Minaccia legata all’IA: il Web3 invitato a introdurre limiti di spesa e meccanismi di interruzione automatica on-chain

Le autorità di regolamentazione dell’UE lanciano un allarme sulla crittografia post-quantistica

Le autorità di regolamentazione dell’Unione Europea hanno avvertito che i computer quantistici avanzati potrebbero minare i sistemi crittografici ampiamente utilizzati per proteggere database e blockchain. In un aggiornamento del Comitato congiunto, le autorità di regolamentazione, note come Autorità di vigilanza europee (ESA), hanno aggiunto che le minacce poste da tali computer “potrebbero concretizzarsi prima di qualsiasi applicazione commerciale praticabile”.

I funzionari ritengono inoltre che gli autori delle minacce stiano attivamente adottando strategie del tipo “raccogli ora, decifra dopo”, intercettando e archiviando oggi il traffico crittografato sulla blockchain per decifrarlo una volta che l’hardware quantistico avrà raggiunto una scala sufficiente. Per anticipare questi rischi, il Digital Operational Resilience Act (DORA) dell’UE impone agli enti finanziari di «adottare sistemi crittografici all’avanguardia contro le nuove minacce».

Di conseguenza, le autorità di regolamentazione stanno invitando gli enti finanziari ad avviare la transizione dalle soluzioni crittografiche legacy verso algoritmi resistenti alla crittografia quantistica. Inoltre, il Gruppo di cooperazione NIS dell’UE ha raccomandato agli Stati membri di adottare una strategia di migrazione verso la crittografia post-quantistica entro la fine del 2026.

Le blockchain di livello 1 devono far fronte a scadenze urgenti per la migrazione

Sebbene la tempistica precisa con cui l’informatica quantistica riuscirà a violare la crittografia standard delle blockchain rimanga oggetto di dibattito, gli avvertimenti delle autorità di regolamentazione rappresentano un urgente campanello d’allarme per gli sviluppatori. Il rischio è particolarmente grave per le reti che abbinano chiavi pubbliche esposte a percorsi di aggiornamento rigidi, comprese le principali blockchain di Livello 1 come Bitcoin, Ethereum e Solana.

Leo Fan, fondatore di Cysic, ha sottolineato i tempi prolungati necessari per implementare in modo sicuro schemi resistenti ai computer quantistici su queste reti blockchain. “I progetti a più alto rischio combinano chiavi pubbliche esposte e vulnerabili ai computer quantistici con percorsi di aggiornamento complessi. Bitcoin, Ethereum e Solana necessitano tutte di aggiornamenti delle firme; anche le reti proof-of-stake devono affrontare la questione delle firme dei validatori”, ha dichiarato Fan a Bitcoin.com News. “Gli standard di firma post-quantistica esistono già, quindi l’implementazione può iniziare subito. La migrazione di intere reti è un progetto pluriennale, non un semplice interruttore da azionare quando arriveranno gli attacchi quantistici”.

I framework a conoscenza zero richiedono un intervento immediato

Alla domanda se i protocolli di archiviazione decentralizzati e le blockchain incentrate sulla privacy debbano modificare oggi stesso i propri framework di prove a conoscenza zero o gli standard di crittografia, vista l’arrivo anticipato dei rischi di decrittografia, Fan ha sollecitato un’azione immediata sui dati a lungo termine.

«Sì, bisogna dare priorità ai dati che devono rimanere riservati per anni», ha sottolineato Fan, osservando che i protocolli devono aggiornare lo scambio di chiavi e il “key wrapping” vulnerabili utilizzando schemi post-quantistici verificati, valutando al contempo i sistemi di prova in modo indipendente. «Le prove basate su curve ellittiche possono essere vulnerabili; gli STARK basati su hash, se progettati correttamente, offrono una via d’uscita. “Zero knowledge” non significa automaticamente “sicuro dal punto di vista quantistico”, e gli aggiornamenti futuri non potranno salvare il testo cifrato vulnerabile già raccolto».

Gli exploit guidati dall’IA richiedono meccanismi di interruzione automatica on-chain

Nel frattempo, l’aggiornamento delle ESA segnala anche i rapidi progressi nell’intelligenza artificiale (IA) come fattori potenzialmente in grado di consentire ai criminali informatici di sfruttare le debolezze dei sistemi a una velocità senza precedenti, rendendo più difficile per gli attori del mercato rispondere in tempo. Sebbene il rapporto raccomandi di mantenere una forte resilienza operativa e controlli di sicurezza informatica, Fan ha esortato il Web3 e i protocolli decentralizzati ad andare oltre i semplici dashboard per la risposta agli incidenti.

«Progettate la custodia in modo che un unico messaggio convincente [alone] non possa spostare i fondi. Utilizzate chiavi supportate da hardware, firmatari multisig indipendenti e la verifica delle transazioni al di fuori della chat o dell’app da cui proviene la richiesta», ha consigliato Fan, mettendo in guardia dall’uso di voci o volti familiari per l’autorizzazione.

Tuttavia, man mano che i modelli di IA diventano più sofisticati, sono sempre più in grado di aggirare le misure di sicurezza standard. Di conseguenza, i protocolli devono implementare difese automatizzate on-chain per contenere gli exploit autonomi prima che i fondi vengano prosciugati. “Inserite i limiti nei contratti, non nelle richieste. Concedete agli agenti autorizzazioni con ambito ristretto e a scadenza, oltre a limiti di spesa cumulativi. Aggiungete limiti di deflusso a livello di protocollo e circuit breaker che respingano le transazioni che superano i limiti”, ha affermato il fondatore di Cysic, avvertendo che i soli avvisi off-chain non possono fermare un exploit che prosciuga un pool in un’unica transazione.