Coinkite: AI không phát hiện lỗi dẫn đến mất $130M Coldcard
Nhà sản xuất ví phần cứng đã kêu gọi xem xét ngay lập tức việc giám sát AI đối với mã quan trọng về bảo mật sau khi các ví bị rút cạn vào cuối tuần trước.
Coinkite cho biết một lỗ hổng phần mềm đã làm cạn kiệt các ví Bitcoin Coldcard bị ảnh hưởng vào cuối tuần trước đã vượt qua quy trình bảo mật dựa trên AI, với thiệt hại hiện được ước tính là 130 triệu đô la.
Điểm chính
- Một lỗ hổng phần mềm đã bị khai thác trong các ví Coldcard bị ảnh hưởngBitcoincác ví đã dẫn đến ước tính 130 triệu đô la bị đánh cắp.
- Coinkite liên kết sự cố này với việc trí tuệ nhân tạo không phát hiện được lỗ hổng trước khi nó bị khai thác.
- Việc cạn kiệt xảy ra vào cuối tuần trước, định vị sự kiện này như một sự cố tự quản lý thay vì vi phạm trao đổi hoặc quản lý tập trung.
- Coinkite kêu gọi các công ty sử dụng AI để giám sát mã quan trọng về bảo mật tiến hành xem xét ngay lập tức và coi lỗ hổng này như một cảnh báo cho toàn ngành.
Các ví Coldcard bị cạn kiệt, thiệt hại ước tính 130 triệu đô la
Coinkite, nhà sản xuất Coldcard có trụ sở tại Canadaví phần cứng, các hacker đã khai thác một lỗ hổng phần mềm để đánh cắp quỹ của người dùng từ “các ví Coldcard bị ảnh hưởng,” với tổn thất hiện được ước tính là 130 triệu đô la. Mô tả của công ty rất quan trọng vì nó chỉ ra một chế độ thất bại trong việc tự quản lý, không phải là một sự kiện thanh khoản của sàn giao dịch nơi mà một bảng cân đối duy nhất gánh chịu tổn thất.
Thời gian trong báo cáo của công ty rất chặt chẽ và vẫn chưa chính xác. Coinkite cho biết các ví đã bị rút cạn “cuối tuần trước,” và họ đã công bố cảnh báo của mình vào ngày 5 tháng 8. Đoạn trích không chỉ rõ số lượng thiết bị hoặc người dùng bị ảnh hưởng, các mẫu Coldcard nào bị ảnh hưởng, hoặc liệu việc rút cạn có tập trung vào một tập hợp nhỏ các ví có số dư cao hay không.
Về mặt cơ học, một ví phần cứng được cho là giữ khóa riêngngoại tuyến, nhưng nó vẫn phụ thuộc vào firmware và phần mềm đi kèm hoạt động chính xác như mong muốn. Khi một lỗi nằm trong một đường dẫn ký, đường dẫn cập nhật, hoặc bất kỳ mã nào chạm vào vật liệu khóa, “tự quản lý” không còn là một lời hứa nhị phân mà trở thành một kỷ luật hoạt động với những cạnh sắc.
Khiếu nại về lỗi bị bỏ qua của Coinkite và Cảnh báo toàn ngành
Khiếu nại cốt lõi của Coinkite không chỉ là một lỗ hổng tồn tại, mà là một quy trình bảo mật dựa trên AI đã không phát hiện ra trước khi các kẻ tấn công làm vậy. Công ty cho biết trí tuệ nhân tạo đã không phát hiện ra lỗi phần mềm đã bị khai thác để đánh cắp quỹ của người dùng, và họ đã sử dụng sự cố này để đẩy một cảnh báo quy trình ra bên ngoài cho phần còn lại của ngành.
Cách diễn đạt chính xác của Coinkite là rõ ràng: lỗ hổng mà các hacker phát hiện “là một cảnh báo cho mọi công ty xây dựng phần cứng và phần mềm Bitcoin, không chỉ riêng chúng tôi.” Đó là một nỗ lực có chủ ý để làm cho thông điệp về các thực tiễn phát triển và giám sát trên các sản phẩm quản lý, không phải là một sai lầm của nhà cung cấp đơn lẻ.
Cụm từ “mã quan trọng về bảo mật” đang thực sự hoạt động ở đây. Trong các sản phẩm cấp quản lý, nó có nghĩa là các phần của ngăn xếp mà một khiếm khuyết có thể trực tiếp cho phép đánh cắp hoặc mất mát, bao gồm mã điều chỉnh việc tạo khóa, ký giao dịch,địa chỉhiển thị, cập nhật firmware và bất kỳ logic nào có thể bị ép buộc để ký một cái gì đó mà người dùng không có ý định.
