Розробник орієнтованого на конфіденційність Bitcoin-гаманця Sparrow Wallet випустив версію 2.5.4 у четвер після перевірки коду за допомогою штучного інтелекту, яка дала більшість виправлень для оновлення, повідомив розробник Крейг Роу виданню Decrypt.

Роу сказав, що перевірка була викликана в першу чергу випуском необмежених китайських моделей ШІ та новою можливістю шукати великі кодові бази на предмет потенційних експлойтів. Він не назвав моделі, які використовувалися для перевірки Sparrow.

Перевірка відбулася після липневої атаки, пов'язаної з недоліком у коді генерації seed-фрази Coldcard. Уразливість дозволяла зловмиснику відновити приватні ключі без доступу до фізичних пристроїв. Виробник Coldcard Coinkite заявив, що вважає, що ШІ міг допомогти зловмиснику знайти цей недолік.

«Очевидно, інцидент з Coldcard викликав значну активність у самому просторі Bitcoin, але це була насправді раптова поява можливості шукати великі кодові бази на предмет потенційних експлойтів», — сказав Роу Decrypt.

На запитання, які виправлення були результатом перевірки Sparrow за допомогою ШІ, Роу відповів: «Більшість з них — це була основна частина роботи в цьому релізі».

Запущений у 2020 році, Sparrow Wallet пропонує кілька інструментів для конфіденційності та безпеки, включаючи контроль монет для вибору того, які кошти Bitcoin витрачати, підтримку Tor для приховування IP-адрес користувачів, а також підтримку апаратного гаманця та підписання в автономному режимі (air-gapped signing) для зберігання приватних ключів офлайн.

Офіційний журнал змін Sparrow містить десятки змін у безпеці, спрямованих на зменшення довіри до зовнішніх сервісів. Гаманець тепер підтверджує, що транзакції, повернені серверами Electrum — які надають дані блокчейну для гаманців Bitcoin — є саме тими, що були запитані. Він також перевіряє криптографічні докази того, що транзакції були записані в блок Bitcoin, і перевіряє останній блок у ланцюгу, перш ніж показувати транзакції як підтверджені.

Версія 2.5.4 також посилює безпеку апаратного гаманця BitBox02. Вона вимагає прошивки версії 9.4.0 або новішої та захисту від клептоманії (anti-klepto protection), що допомагає запобігти прихованому витоку інформації про приватні ключі з скомпрометованого пристрою під час підписання транзакції.

Інші зміни стосуються обробки Sparrow пристроїв Ledger, Trezor і Keycard, мультипідписних гаманців, Payjoin, імпорту гаманців та частково підписаних транзакцій Bitcoin. Оновлення також приховує облікові дані Bitcoin Core та інші секрети з журналів налагодження, обмежує доступ до каталогів гаманця та резервних копій, а також закриває витоки локальних DNS при використанні Tor.

Роу сказав, що кількість змін не означає, що кошти користувачів перебували під безпосередньою загрозою.

«Не було виявлено нічого, що могло б поставити під загрозу кошти», — сказав він, додавши, що особисто перевіряв кожне питання.

«Кожне порушене питання було ретельно розглянуто мною та пройшло кілька незалежних перевірок за допомогою ШІ», — сказав він.

Роу заявив, що не знайшов доказів того, що ці проблеми були використані або що користувачі Sparrow постраждали, і вважав таку експлуатацію малоймовірною. Проте він рекомендував встановити оновлення, визнаючи, що користувачі з автономними налаштуваннями (air-gapped setups) можуть неохоче вносити зміни.

«Я завжди хочу, щоб люди оновлювалися, і я це рекомендую — але, звичайно, є ті, хто, можливо, запускає Sparrow на комп'ютерах без підключення до мережі, і хто неохоче вносить будь-які зміни до своїх налаштувань», — сказав Роу. «У таких випадках я б заохочував прочитати журнал змін у будь-якому випадку, щоб зробити обґрунтований вибір».

Перевірка Sparrow є частиною ширшої ініціативи безпеки ШІ в екосистемі Bitcoin, де розробники використовують цю технологію для сканування гаманців, платіжних протоколів та бібліотек коду на наявність недоліків, перш ніж їх знайдуть зловмисники.