AI och Kryptointrång
AI har gett kryptointrångare samma verktyg som försvararna använder, vilket har resulterat i att branschen kostar miljarder, enligt experter. Mitchell Amador, VD för Immunefi, berättade för Decrypt under starten av Token2049-veckan i Singapore att AI har förvandlat sårbarhetsupptäckten till nästan omedelbar utnyttjande.
Utmaningar med Sårbarhetsupptäckter
De avancerade granskningverktyg som hans företag har utvecklat är inte längre exklusiva för de goda aktörerna. ”Om vi har det, kan den nordkoreanska Lazarus-gruppen bygga liknande verktyg? Kan ryska och ukrainska hackergrupper göra det?” frågade Amador. ”Svaret är ja.” Immunefis AI-granskningsagent överträffar den stora majoriteten av traditionella granskningsföretag, men samma kapacitet är nu tillgänglig för välfinansierade hackaroperationer, sa han.
”Granskningar är bra, men de är långt ifrån tillräckliga för att hålla jämna steg med innovationshastigheten och hastigheten på attackerande förbättringar,” tillade han. Med över 3 % av det totala värdet låst i stulna tillgångar över hela ekosystemet 2024, sa Amador att även om säkerhet inte längre är en eftertanke, ”kämpar projekt för att veta hur de ska investera och hur de effektivt ska fördela resurser.”
AI och Social Ingenjörskonst
AI har också gjort sofistikerade sociala ingenjörsattacker extremt billiga, enligt Amador. ”Hur mycket tror du att det telefonsamtalet kostar?” frågade han, med hänvisning till AI-genererade phishing-samtal som kan imitera kollegor med skrämmande noggrannhet. ”Du kan genomföra det för en bråkdel av kostnaden med ett väl genomtänkt system av uppmaningar, och du kan genomföra dessa i massor. Det är den skrämmande delen av AI.”
Nordkoreanska Hacker och Ekonomi
Immunefis VD sa att grupper som Lazarus sannolikt sysselsätter ”åtminstone ett par hundra personer, om inte troligen låga tusentals som arbetar dygnet runt” med kryptointrång som en viktig inkomstkälla för Nordkoreas ekonomi. ”De konkurrenstryck som härrör från Nordkoreas årliga intäktskvoter driver operatörer att skydda individuella tillgångar och ’överträffa kollegor’ snarare än att samordna säkerhetsförbättringar,” fann en nyligen rapport från SentinelLABS.
Snabbare Motåtgärder
”Spelet med AI-drivna attacker är att det ökar hastigheten på hur något kan gå från upptäckten till utnyttjandet,” berättade Amador för Decrypt. ”För att försvara sig mot detta är den enda lösningen ännu snabbare motåtgärder.” Immunefis svar har varit att integrera AI direkt i utvecklarnas GitHub-repositorier och CI/CD-pipelines, vilket fångar sårbarheter innan koden når produktion.
Framtiden för Bug Bounties
Dmytro Matviiv, VD för Web3 bug bounty-plattformen HackenProof, berättade för Decrypt att ”manuella granskningar alltid kommer att ha en plats, men deras roll kommer att förändras.” ”AI-verktyg är alltmer effektiva på att fånga ’låg-hängande frukt’ sårbarheter, vilket minskar behovet av storskaliga manuella granskningar av vanliga misstag,” sa han.
För att försvara sig mot AI-drivna attacker har Immunefi implementerat en whitelist-policy för alla företagsresurser och infrastruktur, vilket Amador sa har ”stoppat tusentals av dessa försök till spear phishing-tekniker mycket effektivt.” Men denna nivå av vaksamhet är inte praktisk för de flesta organisationer, sa han och noterade att ”vi kan göra det på Immunefi eftersom vi är ett företag som lever och andas säkerhet och vaksamhet. Vanliga människor kan inte göra det. De har liv att leva.”
Utmaningar och Framtida Lösningar
Immunefi har underlättat över 100 miljoner dollar i utbetalningar till white-hat-hackare, med stadiga månatliga utbetalningar som varierar från 1 miljon till 5 miljoner dollar. Men Amador berättade för Decrypt att plattformen har ”nått gränserna” eftersom det inte finns ”tillräckligt med ögon” för att ge den nödvändiga täckningen över branschen.
”Utmaningen är att göra utrymmet tillräckligt attraktivt när det gäller incitament och gemenskap för att dessa nya ansikten ska stanna kvar.”
Bug bounties har sannolikt nått sin ”toppen av effektivitet” utanför helt nya innovationer som inte ens existerar i traditionella bug bounty-program, tillade Amador. Företaget utforskar hybrid-AI-lösningar för att ge individuella forskare större makt att granska fler protokoll i stor skala, men dessa är fortfarande i forskning och utveckling.
Sammanfattning
Trots säkerhetsförbättringar inom traditionella områden som granskningar, CI/CD-pipelines och bug bounties, noterade Amador att branschen ”inte gör så bra” när det gäller multi-sig-säkerhet, spear phishing, anti-scam-åtgärder och skydd av gemenskapen. Effektiv säkerhet kräver att sårbarheter fångas så tidigt som möjligt i utvecklingsprocessen, berättade Amador för Decrypt. ”Bug bounty är den näst dyraste, den dyraste är hacken,” sa han och beskrev en hierarki av kostnader som ökar dramatiskt i varje steg.
