Coldcard beveiligingsfout kostte AI slechts $2 om te vinden

Een beveiligingslek in de Coldcard wallet bleek voor een AI model zo eenvoudig te reproduceren dat de kosten ervan op slechts $2 worden geschat. Dragonfly Managing Partner Haseeb Qureshi trekt daaruit een bredere conclusie: de veiligheid van crypto producten wordt steeds meer bepaald door hoeveel geld bedrijven steken in AI gestuurde beveiligingstests.

In het kort:

• Haseeb Qureshi introduceert de “Cost of Discovery” als nieuwe maatstaf voor AI beveiligingstests
• De Coldcard kwetsbaarheid werd door een AI model in circa 20 minuten gereproduceerd voor ongeveer $2
• Volgens Qureshi verandert AI de economie achter het opsporen van beveiligingslekken fundamenteel

Nieuwe maatstaf: wat kost het een AI om een lek te vinden?

Qureshi introduceert een nieuwe meetmethode die hij de “Cost of Discovery” noemt. Die meet hoe goedkoop een geavanceerd AI model een bestaande kwetsbaarheid kan nabootsen. Voor de Coldcard fout komt dat neer op ongeveer $2, wat de vraag oproept hoe de sector omgaat met dit soort lage drempels voor het opsporen van lekken.

Eerder circuleerden berichten dat een Claude Code model het lek in slechts acht minuten vond. Qureshi plaatst daar kanttekeningen bij, omdat dat model mogelijk gebruik heeft gemaakt van een webzoekopdracht. Een afzonderlijke test met het offline GLM model reproduceerde het probleem in circa 20 minuten, zonder toegang tot externe informatie.

AI verandert de economie van cryptobeveiliging

Qureshi stelt dat dit incident aantoont dat de spelregels rondom productbeveiliging in de cryptosector aan het verschuiven zijn. Waar beveiligingsaudits voorheen dure en tijdrovende processen waren, kunnen AI modellen kwetsbaarheden nu razendsnel en tegen minimale kosten aan het licht brengen.

Dat betekent ook dat kwaadwillenden met dezelfde technologie aan de slag kunnen. Bedrijven die hardware wallets of andere crypto oplossingen ontwikkelen, zullen daarom moeten investeren in AI gestuurde tests om bij te blijven. Wie dat nalaat, loopt het risico dat een aanvaller een fout goedkoper vindt dan het bedrijf zelf.