Ledger警告：1.16亿美元Coldcard黑客事件表明AI可放大钱包漏洞

区块链文库报道：

关键要点

Coldcard 的种子生成漏洞将旧款设备的有效熵降至约 40 位，新款受影响型号则约为 72 位。

TRM Labs 表示，自 7 月 30 日起的多轮盗窃共窃取约 1,816 枚比特币（BTC），价值近 1.16 亿美元。

Rogers 认为，人工智能降低了寻找弱点的成本，而自主代理在获取凭证和其他秘密后会带来新的风险。

比特币钱包漏洞

媒体于 8 月 12 日报道，Ledger 首席人力官 Ian Rogers 驳斥了该事件表明硬件钱包存在固有弱点的观点。他反而指出，问题在于随机数生成质量差，以及人工智能工具能帮助攻击者更高效地搜索易受攻击的系统。

Coldcard 制造商 Coinkite 表示，2021 年引入的固件问题导致种子生成使用了软件伪随机数生成器，而非预期的硬件路径。其初步估算显示，受影响的 Mk2 和 Mk3 设备有效熵约为 40 位，新款受影响型号则约为 72 位。

TRM Labs 称，四轮盗窃从超过 5,200 个地址中盗走了约 1,816 枚 BTC，损失价值近 1.16 亿美元。Ledger 表示，其设备通过认证安全元件内的硬件真随机数生成器产生熵，没有软件备用方案。

Ian Rogers 的警告

Rogers 表示，人工智能正通过三种方式改变威胁环境：为攻击者提供更强大的漏洞发现工具、加速软件开发、以及增加能够访问敏感系统的人工智能代理数量。

第三种风险不仅限于加密钱包，因为企业代理可能处理电子邮件、凭证、支付数据和内部通信。他将人工智能代理的访问控制比作父母决定青少年何时获得车钥匙，认为应根据具体情境决定代理何时可以使用敏感权限。Ledger 正在构建工具，将代理操作钱包的能力与私钥的控制权分离。

“无论你的资产存放在哪里，你都应该关注保护它们的安全级别，”Rogers 在接受采访时表示。Ledger 此前也曾提出过类似的随机数生成问题。其 Donjon 安全团队在 2022 年 11 月向某公司报告了 Trust Wallet 浏览器扩展漏洞，当时发现种子熵已降至 32 位。