A Sparrow Wallet, desenvolvedora da carteira Bitcoin focada em privacidade, lançou a versão 2.5.4 na quinta-feira após uma revisão de código assistida por IA que produziu a maioria das correções da atualização, disse o desenvolvedor Craig Raw ao Decrypt.

Raw disse que a revisão foi motivada principalmente pelo lançamento de modelos de IA chineses irrestritos e pela nova capacidade de pesquisar grandes bases de código em busca de possíveis exploits. Ele não identificou os modelos usados para revisar o Sparrow.

A revisão seguiu um ataque em julho envolvendo uma falha no código de geração de sementes da Coldcard. A vulnerabilidade permitiu que um invasor reconstruísse chaves privadas sem acessar os dispositivos físicos. A Coinkite, fabricante da Coldcard, disse acreditar que a IA pode ter ajudado o invasor a encontrar a falha.

“Obviamente, o incidente da Coldcard desencadeou uma grande atividade dentro do próprio espaço Bitcoin, mas foi realmente a chegada repentina da capacidade de pesquisar grandes bases de código em busca de possíveis exploits”, disse Raw ao Decrypt.

Questionado sobre quais correções vieram da revisão assistida por IA do Sparrow, Raw disse: “A maioria delas — foi a maior parte do trabalho nesta versão.”

Lançada em 2020, a Sparrow Wallet oferece diversas ferramentas de privacidade e segurança, incluindo controle de moedas para escolher quais fundos Bitcoin gastar, suporte Tor para ajudar a ocultar os endereços IP dos usuários, e suporte para carteiras de hardware e assinatura air-gapped para manter as chaves privadas offline.

O changelog oficial da Sparrow lista dezenas de alterações de segurança destinadas a reduzir a confiança em serviços externos. A carteira agora confirma que as transações retornadas pelos servidores Electrum — que fornecem dados da blockchain para carteiras Bitcoin — são as solicitadas. Ela também verifica provas criptográficas de que as transações foram registradas em um bloco Bitcoin e verifica o bloco mais recente na cadeia antes de exibir as transações como confirmadas.

A versão 2.5.4 também fortalece a segurança da carteira de hardware BitBox02. Ela requer a versão de firmware 9.4.0 ou posterior e proteção anti-klepto, que ajuda a evitar que um dispositivo comprometido vaze secretamente informações de chaves privadas durante a assinatura de uma transação.

Outras alterações afetam o manuseio do Sparrow com dispositivos Ledger, Trezor e Keycard, carteiras multissignatura, Payjoin, importações de carteiras e transações Bitcoin parcialmente assinadas. A atualização também redige credenciais do Bitcoin Core e outros segredos de logs de depuração, restringe o acesso a diretórios de carteira e backup, e fecha vazamentos de DNS locais ao usar Tor.

Raw disse que o número de alterações não significava que os fundos dos usuários tivessem enfrentado uma ameaça imediata.

“Nada foi encontrado que pudesse colocar os fundos em risco”, disse ele, acrescentando que verificou pessoalmente cada problema.

“Cada problema levantado foi cuidadosamente revisado por mim, e por múltiplas passagens independentes de IA”, disse ele.

Raw disse que não encontrou evidências de que os problemas foram explorados ou que os usuários do Sparrow foram afetados, e considerou tal exploração improvável. Ele, no entanto, recomendou a instalação da atualização, reconhecendo que usuários com configurações air-gapped podem estar relutantes em fazer alterações.

“Eu sempre quero que as pessoas atualizem, e recomendo — mas é claro que há aqueles que talvez estejam executando o Sparrow em computadores air-gapped e relutam em fazer quaisquer alterações em sua configuração”, disse Raw. “Nestes casos, eu encorajaria a leitura do changelog, independentemente, para fazer uma escolha informada.”

A revisão do Sparrow faz parte de um esforço mais amplo de segurança de IA em todo o ecossistema Bitcoin, com desenvolvedores usando a tecnologia para escanear carteiras, protocolos de pagamento e bibliotecas de código em busca de falhas antes que os invasores as encontrem.