Sparrow Wallet 2.5.4 publié avec des correctifs de sécurité assistés par l'IA

Sparrow Wallet lance une mise à jour de sécurité après une revue de code assistée par l’IA Le portefeuille Bitcoin axé sur la confidentialité, Sparrow Wallet, a publié la version 2.5.4 jeudi, après qu’une revue de code assistée par l’IA a produit la majorité des correctifs de cette mise à jour, a déclaré le développeur Craig Raw à Decrypt. Raw a expliqué que cette revue a été motivée par deux évolutions récentes : l’émergence de modèles d’IA chinois non restreints et la nouvelle capacité à rechercher dans de grandes bases de code des vulnérabilités potentielles. Il a refusé de nommer les modèles utilisés. Cette revue a également été déclenchée par un incident majeur en juillet, lorsqu’une faille dans le code de génération de seed de Coldcard a permis à des attaquants de reconstituer les clés privées sans accès physique aux appareils — une exploitation que le fabricant de Coldcard, Coinkite, a indiqué avoir pu être découverte avec l’aide de l’IA. « Évidemment, l’incident Coldcard a déclenché une grande activité au sein même de l’écosystème Bitcoin, mais ce fut vraiment l’arrivée soudaine de la capacité à rechercher dans de grandes bases de code des vulnérabilités potentielles », a déclaré Raw à Decrypt. Lorsqu’on lui a demandé quels correctifs provenaient de la revue assistée par l’IA, il a répondu : « La plupart d’entre eux — c’était la majeure partie du travail de cette mise à jour. » Ce qui est inclus dans la version 2.5.4 : - Des dizaines de modifications axées sur la sécurité visent à réduire la confiance envers les services externes et à renforcer les protections locales. - Les interactions avec les serveurs Electrum vérifient désormais que les transactions retournées correspondent aux demandes, valident les preuves cryptographiques que les transactions ont été enregistrées dans un bloc Bitcoin et vérifient le dernier bloc de la chaîne avant d’afficher les transactions comme confirmées. - Le support du portefeuille matériel BitBox02 est renforcé : Sparrow exige désormais le firmware 9.4.0 ou ultérieur du BitBox02 et applique une protection anti-klepto pour réduire le risque qu’un appareil compromis puisse divulguer des informations sur les clés privées lors de la signature. - D’autres ajustements concernent la gestion de Ledger, Trezor et Keycard, les portefeuilles multisignatures, Payjoin, les imports de portefeuilles et les transactions Bitcoin partiellement signées (PSBT). - Les journaux de débogage masquent désormais les identifiants et secrets de Bitcoin Core ; l’accès aux répertoires du portefeuille et des sauvegardes est plus restreint ; et Sparrow ferme les fuites DNS locales lorsqu’il est utilisé via Tor. Contexte et recommandations Lancé en 2020, Sparrow propose des outils de confidentialité et de sécurité tels que le contrôle des pièces, le support Tor et la signature matérielle ou hors ligne pour garder les clés hors ligne. Raw a souligné que le volume de correctifs ne signifie pas un danger immédiat pour les fonds des utilisateurs : « Rien n’a été découvert qui puisse mettre en péril les fonds. » Il a indiqué avoir personnellement examiné chaque problème et effectué « plusieurs passes indépendantes avec l’IA », sans trouver la moindre preuve qu’un de ces problèmes avait été exploité ou avait affecté des utilisateurs de Sparrow — un résultat qu’il juge peu probable. Néanmoins, Raw recommande aux utilisateurs d’installer cette mise à jour. Il reconnaît que certains utilisateurs en configuration hors ligne pourraient hésiter à modifier leur environnement et suggère qu’ils lisent au moins le journal des modifications pour prendre une décision éclairée. Tendance plus large La revue assistée par l’IA réalisée par Sparrow reflète un changement plus large au sein de la communauté des développeurs Bitcoin : les équipes utilisent de plus en plus des outils d’IA pour scanner les portefeuilles, les protocoles de paiement et les bibliothèques de code afin de détecter des failles avant qu’elles ne soient découvertes par des attaquants. Cette démarche souligne à la fois le potentiel et les nouveaux vecteurs de risque introduits par des modèles d’IA plus performants et plus largement accessibles.