Ledger CTO: Coldcard-Schwachstelle offenbart Grenzen der Open-Source-Verifikation
Ein fünf Jahre alter Fehler im öffentlichen Code von Coldcard blieb bis zu gezielten Angriffen unentdeckt, was die Annahme „Open Source bedeutet überprüft“ untergräbt, so Ledger CTO Charles Guillemet. Er verweist auf die hardwarebasierte Entropie von Ledger als sicherere Alternative.
Ledgers Chief Technology Officer Charles Guillemet hob eine lange verborgene Schwachstelle in der Coldcard-Hardware-Wallet als mahnendes Beispiel hervor. Die Sicherheitslücke befand sich über fünf Jahre lang im öffentlichen GitHub-Repository von Coldcard, erregte aber erst Aufmerksamkeit, als Angreifer begannen, sie auszunutzen. Laut Guillemet stellt dies die verbreitete Annahme infrage, dass Open-Source-Code von Natur aus sicher sei, weil er von jedermann eingesehen werden könne.
Er stellte dem das Design von Ledger gegenüber: Das Secure Element des Geräts erzeugt 256 Bit Entropie direkt in der Hardware, ohne auf einen Software-Fallback-Pfad angewiesen zu sein, wie er das Coldcard-Problem verursachte. Dieser Ansatz, so argumentierte Guillemet, verhindert, dass ähnliche, lange ruhende Fehler in der Codebasis verbleiben.
Das Unternehmen äußerte sich auch zur wachsenden Rolle künstlicher Intelligenz in der Sicherheit. KI-Tools können die Entdeckung von Schwachstellen sowohl für Hacker als auch für Verteidiger beschleunigen. Allerdings stellte Ledger fest, dass es derzeit keine direkten Beweise dafür gibt, dass die Coldcard-Angreifer KI-Techniken eingesetzt haben.
Source: ForkLog