Haseeb Qureshi, de Dragonfly, afirma que la vulnerabilidad de Coldcard pone de manifiesto cómo la inteligencia artificial (IA) está redefiniendo la economía de la ciberseguridad. Dado que el coste de detectar fallos se está reduciendo drásticamente, sostiene que las empresas del sector de las criptomonedas deben implementar modelos de IA de vanguardia en cada lanzamiento de software.
Haseeb Qureshi, de Dragonfly, afirma que una auditoría de IA de 2 dólares podría haber detectado el fallo de Coldcard
ESCRITO POR
COMPARTIR
Puntos clave
- Coldcard corrigió un fallo en la semilla el 31 de julio después de que, según se informa, la IA lo detectara en 8 minutos.
- Haseeb Qureshi afirma que las auditorías de IA por 2 dólares podrían beneficiar a las empresas de criptomonedas con mayores presupuestos de seguridad.
- Qureshi instó a realizar comprobaciones con IA de vanguardia en cada lanzamiento, ya que la detección de fallos se reduce a cuestión de minutos.
El fallo de Coldcard podría empujar a las empresas de criptomonedas a probar cada lanzamiento con IA
La inteligencia artificial está abaratando tanto la detección de vulnerabilidades que la seguridad podría depender cada vez más de cuánto estén dispuestas a gastar las empresas antes de que lo hagan los atacantes. Esa es la advertencia de Haseeb Qureshi, socio director de Dragonfly, después de que, según se informa, los modelos de IA volvieran a descubrir en cuestión de minutos una vulnerabilidad crítica en el firmware de la cartera de bitcoins de Coldcard.
«La ciberseguridad ahora es una cuestión de inversión», escribió Qureshi en X. La pregunta clave, según él, es cuánto invierten los desarrolladores en pruebas basadas en IA en comparación con los posibles atacantes.
Coldcard reveló un fallo de entropía que afectaba a las semillas creadas con determinadas versiones de firmware. El fallo provocaba que algunos dispositivos recurrieran a un generador de software determinista en lugar de a la fuente de aleatoriedad de hardware prevista. Coinkite lanzó actualizaciones de emergencia el 31 de julio y aconsejó a los usuarios afectados que crearan nuevas semillas y transfirieran sus fondos. La mera instalación del nuevo firmware no repara una semilla antigua.
Según se informa, la vulnerabilidad se detectó en cuestión de minutos
Según se informa, una prueba detectó el fallo con el Claude Code de Anthropic tras unos ocho minutos. Qureshi advirtió de que el resultado podría haber estado influido por el acceso a Internet, lo que podría haber expuesto al modelo a información ya existente sobre el fallo. En otra prueba se desactivó el acceso a la web y se utilizó GLM 5.2. Se reprodujo la vulnerabilidad en unos 20 minutos.
Basándose en los costes de entrada y salida del modelo, estimó que la auditoría costó unos 2 dólares. «Con 2 dólares destinados al refuerzo de la seguridad de la IA se habría detectado este fallo. No hay excusa para esto», comentó. Qureshi propuso una nueva métrica denominada «coste de descubrimiento» (Cost of Discovery, o CoD). Esta métrica estimaría cuánto le cuesta a un modelo de IA de vanguardia reproducir de forma independiente una vulnerabilidad.
Los pequeños proveedores de seguridad se enfrentan a una presión creciente
Este episodio podría tener consecuencias más amplias para el mercado de los monederos de hardware. Qureshi argumentó que los proveedores más grandes tendrán ventaja, ya que pueden invertir más en pruebas automatizadas, auditorías y refuerzo de las versiones. Las empresas más pequeñas podrían tener dificultades para hacer frente a los atacantes, que pueden escanear el código de forma continua a un coste reducido.
Recomendó que las startups que desarrollan carteras, contratos inteligentes u otros productos destinados a proteger el dinero realicen revisiones de seguridad con IA antes de cada lanzamiento. Qureshi también cuestionó una suposición habitual sobre la seguridad del código abierto. El código público puede proteger a los usuarios de desarrolladores malintencionados, afirmó, pero no los protege automáticamente de los atacantes.
La IA puede beneficiar a ambas partes. Reduce el coste de la detección de vulnerabilidades, pero también proporciona a los desarrolladores herramientas defensivas más potentes. «No tenemos más remedio que adaptarnos», afirmó Qureshi.
Este artículo fue traducido del inglés mediante IA. La versión original en inglés es la fuente autorizada; las traducciones automáticas pueden contener imprecisiones, especialmente en la terminología legal y regulatoria.