Nếu AI được sử dụng để quét các khác biệt, đánh dấu những thay đổi đáng ngờ, hoặc phân loại các báo cáo lỗ hổng trong những lĩnh vực đó, một kết quả âm tính giả không phải là một phiền toái. Đó là một sự cố.
Coinkite đã kêu gọi các công ty sử dụng AI để giám sát mã quan trọng về bảo mật thực hiện các đánh giá ngay lập tức. Lời kêu gọi này nghe ít giống như một cú đánh vào 'cơn sốt AI' và nhiều hơn như một sự thừa nhận về khoảng trống kiểm soát: một số đội có thể đã coi giám sát AI như một sự thay thế cho các kiểm soát chậm hơn, tốn kém hơn thường bắt được các lỗi ở biên, như xem xét mã đối kháng, xác minh chính thức trên các thành phần hẹp, hoặc độc lậpkiểm toántập trung vào các quy trình ký và cập nhật.
Những gì các nhà giao dịch có thể và không thể suy luận từ góc độ AI ngay bây giờ
Đối với các nhà giao dịch, suy luận rõ ràng nhất là ở cấp độ danh mục, không phải cấp độ token. Đây là một sự kiện tin cậy tự quản: loại có thể thay đổi hành vi của người dùng xung quanh ví phần cứng, cập nhật firmware, và mức độ rủi ro hoạt động mà mọi người sẵn sàng giữ cá nhân so với việc thuê ngoài cho các người giữ.
Điều nổi bật là cách mà góc độ AI thay đổi câu chuyện về 'cách mà điều này bị trượt.' Nếu thị trường đọc điều này như một thất bại về công cụ, sự tràn ra không bị giới hạn ở một nhà cung cấp.
Bất kỳ sản phẩm lưu ký nào đã công khai dựa vào việc xem xét mã hỗ trợ AI, giám sát tự động, hoặc phân loại AI cho quản lý lỗ hổng đều có thể bị kéo vào cùng một câu hỏi: những kiểm soát nào thực sự đang kiểm soát các bản phát hành và những cái nào chỉ mang tính tư vấn.
Cũng có một điều thực tiễn hơn cho các nhà giao dịch: các tiêu đề sự cố về ví phần cứng có xu hướng nén các khoảng thời gian. Người dùng đã thoải mái ngồi tronglưu trữ lạnhcó thể di chuyển quỹ nhanh chóng khi độ an toàn của loại thiết bị bị nghi ngờ, và điều đó có thể xuất hiện dưới dạng chuyển động ngắn hạn trên chuỗi, dòng tiền vào sàn giao dịch, và một đợt bùng nổ nhu cầu cho các thiết lập lưu ký thay thế.
Đoạn trích vẫn để lại những khoảng trống lớn mà hạn chế những gì có thể được kết luận. Nó không xác định hệ thống AI nào đã thất bại, liệu nó có được sử dụng cho việc xem xét mã trước khi hợp nhất, giám sát sau khi hợp nhất, phát hiện bất thường, hay một điều gì đó hoàn toàn khác.
Nó cũng không thiết lập được con đường khai thác, liệu lỗ hổng có yêu cầu tương tác của người dùng hay không, liệu nó có liên quan đến một phiên bản firmware cụ thể hay không, hoặc liệu sự xâm phạm có phụ thuộc vào việc làm giả chuỗi cung ứng so với phần mềm thuần túy.
Con số 130 triệu đô la là quan trọng về phương hướng nhưng vẫn tạm thời trong hình thức được trình bày ở đây. Nó được mô tả là một ước tính mà không có phương pháp, không có sự phân bổ trên chuỗi, hoặc một phân tích cho phép thị trường phân tách giữa việc đánh cắp đã được xác nhận và sự phơi bày nghi ngờ.
Các xác nhận cần theo dõi: Chi tiết công cụ, Tình trạng bản vá, và Kế toán tổn thất
Các xác nhận tiếp theo quan trọng là những xác nhận biến điều này từ một tiêu đề cảnh báo thành một mô hình rủi ro có thể hành động.
Thứ nhất là tính cụ thể của công cụ. Coinkite đã nói rằng AI đã không phát hiện ra lỗ hổng, nhưng trong đoạn trích được cung cấp, nó không nêu tên hệ thống AI hoặc mô tả cách nó được tích hợp vào quy trình bảo mật.
Một mô tả cụ thể về việc liệu AI đang hoạt động như một người xem xét, một người giám sát, hay một lớp phân loại sẽ làm rõ liệu sự bỏ sót là cụ thể cho mô hình, cụ thể cho quy trình, hay chỉ đơn giản là một trường hợp AI được yêu cầu che phủ một loại lỗi mà nó kém trong việc phát hiện.
