte am 31. Juli Notfall-Updates und forderte betroffene Nutzer auf, neue Seeds zu erstellen und ihre Guthaben zu übertragen. Die Installation neuer Firmware allein behebt den Fehler bei einem alten Seed nicht.
Die Sicherheitslücke wurde Berichten zufolge innerhalb weniger Minuten entdeckt
Ein Test soll die Schwachstelle mit dem „Claude Code“ von Anthropic nach etwa acht Minuten aufgedeckt haben. Qureshi wies darauf hin, dass das Ergebnis möglicherweise durch den Internetzugang beeinflusst wurde, wodurch das Modell Zugang zu bereits vorhandenen Informationen über den Fehler erhalten haben könnte. Bei einem separaten Test wurde der Webzugang deaktiviert und GLM 5.2 verwendet. Dabei konnte die Sicherheitslücke in etwa 20 Minuten reproduziert werden.
Auf der Grundlage der Eingabe- und Ausgabekosten des Modells schätzte er, dass das Audit etwa 2 US-Dollar gekostet habe. „Mit 2 US-Dollar für die Absicherung der KI hätte man diesen Fehler entdecken können. Dafür gibt es keine Entschuldigung“, bemerkte er. Qureshi schlug eine neue Kennzahl namens „Cost of Discovery“ (CoD) vor. Diese Kennzahl würde abschätzen, wie viel es ein führendes KI-Modell kostet, eine Schwachstelle eigenständig zu reproduzieren.
Kleinere Sicherheitsanbieter stehen unter wachsendem Druck
Der Vorfall könnte weitreichende Folgen für den Markt für Hardware-Wallets haben. Qureshi argumentierte, dass größere Anbieter im Vorteil seien, da sie mehr in automatisierte Tests, Audits und die Absicherung von Releases investieren könnten. Kleinere Unternehmen könnten Schwierigkeiten haben, mit Angreifern mitzuhalten, die Code kontinuierlich und kostengünstig scannen können.
Start-ups, die Wallets, Smart Contracts oder andere Produkte zum Schutz von Geld entwickeln, sollten vor jeder Veröffentlichung KI-Sicherheitsüberprüfungen durchführen, empfahl er. Qureshi stellte zudem eine weit verbreitete Annahme zur Open-Source-Sicherheit in Frage. Öffentlicher Code könne Nutzer zwar vor böswilligen Entwicklern schützen, sagte er, schütze sie jedoch nicht automatisch vor Angreifern.
KI kann beiden Seiten dienen. Sie senkt die Kosten für die Suche nach Schwachstellen, gibt Entwicklern aber auch stärkere Verteidigungswerkzeuge an die Hand. „Wir haben keine andere Wahl, als uns anzupassen“, sagte Qureshi.
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
