Defekti që qëndroi i fshehur pesë vjet
Një grup përdoruesish të pajisjes hardware Coldcard, të cilët ndoqën çdo hap të rekomanduar për sigurinë e Bitcoin-it të tyre, zbuluan me hidhërim se fondet e tyre ishin zhdukur. Ata kishin gjeneruar seed-in offline, direkt në pajisje, duke besuar se ajo do të prodhonte një numër plotësisht të paparashikueshëm. Në vend të kësaj, një gabim në kodin e firmware-it kishte kaluar në heshtje procesin e gjenerimit të entropisë te një gjenerator pseudo-i rastësishëm i dobët, i quajtur Yasmarang dhe pjesë e MicroPython, në vend të burimit hardware të entropisë.
Në disa modele, niveli efektiv i entropisë ra në rreth 40 bit, një shifër shumë e ulët për të garantuar siguri reale. Gabimi ishte futur në kod që në mars të vitit 2021 dhe kishte mbetur i dukshëm publikisht në firmware për më shumë se pesë vjet, pa u vënë re nga askush. Sulmuesit fillimisht zbrazën 500 adresa; brenda pak ditësh, sipas të dhënave nga Galaxy Research, numri arriti në 4,585 adresa dhe vlera e vjedhur iu afrua 90 milionë dollarëve. Sulmi vazhdon ende sot.
Inteligjenca artificiale ndryshon rregullat e lojës
Kompania prodhuese, Coinkite, dhe pjesa më e madhe e komunitetit mendojnë se dikush ka përdorur inteligjencën artificiale për të kaluar nëpër kodin publik të firmware-it dhe për të gjetur këtë defekt. Pavarësisht nëse kjo është mënyra e saktë si u zbulua problemi, ekspertët paralajmërojnë se sulme të ngjashme në të ardhmen do të mbështeten gjerësisht te modelet e AI-së. Një auditim i bazuar në AI, i kryer disa javë para vjedhjes, nuk e kishte gjetur problemin, ndërsa pas sulmit disa modele të reja e lokalizuan të njëjtin defekt brenda pak minutash, vetëm me një kërkesë të thjeshtë.
Interesant është fakti që Coinkite kishte ndryshuar licencën e firmware-it nga software i lirë në kushte të tipit "source-available" (MIT me klauzolën Commons), pasi një konkurrent kishte përdorur kodin e tyre për një produkt tjetër. Ndryshimi u lejonte njerëzve ta lexonin kodin, por jo ta përdornin komercialisht. Në praktikë kjo nuk ndryshoi asgjë: defekti mbeti i lexueshëm nga çdo makinë, pavarësisht kufizimeve ligjore mbi përdorimin njerëzor të kodit.
Rasti tregon një ndryshim shumë më të gjerë. Çdo kod i kompiluar, sado i errësuar apo i mbyllur të jetë burimi i tij, në momentin e ekzekutimit i tregon procesorit çdo hap saktësisht, pasi makina duhet ta kuptojë plotësisht se çfarë të bëjë. Kjo do të thotë se me mjete të mjaftueshme, si decompiler-at dhe modelet e reja të AI-së, çdo program bëhet i lexueshëm herët a vonë. Kjo nuk i bën automatikisht më të sigurt as projektet me kod të hapur - raste si Heartbleed apo dera e pasme e zbuluar te xz treguan se transparenca pa vëmendje aktive nuk parandalon asgjë - por vë në pikëpyetje bindjen se fshehja e kodit mund të zëvendësojë auditimin real të sigurisë.