Конфликт вокруг Coldcard на $116 миллионов: защита NVK и роль ИИ в обнаружении уязвимостей

Дебаты вокруг Coldcard и проверки безопасности

Генеральный директор Coinkite, NVK, вновь разжег дебаты вокруг эксплуатации Coldcard на сумму $116 миллионов, защищая свои проверки безопасности и утверждая, что новая модель искусственного интеллекта (ИИ) обнаружила дефект, который упустили человеческие рецензенты.

Проверки и обзоры

В сообщении, опубликованном в X 9 ноября, NVK заявил, что работа включала проверки аппаратного обеспечения Coldcard, прошивки, инструментов, связанных с генерацией случайных чисел, и контроля релизов. Он упомянул два оплаченных сторонних обзора продуктов: один, охватывающий Mk4 в 2022 году, и другой, касающийся Q в 2024 году.

По меньшей мере 15 задокументированных внешних проверок или исследований безопасности касались аппаратного обеспечения Coldcard, прошивки, инструментов, связанных с генерацией случайных чисел, или контроля релизов до того, как был обнаружен дефект. NVK отметил, что обзор кибербезопасности, проведенный OpenAI Робом Хэмом, выявил 85 потенциальных уязвимостей до инцидента.

"Неудобная правда заключается в том, что для нахождения того, что не могли обнаружить люди, потребовалась новая модель ИИ," - написал он.

Критика и возражения

Разработчик Bitcoin Люк Дэшджр оспорил предположение о том, что человеческий обзор не мог выявить проблему, заявив, что он делился находками с Coinkite в частном порядке и теперь раскрывает их публично.

"Прошло достаточно времени, и я слышу, что NVK ходит и притворяется, что люди не могли найти дефект Coldcard. Так что время для публичного раскрытия."

Дэшджр предостерег, что он не утверждает, что каждая проблема определенно является ошибкой или может быть использована. Его возражение сосредоточилось на утверждении NVK о ИИ: он сказал, что утверждение о том, что только сложная модель могла бы выявить проблемы с генератором случайных чисел, является ложным.

Обсуждение проверок и качества

Другие участники задавались вопросом, как Coinkite справлялся с проверками. Алекс Уальц обвинил компанию и NVK в том, что они отговаривают людей от изучения кода. Кеннет утверждал, что постоянное обеспечение качества отличается от просьбы команде проверить всю кодовую базу.

"Проведение проверки всей вашей кодовой базы не то же самое, что и наличие QA, встроенного в процесс. Вы ищете иголку в стоге сена."

Шиноби защитил NVK, утверждая, что рецензенты проверили систему энтропии, не выявив дефект. Он бросил вызов критикам, чтобы они представили воспроизводимую ошибку.

История и предупреждения

Более старые посты Джеймса О'Бирна всплыли в обмене. Он начал изучать прошивку Coldcard в мае 2025 года, чтобы установить, откуда ее генератор случайных чисел получает энтропию. О'Бирн сказал, что он сомневался в использовании библиотеки libngu и рекомендовал связываться напрямую с libsecp256k1.

"Я получил второй достоверный отчет о том, что кто-то предупреждал Coinkite о плохой энтропии в 2021 году, за 4 года до того, как я это сделал."

Анализ и последствия

Анализ TRM Labs от 5 августа описал примерно 1,816 BTC, украденных из более чем 5,200 адресов в четырех волнах, начавшихся 30 июля. В отчете прослеживалась уязвимость к ошибке конфигурации сборки марта 2021 года, которая выбрала слабый программный генератор случайных чисел.

Текущая страница безопасности Coinkite описывает его опубликованный отчет как живой постмортем, при этом говорится, что отдельный подробный технический отчет находится в подготовке. Рекомендуемые стандартные релизы - 5.6.3 для Mk4/Mk5 и 1.5.3Q для Q.

В уведомлении говорится, что обновления прошивки не могут исправить существующие затронутые семена. Его инструкции по миграции требуют нового семени, проверенной резервной копии и адреса получения, небольшого тестового перевода, а затем перемещения оставшихся средств.