Thứ hai là khắc phục. Đoạn trích không bao gồm tình trạng bản vá, hướng dẫn phiên bản firmware hoặc phần mềm, hoặc hướng dẫn người dùng ngoài việc kêu gọi xem xét ngay lập tức. Các nhà giao dịch nên tìm kiếm một tuyên bố rõ ràng về việc liệu một bản sửa lỗi có sẵn hay không, người dùng cần làm gì để được bảo vệ, và liệu Coinkite có xác định thêm các vectơ bị ảnh hưởng ngoài cụm từ “các ví Coldcard bị ảnh hưởng” hay không.
Thứ ba là kế toán tổn thất. Nếu ước tính 130 triệu đô la được cập nhật với sự phân bổ trên chuỗi, phân nhóm ví, hoặc một phân tích về việc đánh cắp đã được xác nhận so với nghi ngờ, điều đó sẽ xác định liệu sự cố này có được kiểm soát hay trở thành một gánh nặng kéo dài hơn. Các mẫu chuyển động cũng quan trọng: dòng tiền đã được xác nhận vào các sàn giao dịch hoặc mixer sẽ thay đổi tốc độ mà thị trường mong đợi quỹ bị đánh cắp sẽ được thanh lý.
Cuối cùng, hãy theo dõi phản ứng của ngành công nghiệp thứ cấp. Coinkite đã định hình điều này như một cảnh báo cho “mọi công ty xây dựng phần cứng và phần mềm Bitcoin,” và thử nghiệm thực tế của tuyên bố đó là liệu các nhà cung cấp khác có phát hành thông báo, công bố kiểm toán, hoặc tiết lộ thay đổi trong quy trình bảo mật hỗ trợ AI để đáp ứng hay không.
Đọc của tôi: Quy trình bảo mật AI là một kiểm soát, không phải là một đảm bảo, trong mã cấp lưu ký.
Phần quyết định kích thước của vấn đề này không phải là con số tiêu đề, mà là ranh giới kiểm soát. Coinkite đang thông báo cho thị trường rằng một quy trình làm việc dựa trên AI đã ở đâu đó trong con đường mà lẽ ra phải ngăn chặn một lỗi bảo mật quan trọng không được phát hành hoặc tồn tại, và nó đã bỏ lỡ.
Điều này không gây ngạc nhiên trong lý thuyết, vì các công cụ AI là xác suất và mã giám sát là đối kháng, nhưng đó vẫn là một sự thừa nhận có ý nghĩa vì nó đặt ra câu hỏi mà mọi đội ngũ bảo mật đều ghét phải trả lời công khai: cánh cửa xác định cuối cùng trước khi khóa của người dùng gặp rủi ro là gì.
Có hai kịch bản khả thi từ đây, và chúng giao dịch trên các xác nhận khác nhau. Nếu Coinkite có thể chỉ định công cụ AI và cho thấy đó là một lớp không chặn, thì sự cố này được đọc như một lỗ hổng thông thường đã vô tình né tránh một phương pháp phát hiện, với cách khắc phục thực sự là xem xét chặt chẽ hơn và phân phối bản vá.
Nếu, thay vào đó, việc theo dõi sau đó tiết lộ rằng giám sát AI được coi là một kiểm soát chính cho mã bảo mật quan trọng, thì cảnh báo không chỉ là tu từ. Nó là một bản đồ của một chế độ thất bại phổ biến trong ngành, nơi các đội thay thế việc xem xét của con người tốn kém và các phương pháp chính thức hẹp bằng việc quét AI rộng rãi và gọi đó là “bao phủ.”
Ngưỡng quan trọng cho tác động thị trường là liệu việc khắc phục có rõ ràng và có giới hạn hay không. Một bản vá rõ ràng, các phiên bản bị ảnh hưởng rõ ràng, và một con đường kế toán tổn thất ổn định sẽ giữ điều này trong phạm vi của một sự cố tự quản lý làm tổn thương lòng tin nhưng không viết lại danh mục.
Nếu phạm vi vẫn mơ hồ, công cụ vẫn không được đặt tên, và ước tính 130 triệu đô la trôi nổi mà không có xác nhận trên chuỗi, câu chuyện trở thành về chính sự không chắc chắn, và sự không chắc chắn là điều thúc đẩy người dùng chuyển tiền.
Điều gì sẽ xác nhận luận điểm cốt lõi là một tiết lộ cụ thể về vai trò của quy trình làm việc AI cùng với một bản vá và kế toán tổn thất có thể xác minh, vì điều đó sẽ cho thấy liệu AI có phải là một lưới an toàn mỏng manh hay là một sự thay thế sai chỗ cho các kiểm soát cấp độ giám sát.
