Haseeb Qureshi, da Dragonfly, afirma que a vulnerabilidade do Coldcard mostra como a inteligência artificial (IA) está redefinindo a economia da segurança cibernética. À medida que o custo da detecção de falhas diminui drasticamente, ele argumenta que as empresas do setor de criptomoedas devem implementar modelos de IA de ponta em cada lançamento de software.
Haseeb Qureshi, da Dragonfly, afirma que uma auditoria de IA de US$ 2 poderia ter detectado a falha do Coldcard
ESCRITO POR
PARTILHAR
Principais conclusões
- A Coldcard corrigiu uma falha na semente em 31 de julho, depois que a IA supostamente a detectou em 8 minutos.
- Haseeb Qureshi afirma que auditorias de IA por US$ 2 poderiam beneficiar empresas de criptomoedas com orçamentos de segurança mais robustos.
- Qureshi recomendou a realização de verificações com IA de ponta em cada lançamento, já que a detecção de falhas agora leva apenas alguns minutos.
Falha na Coldcard pode levar empresas de criptomoedas a testar cada lançamento com IA
A inteligência artificial está tornando a descoberta de vulnerabilidades tão barata que a segurança pode depender cada vez mais de quanto as empresas estão dispostas a gastar antes que os invasores o façam.
Esse é o alerta de Haseeb Qureshi, sócio-gerente da Dragonfly, depois que modelos de IA supostamente redescobriram uma falha crítica no firmware da carteira de bitcoins da Coldcard em questão de minutos.
“A segurança cibernética agora se resume a gastos”, escreveu Qureshi no X. A questão principal, segundo ele, é quanto os desenvolvedores investem em testes baseados em IA em comparação com os potenciais invasores.
A Coldcard divulgou uma falha de entropia que afeta as sementes criadas com determinadas versões de firmware. O bug fez com que alguns dispositivos dependessem de um gerador de software determinístico, em vez da fonte de aleatoriedade de hardware prevista. A Coinkite lançou atualizações de emergência em 31 de julho e orientou os usuários afetados a criarem novas sementes e transferirem seus fundos. A instalação do novo firmware por si só não corrige uma semente antiga.
Vulnerabilidade teria sido encontrada em questão de minutos
Um teste teria encontrado a falha com o Claude Code, da Anthropic, após cerca de oito minutos. Qureshi alertou que o resultado pode ter sido influenciado pelo acesso à internet, o que poderia ter exposto o modelo a informações já existentes sobre o bug. Um teste separado desativou o acesso à web e utilizou o GLM 5.2. Ele reproduziu a vulnerabilidade em cerca de 20 minutos.
Com base nos custos de entrada e saída do modelo, ele estimou que a auditoria custou cerca de US$ 2. “US$ 2 em reforço de segurança de IA teriam detectado esse bug. Não há desculpa para isso”, comentou ele. Qureshi propôs uma nova métrica chamada Custo de Descoberta, ou CoD. A métrica estimaria quanto custa para um modelo de IA de ponta reproduzir de forma independente uma vulnerabilidade.
Pequenos fornecedores de segurança enfrentam pressão crescente
O episódio pode ter consequências mais amplas para o mercado de carteiras de hardware.
Qureshi argumentou que os fornecedores maiores terão uma vantagem, pois podem investir mais em testes automatizados, auditorias e fortalecimento de versões. Empresas menores podem ter dificuldade em se equiparar a invasores que podem escanear códigos continuamente a um custo baixo.
Ele recomendou que as startups que desenvolvem carteiras, contratos inteligentes ou outros produtos que protegem dinheiro realizem análises de segurança com IA antes de cada lançamento.
Qureshi também contestou uma suposição comum sobre a segurança do código aberto. O código público pode proteger os usuários contra desenvolvedores mal-intencionados, disse ele, mas não os protege automaticamente contra invasores.
A IA pode servir a ambos os lados. Ela reduz o custo da detecção de vulnerabilidades, mas também oferece aos desenvolvedores ferramentas defensivas mais robustas.
“Não temos escolha a não ser nos adaptar”, disse Qureshi.
Este artigo foi traduzido do inglês usando IA. A versão original em inglês é a fonte autorizada; traduções automáticas podem conter imprecisões, especialmente em terminologia jurídica e regulatória.
