Haseeb Qureshi, da Dragonfly: auditoria com IA de US$ 2 poderia ter identificado falha na Coldcard

Haseeb Qureshi, sócio-administrador da Dragonfly, afirmou que a vulnerabilidade revelada na Coldcard expõe como a inteligência artificial (IA) está mudando a economia da cibersegurança. Com o custo de encontrar falhas despencando, ele defende que empresas de cripto devem colocar modelos de ponta para testar cada versão de software antes do lançamento. Principais pontos - A Coldcard corrigiu, em 31 de julho, uma falha relacionada à seed após a IA supostamente encontrá-la em 8 minutos. - Qureshi diz que auditorias com IA por cerca de US$ 2 podem favorecer empresas com orçamentos maiores de segurança. - Ele recomenda checagens com IA de fronteira em toda nova versão, já que a descoberta de falhas pode cair para poucos minutos. IA pode levar o setor cripto a testar cada release Para Qureshi, a descoberta de vulnerabilidades ficou tão barata que a segurança tende a depender cada vez mais do quanto as empresas estão dispostas a gastar antes que atacantes o façam. Ele comentou o tema após modelos de IA supostamente redescobrirem, em poucos minutos, uma fraqueza crítica no firmware da carteira de bitcoin Coldcard. \u0022Cibersegurança agora é sobre gasto\u0022, escreveu Qureshi no X. Para ele, a questão central passou a ser quanto desenvolvedores investem em testes com IA em comparação com potenciais atacantes. A Coldcard divulgou uma falha de entropia que afetava seeds criadas com determinadas versões do firmware. O bug fazia alguns dispositivos dependerem de um gerador de software determinístico, em vez da fonte de aleatoriedade via hardware prevista no design. A Coinkite publicou atualizações emergenciais em 31 de julho e orientou usuários afetados a criar novas seeds e transferir os fundos. A simples instalação do firmware novo não corrige uma seed antiga. Falha teria sido encontrada em minutos Em um teste, a vulnerabilidade teria sido identificada com o Claude Code, da Anthropic, após cerca de oito minutos. Qureshi ponderou que o resultado pode ter sido influenciado pelo acesso à internet, que poderia expor o modelo a informações já existentes sobre o bug. Outro teste desativou o acesso à web e usou o GLM 5.2. Nesse caso, a falha foi reproduzida em aproximadamente 20 minutos. Com base nos custos de entrada e saída do modelo, Qureshi estimou que a auditoria tenha custado cerca de US$ 2. \u0022US$ 2 de hardening com IA teriam pegado esse bug. Não há desculpa para isso\u0022, afirmou. Ele também propôs uma nova métrica, chamada Cost of Discovery (CoD), para estimar quanto custa para um modelo de IA de fronteira reproduzir de forma independente uma vulnerabilidade. Pressão maior sobre fornecedores menores O episódio pode ter impactos mais amplos no mercado de carteiras de hardware. Qureshi avalia que fornecedores maiores ganham vantagem por conseguirem gastar mais com testes automatizados, auditorias e endurecimento de releases. Já empresas menores podem ter dificuldade para acompanhar atacantes que conseguem varrer código de forma contínua a baixo custo. Ele recomendou que startups que desenvolvem carteiras, smart contracts ou outros produtos que protegem recursos financeiros façam revisões de segurança com IA antes de cada lançamento. Qureshi também contestou uma premissa comum sobre segurança em código aberto. Segundo ele, tornar o código público pode proteger usuários contra desenvolvedores maliciosos, mas não oferece proteção automática contra atacantes. A IA pode favorecer os dois lados: reduz o preço de encontrar falhas e, ao mesmo tempo, amplia o arsenal defensivo dos desenvolvedores. \u0022Não temos escolha a não ser nos adaptar\u0022, disse Qureshi.