Haseeb Qureshi di Dragonfly afferma che un audit di IA da 2 dollari avrebbe potuto individuare la vulnerabilità di Coldcard

La vulnerabilità di Coldcard potrebbe spingere le aziende del settore delle criptovalute a testare ogni versione con l’IA

L’intelligenza artificiale sta rendendo l’individuazione delle vulnerabilità così economica che la sicurezza potrebbe dipendere sempre più da quanto le aziende sono disposte a spendere prima che lo facciano gli hacker. Questo è l’avvertimento lanciato da Haseeb Qureshi, managing partner di Dragonfly, dopo che, secondo quanto riferito, i modelli di IA hanno riscoperto in pochi minuti una vulnerabilità critica nel firmware del portafoglio Bitcoin di Coldcard.

«La sicurezza informatica ora è tutta una questione di spesa», ha scritto Qureshi su X. La domanda chiave, ha affermato, è quanto gli sviluppatori investano nei test basati sull’IA rispetto ai potenziali aggressori.

Coldcard ha reso nota una vulnerabilità relativa all’entropia che interessava i seed creati con determinate versioni del firmware. Il bug ha fatto sì che alcuni dispositivi facessero affidamento su un generatore software deterministico anziché sulla fonte di casualità hardware prevista. Coinkite ha rilasciato aggiornamenti di emergenza il 31 luglio e ha invitato gli utenti interessati a creare nuovi seed e a trasferire i propri fondi. L’installazione del nuovo firmware da sola non ripara un vecchio seed.

La vulnerabilità sarebbe stata individuata in pochi minuti

Secondo quanto riferito, un test ha individuato la vulnerabilità con il Claude Code di Anthropic dopo circa otto minuti. Qureshi ha avvertito che il risultato potrebbe essere stato influenzato dall’accesso a Internet, che avrebbe potuto esporre il modello a informazioni già disponibili sul bug. Un altro test, effettuato disabilitando l’accesso al web e utilizzando GLM 5.2, ha riprodotto la vulnerabilità in circa 20 minuti.

Sulla base dei costi di input e output del modello, ha stimato che l’audit sia costato circa 2 dollari. «Con 2 dollari di rafforzamento della sicurezza dell’IA si sarebbe individuato questo bug. Non ci sono scuse per questo", ha osservato. Qureshi ha proposto una nuova metrica denominata "Costo di Scoperta" (Cost of Discovery, o CoD). Tale metrica stimerebbe quanto costa a un modello di IA all’avanguardia riprodurre in modo indipendente una vulnerabilità.

I fornitori di sicurezza più piccoli affrontano una pressione crescente

L’episodio potrebbe avere conseguenze più ampie per il mercato dei portafogli hardware. Qureshi ha sostenuto che i fornitori più grandi avranno un vantaggio perché possono investire di più in test automatizzati, audit e rafforzamento delle versioni. Le aziende più piccole potrebbero avere difficoltà a tenere il passo con gli aggressori, che possono scansionare il codice continuamente a costi minimi.

Ha raccomandato alle startup che sviluppano portafogli, contratti intelligenti o altri prodotti a tutela del denaro di eseguire verifiche di sicurezza basate sull’IA prima di ogni rilascio. Qureshi ha inoltre contestato un luogo comune sulla sicurezza dell’open source. Il codice pubblico può proteggere gli utenti dagli sviluppatori malintenzionati, ha affermato, ma non li protegge automaticamente dagli aggressori.

L’IA può essere utile a entrambe le parti. Riduce i costi legati all’individuazione delle vulnerabilità, ma fornisce anche agli sviluppatori strumenti difensivi più efficaci. «Non abbiamo altra scelta che adattarci», ha affermato Qureshi.