ハードウェアウォレットは問題ではない、Ledgerの幹部がAI攻撃者を指摘

1億1600万ドルのColdcardハッキングは、先週ビットコイン保有者を動揺させた。Ledgerの最高セキュリティ責任者は、見出しが本質を完全に見逃していると述べた。

Bloombergとのインタビューで、Ledgerのチーフヒューマンエージェンシーオフィサーであるイアン・ロジャースは、この攻撃が自己保管やハードウェアウォレットが本質的に危険であることの証拠ではないと主張した。彼が言うには、真の問題はAIが攻撃者に弱いランダム性に基づいたシステムに何をさせるかである。

Ledgerが影響を受けなかった理由

Coldcardの脆弱性は、2021年のファームウェアバグに遡り、シード生成がデバイスのハードウェアチップではなく、ソフトウェアの擬似乱数生成器を通じて行われていた。

これにより、約40から72ビットのエントロピーが生成され、AI駆動の攻撃者が体系的にスキャンしてプライベートキーを見つけるには十分に小さいアドレス空間が生まれた。TRM Labsは、7月30日の最初の波の41分間のスイープで排出された1,082 BTCを追跡した。

ロジャースはBloombergに対し、Ledgerは完全にハードウェアでエントロピーを生成しており、ソフトウェアのフォールバックはない認証済みのセキュアチップを使用していると述べた。その結果得られるアドレス空間は、彼の言葉を借りれば「67個のゼロが後ろに付く3の数字」である。どの攻撃者もそれをブルートフォースすることはできない。

Ledgerがこの種の欠陥を見つけたのはこれが初めてではない。2022年、同社はTrust Walletに類似のバグを特定し、責任ある開示を通じてユーザーが資金を安全に移動できるよう支援した。BeInCryptoのColdcardの進行中の盗難波に関する報道は、脆弱性が知られるようになった後、どれほど迅速かつ体系的に悪用が進んだかを示している。

AIが脅威を変えた3つの方法

ロジャースは、3つの重層的な脅威を挙げた。

まず、AIは攻撃者にあらゆるシステムの脆弱性を見つけるためのより多くの火力を提供する。彼は、米国の水インフラに対する攻撃を同じ傾向の一部として挙げた。なぜなら、基盤となるツールは一般的な目的のものであるからだ。

次に、AI支援の開発により、業界全体でより多くのコードが迅速に出荷され、すべての人にとって攻撃面が拡大する。BeInCryptoは、AI駆動のスマートコントラクトの悪用が、それを検出するために構築されたツールを上回る速度で進行していることを報告した。

最後に、ロジャースがColdcardの話を超えて言及するのは、企業が内部の秘密（メール、Slack、資格情報など）へのアクセスを保持するエージェントを展開しているということだ。BloombergはColdcardの悪用をハードウェアの話として位置付けているが、ロジャースはそれをより広範なAI時代のセキュリティ問題の初期信号として位置付けている。

ロジャースが警告したエージェントの脅威

昨年末、ロジャースは、人々がAIエージェントに自分のパスワード、クレジットカード、アイデンティティを渡す未来を危険で管理されていないリスクとして描写した。当時、彼の言っていることを理解していた人は少なかったが、今は理解されている。

彼のアナロジーは、AIエージェントと秘密をティーンエイジャーと車の鍵に例えている。鍵はティーンエイジャーの部屋には存在しない。親は文脈に基づいて、アクセスが適切な時期を決定する。月曜日の朝の学校へのドライブは問題ないが、金曜日の夜のパーティーの後は問題だ。ロジャースは、同じ論理がエージェントが何にアクセスできるか、いつアクセスできるかを管理すべきだと主張している。

Ledgerはすでに、エージェントがプライベートキーを保持せずにウォレットを保持できるツールを提供している。この原則は、常にハードウェアセキュリティを支配してきたものである：ポリシーではなく、設計による保護。

あなたの資産がどこに保管されていても、それを保護するセキュリティのレベルに関心を持つべきです。

ロジャースはBloombergに語った。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。