El desarrollador de la billetera Bitcoin centrada en la privacidad, Sparrow Wallet, lanzó la versión 2.5.4 el jueves después de una revisión de código asistida por IA que generó la mayoría de las correcciones de la actualización, según dijo el desarrollador Craig Raw a Decrypt.

Raw dijo que la revisión fue motivada principalmente por el lanzamiento de modelos de IA chinos sin restricciones y la nueva capacidad de buscar en grandes bases de código posibles vulnerabilidades. No identificó los modelos utilizados para revisar Sparrow.

La revisión siguió a un ataque en julio que involucró un fallo en el código de generación de semillas de Coldcard. La vulnerabilidad permitió a un atacante reconstruir claves privadas sin acceder a los dispositivos físicos. El fabricante de Coldcard, Coinkite, dijo que creía que la IA podría haber ayudado al atacante a encontrar la falla.

“Obviamente, el incidente de Coldcard desencadenó una gran actividad dentro del propio espacio Bitcoin, pero fue realmente la llegada repentina de la capacidad de buscar en grandes bases de código posibles vulnerabilidades”, dijo Raw a Decrypt.

Cuando se le preguntó qué correcciones provenían de la revisión asistida por IA de Sparrow, Raw dijo: “La mayoría de ellas, fue la mayor parte del trabajo en esta versión”.

Lanzada en 2020, Sparrow Wallet ofrece varias herramientas de privacidad y seguridad, incluido el control de monedas para elegir qué fondos de Bitcoin gastar, soporte Tor para ayudar a ocultar las direcciones IP de los usuarios, y soporte para billeteras de hardware y firmas en air-gapped para mantener las claves privadas fuera de línea.

El registro de cambios oficial de Sparrow enumera docenas de cambios de seguridad destinados a reducir la confianza en servicios externos. La billetera ahora confirma que las transacciones devueltas por los servidores Electrum —que proporcionan datos de blockchain a las billeteras Bitcoin— son las solicitadas. También verifica pruebas criptográficas de que las transacciones se registraron en un bloque de Bitcoin y verifica el último bloque de la cadena antes de mostrar las transacciones como confirmadas.

La versión 2.5.4 también fortalece la seguridad de la billetera de hardware BitBox02. Requiere la versión de firmware 9.4.0 o posterior y protección anti-klepto, que ayuda a evitar que un dispositivo comprometido filtre secretamente información de claves privadas mientras firma una transacción.

Otros cambios afectan el manejo de Sparrow de los dispositivos Ledger, Trezor y Keycard, las billeteras multifirma, Payjoin, las importaciones de billeteras y las transacciones de Bitcoin parcialmente firmadas. La actualización también redacta las credenciales de Bitcoin Core y otros secretos de los registros de depuración, restringe el acceso a los directorios de billetera y respaldo, y cierra las fugas locales de DNS al usar Tor.

Raw dijo que el número de cambios no significaba que los fondos de los usuarios hubieran enfrentado una amenaza inmediata.

“No se encontró nada que pudiera poner en riesgo los fondos”, dijo, añadiendo que él mismo revisó cada problema.

“Cada problema planteado fue revisado cuidadosamente por mí mismo y por múltiples pasadas de IA independientes”, dijo.

Raw dijo que no había encontrado evidencia de que los problemas fueran explotados o que los usuarios de Sparrow se vieran afectados, y consideró improbable tal explotación. Sin embargo, recomendó instalar la actualización, aunque reconoció que los usuarios con configuraciones air-gapped podrían ser reacios a realizar cambios.

“Siempre quiero que la gente actualice, y lo recomiendo, pero por supuesto, hay quienes quizás usan Sparrow en computadoras air-gapped y son reacios a hacer cualquier cambio en su configuración”, dijo Raw. “En estos casos, animaría a leer el registro de cambios de todos modos para tomar una decisión informada.”

La revisión de Sparrow es parte de un impulso de seguridad de IA más amplio en todo el ecosistema de Bitcoin, con desarrolladores que utilizan la tecnología para escanear billeteras, protocolos de pago y bibliotecas de código en busca de fallas antes de que los atacantes las encuentren.