Dragonfly: Audit AI US$2 Bisa Mengungkap Celah Coldcard

Haseeb Qureshi, managing partner Dragonfly, menilai kerentanan pada dompet bitcoin Coldcard menjadi contoh bagaimana kecerdasan buatan (AI) mengubah ekonomi keamanan siber. Biaya menemukan celah kini turun drastis, sehingga menurutnya perusahaan kripto perlu menjalankan pengujian dengan model AI terdepan pada setiap rilis perangkat lunak. Coldcard mengumumkan perbaikan pada 31 Juli atas cacat terkait seed. Masalahnya muncul pada seed yang dibuat menggunakan versi firmware tertentu: sebagian perangkat mengandalkan generator perangkat lunak yang deterministik, alih-alih sumber entropi berbasis hardware sebagaimana desain awal. Coinkite merilis pembaruan darurat pada 31 Juli dan meminta pengguna yang terdampak membuat seed baru serta memindahkan dana. Pembaruan firmware saja tidak memperbaiki seed lama. Qureshi mengatakan model AI dilaporkan mampu menemukan kembali kelemahan kritis tersebut dalam hitungan menit. "Keamanan siber sekarang sepenuhnya soal belanja," tulisnya di X, seraya menekankan pertanyaan utamanya: seberapa besar investasi pengembang untuk pengujian berbasis AI dibandingkan calon penyerang. Salah satu pengujian dilaporkan menggunakan Anthropic's Claude Code dan menemukan celah itu dalam sekitar delapan menit. Qureshi mengingatkan hasil ini bisa dipengaruhi akses internet yang berpotensi mengekspos model pada informasi yang sudah ada mengenai bug tersebut. Pengujian lain menonaktifkan akses web dan memakai GLM 5.2; kerentanan yang sama direproduksi dalam kira-kira 20 menit. Berdasarkan biaya input dan output model, Qureshi memperkirakan audit tersebut memakan biaya sekitar US$2. "US$2 penguatan dengan AI seharusnya bisa menangkap bug ini. Tidak ada alasan untuk ini," ujarnya. Ia juga mengusulkan metrik baru bernama Cost of Discovery (CoD), yang mengukur berapa biaya yang dibutuhkan model AI terdepan untuk mereproduksi kerentanan secara independen. Menurut Qureshi, dinamika ini dapat berdampak luas pada pasar hardware wallet. Vendor besar dinilai akan lebih unggul karena mampu membelanjakan lebih banyak untuk pengujian otomatis, audit, dan penguatan sebelum rilis. Perusahaan kecil berisiko kewalahan menghadapi penyerang yang bisa memindai kode secara terus-menerus dengan biaya sangat rendah. Ia merekomendasikan startup yang membangun wallet, smart contract, atau produk lain yang melindungi uang untuk menjalankan review keamanan berbasis AI sebelum setiap rilis. Qureshi juga menantang anggapan umum soal keamanan open-source: kode yang terbuka dapat melindungi pengguna dari pengembang yang berniat jahat, tetapi tidak otomatis melindungi dari penyerang. AI bisa menguntungkan kedua pihak: menurunkan biaya menemukan kerentanan, sekaligus memberi pengembang alat pertahanan yang lebih kuat. "Kita tidak punya pilihan selain beradaptasi," katanya.