Coinbase afferma che le segnalazioni di bug potrebbero triplicare a causa del "rumore" di sicurezza generato dall'intelligenza artificiale

Perché le segnalazioni di bug di Coinbase stanno aumentando vertiginosamente?

I revisori umani devono far fronte a un carico di lavoro sempre maggiore, poiché strumenti di IA a basso costo consentono ai ricercatori di sicurezza di scansionare il software e produrre segnalazioni di vulnerabilità in tempi rapidi. L’exchange di criptovalute Coinbase (Nasdaq: COIN) ha illustrato questa tendenza l’11 agosto nella sua comunicazione sulla sicurezza, segnalando che le segnalazioni sono sulla buona strada per raggiungere un volume tre volte superiore a quello dello scorso anno, dopo essersi raddoppiate rispetto all’anno precedente.

L’aumento del volume ha coinciso con una quota minore di scoperte attendibili. Coinbase ha indicato che la percentuale di segnalazioni valide è scesa dal 14% nel 2024 al 4% nel primo semestre del 2026. L’azienda ha associato il crescente utilizzo dell’IA da parte dei ricercatori a un forte aumento delle segnalazioni generate dall’IA, ma non ha specificato quale percentuale del totale delle segnalazioni fosse attribuibile a strumenti automatizzati.

Il 29 luglio Coinbase ha ristretto il proprio programma di bug bounty Web2 alle vulnerabilità di livello elevato, critico ed estremo. Tra le segnalazioni su HackerOne chiuse nel primo semestre, il 44% era costituito da duplicati, il 37% conteneva informazioni prive di una falla sfruttabile e il 15% era non valido. Le vulnerabilità «estreme» continuano a dare diritto a ricompense fino a 1 milione di dollari. HackerOne è una piattaforma esterna in cui ricercatori indipendenti segnalano vulnerabilità software alle aziende per la verifica e l’eventuale assegnazione di ricompense. Coinbase utilizza l’etichetta «Web2» per siti web, applicazioni e servizi di supporto convenzionali. Il suo programma separato «Cantina» copre le vulnerabilità relative alla blockchain e agli smart contract.

Cosa hanno scoperto i ricercatori interni?

I ricercatori esterni Joe Almeida e Anh Nguyen hanno scoperto una sottile debolezza relativa alla riconciliazione da parte di Coinbase dei prelievi su Stellar. Il meccanismo di “fee-bump” di Stellar consente a una terza parte di “avvolgere” una transazione esistente e pagare una commissione di rete più elevata senza richiedere nuove firme o la gestione dei numeri di sequenza.

Il sistema di Coinbase poteva considerare la transazione originale come fallita in determinate condizioni, anche dopo che il trasferimento previsto era andato a buon fine sulla blockchain. Tale discrepanza creava la possibilità che una spesa venisse conteggiata due volte internamente. Coinbase ha sospeso il processo interessato, ha confermato una correzione e ha ripristinato il normale funzionamento.

I fondi dei clienti non sono stati compromessi e Coinbase non ha riscontrato alcuna prova di sfruttamento al di là del proof of concept dei ricercatori e dei test interni. L’intelligenza artificiale ha segnalato separatamente un difetto correlato, ma meno grave, relativo ai depositi. I risultati illustrano la divisione voluta da Coinbase tra lo screening automatizzato e le indagini specialistiche che coinvolgono le regole del protocollo e la contabilità interna.

Un audit di sicurezza separato su Bitcoin, assistito dall’IA, ha prodotto 4.962 potenziali risultati in 390 repository durante una revisione durata 27,5 ore. Circa un quinto di questi era stato riprodotto in modo indipendente al momento della pubblicazione, rendendo necessaria una conferma umana prima che i restanti avvisi potessero essere considerati vulnerabilità accertate.

In che modo i criminali utilizzano l’IA?

Gli aggressori possono impiegare la stessa tecnologia per accelerare il phishing, l’usurpazione d’identità e il furto di credenziali. L’FBI (Federal Bureau of Investigation) ha avvertito che l’IA generativa aiuta i criminali a produrre messaggi convincenti più rapidamente, ad automatizzare le operazioni e ad ampliare il loro bacino di potenziali bersagli.

Un’analisi del 10 agosto sull’attività di Kimsuky, collegata alla Corea del Nord, ha identificato piattaforme di IA e documenti generati all’interno dell’infrastruttura associata. Gli investigatori hanno osservato materiale di phishing mirato a risorse virtuali, investimenti finanziari e obiettivi legati allo sviluppo di software.

Un rapporto del 6 marzo sul servizio di phishing Tycoon 2FA ha descritto una tecnologia in grado di intercettare sessioni attive e acquisire i token utilizzati per aggirare l’autenticazione a più fattori. Un’azione coordinata ha portato alla rimozione di 330 domini collegati all’operazione.

Cosa comporta il cambiamento nella sicurezza dell’IA per i consumatori?

Per i consumatori, l’IA può aumentare la velocità degli attacchi e rendere i messaggi di phishing più convincenti, mentre il volume dei bug bounty influisce principalmente sui team di revisione delle aziende. Una valutazione della sicurezza on-chain del 30 luglio ha contato 212 exploit e 1,1 miliardi di dollari di perdite durante la prima metà del 2026.

Le precauzioni individuali rimangono importanti mentre gli exchange ampliano le revisioni automatizzate e si avvalgono di ricercatori specializzati. Le pratiche standard di sicurezza per gli asset digitali includono backup sicuri dei wallet, una gestione rigorosa delle password e l’autenticazione a due fattori. Il programma rivisto di Coinbase lascia invariati i premi Web3, concentrando invece i pagamenti pubblici dei bounty Web2 sulle vulnerabilità ad alto impatto.