Hardware-Wallets sind nicht das Problem, sagt Ledger-Manager. KI-Angreifer sind es.

Der Coldcard-Hack über 116 Millionen Dollar hat Bitcoin-Inhaber letzte Woche erschüttert. Der oberste Sicherheitsmanager von Ledger sagt, die Schlagzeile verfehlte völlig den Punkt.

In einem Gespräch mit Bloomberg argumentierte Ian Rogers, Chief Human Agency Officer von Ledger, dass der Angriff kein Beweis dafür sei, dass Selbstverwahrung oder Hardware-Wallets von Natur aus riskant sind. Die eigentliche Geschichte, so sagte er, ist, was KI Angreifern ermöglicht, mit Systemen zu tun, die auf schwacher Zufälligkeit basieren.

Warum Ledger nicht betroffen war

Die Coldcard-Schwachstelle geht auf einen Firmware-Fehler aus dem Jahr 2021 zurück, der die Seed-Generierung über einen softwarebasierten Pseudorandomzahlengenerator anstelle des Hardware-Chips des Geräts leitete.

Das erzeugte eine Entropie von etwa 40 bis 72 Bit, was einen kleinen Adressraum darstellt, den ein KI-gestützter Angreifer systematisch scannen und private Schlüssel lokalisieren kann. TRM Labs verfolgte 1.082 BTC, die in der ersten Welle während eines 41-minütigen Übergriffs am 30. Juli abgezogen wurden.

Ledger generiert Entropie vollständig in Hardware, sagte Rogers gegenüber Bloomberg, und verwendet einen zertifizierten sicheren Chip ohne Software-Backup. Der resultierende Adressraum ist, in seinen Worten, "die Zahl drei mit 67 Nullen dahinter." Kein Angreifer kann das brute-forcen.

Es ist nicht das erste Mal, dass Ledger einen solchen Fehler entdeckt hat. Im Jahr 2022 identifizierte das Unternehmen einen ähnlichen Fehler in Trust Wallet und arbeitete durch verantwortungsvolle Offenlegung, um den Nutzern zu helfen, ihre Gelder in Sicherheit zu bringen. Die Berichterstattung von BeInCrypto über die laufenden Diebstahlswellen von Coldcard zeigt, wie schnell und systematisch die Ausnutzung wurde, sobald die Schwachstelle bekannt war.

3 Wege, wie KI die Bedrohung verändert hat

Rogers skizzierte drei sich verstärkende Bedrohungen.

Erstens gibt KI Angreifern mehr Feuerkraft, um Schwachstellen in jedem System zu finden, nicht nur in Krypto. Er nannte Angriffe auf die Wasserinfrastruktur der USA als Teil desselben Trends, da die zugrunde liegenden Werkzeuge allgemein einsetzbar sind.

Zweitens bedeutet die KI-unterstützte Entwicklung, dass mehr Code schneller in der Branche ausgeliefert wird, was die Angriffsfläche für alle erweitert. BeInCrypto berichtete darüber, wie KI-gestützte Smart-Contract-Angriffe nun die Werkzeuge übertreffen, die entwickelt wurden, um sie zu erkennen.

Drittens, und hier geht Rogers über die Coldcard-Geschichte hinaus, setzen Unternehmen Agenten ein, die Zugang zu internen Geheimnissen wie E-Mail, Slack und Anmeldeinformationen haben. Bloomberg stellte den Coldcard-Exploit als Hardware-Geschichte dar. Rogers sieht es als ein frühes Signal eines viel umfassenderen Sicherheitsproblems im KI-Zeitalter.

Die agentische Bedrohung, vor der Rogers warnte

Am Ende des letzten Jahres beschrieb Rogers eine Zukunft, in der Menschen KI-Agenten ihre Passwörter, Kreditkarten und Identitäten anvertrauen, als ein gefährliches, unkontrolliertes Risiko. Wenige Menschen verstanden damals, was er meinte. Jetzt tun sie es.

Sein Vergleich stellt KI-Agenten und Geheimnisse einem Teenager und Autoschlüsseln gegenüber. Die Schlüssel befinden sich nicht im Zimmer des Teenagers. Ein Elternteil entscheidet, basierend auf dem Kontext, wann der Zugang angemessen ist. Eine Autofahrt zur Schule am Montagmorgen ist in Ordnung. Eine Fahrt am Freitagabend nach einer Party nicht. Dieselbe Logik, argumentiert Rogers, muss regeln, auf was jeder Agent zugreifen kann und wann.

Ledger bietet bereits Werkzeuge an, die es einem Agenten ermöglichen, eine Wallet zu halten, ohne die privaten Schlüssel zu besitzen. Das Prinzip ist dasselbe, das immer die Hardware-Sicherheit bestimmt hat: Schutz durch Design, nicht durch Richtlinien.

Wo auch immer Ihre Vermögenswerte gespeichert sind, sollten Sie an dem Sicherheitsniveau interessiert sein, das sie schützt.

Rogers sagte gegenüber Bloomberg.

Dieser Inhalt wird nur zu allgemeinen Informationszwecken bereitgestellt und stellt keine finanzielle, Anlage-, Rechts- oder Steuerberatung dar. Alle erwähnten Ereignisse, Prämien, Online-Aktionen oder zugehörige Informationen sollten nicht als Empfehlung, Aufforderung oder Einladung zum Kauf, Verkauf, Handel oder anderweitigem Umgang mit Krypto-Assets betrachtet werden. Krypto-Assets sind sehr volatil und können zu Verlusten führen. Die Verfügbarkeit von WEEX Services, Produkten und zugehörigen Aktionen kann je nach Region unterschiedlich sein. Sie sind dafür verantwortlich sicherzustellen, dass Ihre Teilnahme mit geltenden lokalen Gesetzen und Vorschriften übereinstimmt.