Sparrow Wallet 2.5.4がAI支援セキュリティパッチと共にリリース

AI支援のコードレビューを経て、Sparrow Walletがセキュリティ更新版をリリース プライバシーに焦点を当てたBitcoinウォレットであるSparrow Walletは、開発者のCraig Raw氏がDecryptに語ったところによると、AI支援のコードレビューにより主な修正が行われ、木曜日にバージョン2.5.4をリリースした。 Raw氏は、このレビューが二つの最近の進展によって促されたと説明した。一つは制限のない中国製AIモデルの登場、もう一つは大規模なコードベース内の潜在的な脆弱性を検索できる新機能である。使用したモデルの名前については明かさなかった。また、このレビューは7月に起きた高知名度の事件、すなわちColdcardのシード生成コードに存在した脆弱性により攻撃者がデバイスへの物理的アクセスなしに秘密鍵を再構築できるようになった件にも起因している。ColdcardのメイカーであるCoinkiteは、この脆弱性がAIの助けによって発見された可能性があると述べている。 「明らかにColdcardの事件はBitcoin界全体に大きな影響を及ぼしましたが、真に決定的だったのは、大規模なコードベース内の潜在的な脆弱性を検索できる能力が突然登場したことです」とRaw氏はDecryptに語った。AI支援レビューによってどのような修正が行われたかを尋ねられると、彼は「ほとんどすべてです——今回のリリースにおける作業の大部分がこれでした」と回答した。 **2.5.4の主な変更点** - 数十件のセキュリティ強化変更により、外部サービスへの信頼を減らし、ローカル保護を強化することを目的としている。 - Electrumサーバーとのやり取りでは、返されたトランザクションが要求と一致することを確認し、トランザクションがBitcoinブロックに記録されたことを暗号学的証明で検証し、トランザクションが確認されたと表示する前に最新のチェーンヘッドを検証する。 - BitBox02ハードウェアウォレットのサポートが強化された：SparrowはBitBox02のファームウェア9.4.0以降を必須とし、署名中に悪意のあるデバイスが秘密鍵情報を漏洩するリスクを軽減するためのanti-klepto保護を強制する。 - Ledger、Trezor、Keycardの処理、マルチシグウォレット、Payjoin、ウォレットのインポート、および部分的に署名されたBitcoinトランザクション（PSBT）に関するその他の調整が行われた。 - デバッグログではBitcoin Coreの認証情報やシークレットが削除されるようになった。ウォレットおよびバックアップディレクトリへのアクセスがより制限されるようになった。Tor経由で使用する際、SparrowはローカルDNSリークを閉じる。 **背景と推奨事項** 2020年に開始されたSparrowは、コインコントロール、Tor対応、ハードウェアウォレットおよびエアギャップ署名などのプライバシーとセキュリティ機能を提供し、鍵をオフラインで保持する。Raw氏は、修正の量がユーザーの資金に即時の危険を意味するわけではないと強調した。「資金にリスクをもたらす可能性のある問題は見つかりませんでした。」彼は個人的にすべての問題をレビューし、「複数回の独立したAIスキャン」を実行したが、これらの問題が既に悪用されたりSparrowユーザーに影響を与えたりした証拠は一切見つからなかったと述べ、そのような結果は「あり得ない」と評価した。 しかしRaw氏はユーザーに対して更新のインストールを推奨した。エアギャップ環境で運用している一部のユーザーが環境変更をためらう可能性があることを認めつつ、少なくとも変更ログを読んで判断するよう勧めた。 **より広範なトレンド** SparrowのAI支援レビューは、Bitcoin開発者コミュニティ全体で見られる広範な変化を反映している。開発チームは、攻撃者が脆弱性を見つける前にウォレット、支払いプロトコル、コードライブラリをスキャンするためにAIツールを次第に活用し始めている。この動きは、より強力で広く利用可能になったAIモデルがもたらす可能性と新たなリスクベクトルの両方を浮き彫りにしている。