Sparrow Wallet выпустил обновление после проверки кода с помощью AI

Что произошло

Sparrow Wallet выпустил версию 2.5.4 с десятками изменений безопасности. Разработчик Craig Raw сообщил Decrypt, что большинство исправлений стало результатом проверки кода с помощью AI.

Raw объяснил, что проверку подтолкнули появление неограниченных китайских AI-моделей и новая возможность искать потенциальные эксплойты в больших кодовых базах. При этом он не уточнил, какие именно модели использовались для анализа Sparrow.

Контекст

Проверка последовала за июльской атакой, связанной с уязвимостью в коде генерации seed-фразы Coldcard. Эта уязвимость позволяла атакующему восстановить приватные ключи без доступа к физическим устройствам.

Производитель Coldcard, компания Coinkite, заявлял, что, по его мнению, AI мог помочь атакующему найти эту уязвимость.

Что изменилось в Sparrow

Официальный список изменений Sparrow включает десятки мер, направленных на снижение доверия к внешним сервисам. Кошелек теперь подтверждает, что транзакции, возвращаемые серверами Electrum, действительно соответствуют запрошенным.

Sparrow также проверяет криптографические доказательства того, что транзакции были записаны в блок Bitcoin, и проверяет последний блок в цепочке перед тем, как показывать транзакции как подтвержденные.

Версия 2.5.4 усиливает безопасность аппаратного кошелька BitBox02: требуется прошивка 9.4.0 или новее, а также защита anti-klepto, которая помогает предотвратить скрытую утечку данных приватного ключа с скомпрометированного устройства при подписании транзакции.

Другие изменения касаются работы Sparrow с устройствами Ledger, Trezor и Keycard, мультиподписными кошельками, Payjoin, импортом кошельков и частично подписанными Bitcoin-транзакциями. Обновление также скрывает учетные данные Bitcoin Core и другие секреты из журналов отладки, ограничивает доступ к каталогам кошельков и резервных копий и закрывает локальные DNS-утечки при использовании Tor.

Почему это важно

Sparrow Wallet ориентирован на приватность и безопасность: среди его инструментов — coin control для выбора расходуемых Bitcoin-средств, поддержка Tor для сокрытия IP-адресов, а также поддержка аппаратных кошельков и подписи в изолированной среде для хранения приватных ключей офлайн.

Несмотря на масштаб обновления, Raw подчеркнул, что количество изменений не означает наличие немедленной угрозы средствам пользователей. Он заявил, что не было найдено ничего, что, вероятно, ставило бы средства под риск, и добавил, что лично проверил каждый вопрос.