Le développeur du portefeuille Bitcoin axé sur la confidentialité, Sparrow Wallet, a publié la version 2.5.4 jeudi après un examen du code assisté par IA qui a permis de corriger la plupart des problèmes de la mise à jour, a déclaré le développeur Craig Raw à Decrypt.

Raw a déclaré que cet examen avait été principalement motivé par la publication de modèles d'IA chinois non restreints et par la nouvelle capacité à rechercher des exploits potentiels dans de grandes bases de code. Il n'a pas précisé les modèles utilisés pour l'examen de Sparrow.

L'examen faisait suite à une attaque en juillet impliquant une faille dans le code de génération de graines de Coldcard. La vulnérabilité permettait à un attaquant de reconstruire des clés privées sans accéder aux appareils physiques. Le fabricant de Coldcard, Coinkite, a déclaré qu'il pensait que l'IA avait peut-être aidé l'attaquant à trouver la faille.

« Évidemment, l'incident Coldcard a déclenché une grande activité au sein de l'espace Bitcoin, mais c'est surtout l'apparition soudaine de la capacité à rechercher de grandes bases de code pour d'éventuels exploits », a déclaré Raw à Decrypt.

Interrogé sur les corrections issues de l'examen assisté par IA de Sparrow, Raw a répondu : « La plupart d'entre elles — c'était la majeure partie du travail de cette version. »

Lancé en 2020, Sparrow Wallet offre plusieurs outils de confidentialité et de sécurité, notamment le contrôle des pièces pour choisir quels fonds Bitcoin dépenser, le support Tor pour aider à masquer les adresses IP des utilisateurs, et le support de portefeuille matériel et de signature 'air-gapped' pour garder les clés privées hors ligne.

Le journal des modifications officiel de Sparrow liste des dizaines de modifications de sécurité visant à réduire la dépendance vis-à-vis des services externes. Le portefeuille confirme désormais que les transactions renvoyées par les serveurs Electrum — qui fournissent des données de blockchain aux portefeuilles Bitcoin — sont bien celles demandées. Il vérifie également les preuves cryptographiques que les transactions ont été enregistrées dans un bloc Bitcoin et vérifie le dernier bloc de la chaîne avant d'afficher les transactions comme confirmées.

La version 2.5.4 renforce également la sécurité du portefeuille matériel BitBox02. Elle nécessite la version 9.4.0 ou ultérieure du firmware et une protection anti-klepto, qui aide à empêcher un appareil compromis de divulguer secrètement des informations de clé privée lors de la signature d'une transaction.

D'autres changements affectent la gestion par Sparrow des appareils Ledger, Trezor et Keycard, des portefeuilles multi-signatures, de Payjoin, des importations de portefeuilles et des transactions Bitcoin partiellement signées. La mise à jour masque également les identifiants Bitcoin Core et autres secrets des journaux de débogage, restreint l'accès aux répertoires du portefeuille et de sauvegarde, et ferme les fuites DNS locales lors de l'utilisation de Tor.

Raw a déclaré que le nombre de changements ne signifiait pas que les fonds des utilisateurs avaient été confrontés à une menace immédiate.

« Rien n'a été trouvé qui risquait de mettre des fonds en danger », a-t-il dit, ajoutant qu'il avait personnellement vérifié chaque problème.

« Chaque problème soulevé a été soigneusement examiné par moi-même, et par plusieurs passages d'IA indépendants », a-t-il déclaré.

Raw a déclaré n'avoir trouvé aucune preuve que les problèmes avaient été exploités ou que les utilisateurs de Sparrow avaient été affectés, et a jugé une telle exploitation improbable. Il a néanmoins recommandé d'installer la mise à jour, tout en reconnaissant que les utilisateurs disposant de configurations 'air-gapped' pourraient être réticents à apporter des modifications.

« Je veux toujours que les gens mettent à jour, et je le recommande — mais bien sûr, il y a ceux qui utilisent Sparrow sur des ordinateurs 'air-gapped' et qui sont réticents à apporter des modifications à leur configuration », a déclaré Raw. « Dans ces cas, j'encouragerais à lire le journal des modifications pour prendre une décision éclairée. »

L'examen de Sparrow s'inscrit dans un effort de sécurité par l'IA plus large au sein de l'écosystème Bitcoin, les développeurs utilisant cette technologie pour scanner les portefeuilles, les protocoles de paiement et les bibliothèques de code à la recherche de failles avant que les attaquants ne les découvrent.