Emin Gün Sirer, fondatore di Avalanche, ha avvertito che l’intelligenza artificiale potrebbe individuare vulnerabilità software finora sconosciute nel codice di XRP Ledger, prima ancora che eventuali scoperte matematiche riescano a compromettere gli algoritmi crittografici su cui si basano le transazioni crypto. Sirer non ha indicato alcuna vulnerabilità specifica né fornito prove di un attacco reale condotto con IA contro la rete.
Cosa ha detto Sirer e perché sposta l’attenzione
In un post su X ripreso da U.Today, Sirer ha scritto che «vedremo l’IA sfruttare bug a livello di sistema molto prima che l’ECDSA venga meno», riferendosi all’Elliptic Curve Digital Signature Algorithm, il metodo oggi più diffuso per firmare le transazioni in criptovalute. Secondo il fondatore di Avalanche, il settore si concentra troppo sul rischio di un collasso della crittografia esistente, mentre dovrebbe preoccuparsi di più della capacità dei modelli IA più avanzati di scovare bug già presenti nel software, nelle librerie e nei wallet, ma non ancora individuati da revisori umani.
Sirer ha citato esplicitamente il codice di Ripple come esempio: «Se credete che il codice sotto scrutinio di Ripple, o qualsiasi altra chain di alto valore e basso utilizzo, non abbia bug zero-day difficili da vedere per gli umani ma facili da individuare per l’IA, siete persone illuse», ha scritto. Un bug zero-day è una vulnerabilità sconosciuta agli sviluppatori che un attaccante potrebbe sfruttare prima che venga corretta.
Il contesto tecnico: l’aggiornamento di emergenza di XRPL
La dichiarazione arriva mentre la sicurezza di XRP Ledger è già sotto osservazione per motivi distinti. Il 25 settembre gli sviluppatori del protocollo hanno rilasciato in via d’urgenza la versione xrpld 3.4.1, descritta come aggiornamento per questioni “security-sensitive” legate alla funzionalità Batch, un tipo di transazione che permette di raggruppare più operazioni sul ledger in modo che vadano a buon fine o falliscano insieme. L’amendment fixBatchV1_2, legata a questo aggiornamento, dovrebbe attivarsi il 9 ottobre dopo aver raggiunto il supporto di supermaggioranza dei validator.
Gli sviluppatori hanno inizialmente scelto di non pubblicare il codice sorgente della correzione, promettendo di farlo insieme a un’analisi tecnica retrospettiva. Secondo quanto riportato da Crypto Economy e CryptoTimes, l’anomalia individuata non ha causato impatti sulla mainnet né perdite di fondi tra gli utenti, e l’organizzazione ha semplicemente richiesto agli operatori dei nodi di aggiornare rapidamente il proprio software per evitare problemi di sincronizzazione con la rete.
Nessuna fonte consultata collega direttamente questo aggiornamento alle preoccupazioni espresse da Sirer: i materiali ufficiali del rilascio non menzionano l’intelligenza artificiale né fanno riferimento a un attacco IA alla rete.
Un dibattito più ampio nel settore
L’intervento di Sirer si inserisce in una discussione già avviata da altre figure di primo piano. Il co-fondatore di Ethereum Vitalik Buterin aveva recentemente avvertito che la scoperta matematica assistita da IA potrebbe attaccare entro due anni le ipotesi alla base della crittografia basata su reticoli. Il fondatore di Cardano Charles Hoskinson ha replicato definendo quelle preoccupazioni speculative e prive di fondamento matematico solido. Il ricercatore di Ethereum Justin Drake ha invece espresso timori specifici sulla possibilità che l’IA attacchi in futuro l’ECDSA.
Sirer stesso ammette che il rischio sulla crittografia non può essere escluso del tutto, ma ritiene che la comunità crypto dovrebbe concentrarsi sulle vulnerabilità software già esistenti, più concrete e immediate, piuttosto che fissarsi esclusivamente su un’eventuale svolta nella crittografia.
Il punto da monitorare, in questo caso, riguarda proprio la distinzione tra sicurezza crittografica, che riguarda la matematica alla base delle firme digitali, e sicurezza del software, che riguarda invece gli errori di implementazione nel codice che gestisce una blockchain: anche se la crittografia resta solida, un errore di programmazione può comunque creare un rischio concreto per gli utenti.
