Sparrow Wallet 2.5.4 выпущен с улучшениями безопасности и конфиденциальности на основе ИИ

Sparrow Wallet выпустил версию 2.5.4 в четверг после анализа кода с помощью ИИ, который выявил большинство изменений в релизе, сообщил разработчик Крейг Роу компании Decrypt. Обновление усиливает ряд мер защиты конфиденциальности и безопасности популярного кошелька bitcoin — это прямой ответ на недавние опасения отрасли, связанные с автоматизированными инструментами обнаружения кода и высокопрофильной эксплуатацией аппаратного кошелька. Почему проверка прошла именно сейчас Роу заявил, что проверка была вызвана, в частности, появлением неограниченных моделей ИИ, способных быстро просматривать большие кодовые базы на предмет потенциальных уязвимостей. Эта возможность, в сочетании с инцидентом в июле, связанным с уязвимостью в коде генерации семени Coldcard — ошибкой, позволившей злоумышленнику восстановить закрытые ключи без физического доступа к устройствам, — заставила команду Sparrow ускорить более глубокий аудит. Производитель Coldcard Coinkite предположил, что ИИ мог помочь злоумышленнику обнаружить эту уязвимость. Роу не назвал модели ИИ, использованные для проверки Sparrow. Что изменилось в Sparrow 2.5.4 Sparrow (запущен в 2020 году) — это кошелек bitcoin, ориентированный на конфиденциальность, с функциями, такими как контроль монет, поддержка Tor, интеграция с аппаратными кошельками и автономная подпись. Релиз 2.5.4 содержит десятки улучшений безопасности и конфиденциальности. Согласно журналу изменений Sparrow и комментариям Роу, основные изменения включают: - Улучшенная обработка Electrum-серверов: теперь Sparrow проверяет, соответствуют ли транзакции, возвращаемые Electrum-серверами, сделанным запросам, снижая риск получения кошельком некорректных данных от сервера. - Проверка доказательств и блоков: кошелек проверяет криптографические доказательства того, что транзакция была записана в блок bitcoin, и подтверждает последний блок перед отображением транзакции как подтвержденной. - Защиты для BitBox02: обновление требует, чтобы устройства BitBox02 работали на прошивке 9.4.0 или новее, и включает защиту от klepto-атак, предотвращающую утечку ключевых данных скомпрометированным устройством во время подписи. - Улучшения для аппаратных кошельков и PSBT: различные изменения затрагивают работу с Ledger, Trezor и Keycard, мультиподписными кошельками, Payjoin, импортом кошельков и обработкой частично подписанных транзакций bitcoin (PSBT). - Усиление конфиденциальности и операционной безопасности: релиз скрывает учетные данные Bitcoin Core и другие секреты из отладочных журналов, ограничивает доступ к файловой системе для каталогов кошелька и резервных копий, а также устраняет утечки локального DNS при использовании Tor. ИИ выполнил большую часть работы — но люди проверили Роу заявил, что «большинство» исправлений были получены благодаря анализу с помощью ИИ, а он лично проверил каждую выявленную проблему. Он также провел «несколько независимых проходов ИИ» и не обнаружил никаких доказательств того, что какие-либо из выявленных проблем были эксплуатированы в реальных условиях или что пользователи Sparrow пострадали. «Ничего не было найдено, что могло бы поставить средства под угрозу», — сказал он Decrypt, хотя все равно рекомендует пользователям установить обновление. Практические рекомендации для пользователей Роу признал, что некоторые пользователи запускают Sparrow на строго автономных системах и могут быть не склонны обновляться. Он призвал всех хотя бы прочитать журнал изменений, чтобы принять обоснованное решение. Для пользователей устройств BitBox02 необходимо убедиться, что прошивка их аппаратного устройства составляет 9.4.0 или выше, чтобы воспользоваться предусмотренными защитами. Более широкая картина: ИИ встречает безопасность bitcoin Проактивный аудит Sparrow с использованием ИИ является частью более широкого движения в экосистеме bitcoin по применению автоматизированных инструментов для обнаружения и устранения уязвимостей до того, как это сделают злоумышленники. Инцидент с Coldcard показал, насколько мощные возможности поиска кода могут ускорить обнаружение уязвимостей, и разработчики все чаще применяют те же методы в оборонительных целях. Вывод: Sparrow 2.5.4 — это патч, ориентированный на безопасность, разработанный на основе аудита с помощью ИИ и ручной проверки. Пользователям следует ознакомиться с журналом изменений и установить обновление, где это возможно — особенно если используются затронутые аппаратные кошельки.