Sparrow Wallet 2.5.4 випущено з підвищеною безпекою та конфіденційністю на основі ШІ

Sparrow Wallet випустив версію 2.5.4 у четвер після того, як обзор коду з участю ШІ виявив більшість змін у цьому оновленні, розповів розробник Крейг Роу компанії Decrypt. Це оновлення посилює цілий ряд захистів приватності та безпеки для популярного гаманця bitcoin — прямий відгук на останні занепокоєння галузі щодо інструментів автоматичного виявлення коду та високопрофільного експлойту апаратного гаманця. Чому обзор відбувся саме зараз Роу сказав, що обзор був спричинений з’явленням моделей ШІ без обмежень, які можуть швидко шукати потенційні вразливості у великих кодових базах. Ця здатність, поєднана з інцидентом у липні, пов’язаним із вадою в коді генерації сіда для Coldcard — помилкою, яка дозволяла зловмиснику відновити приватні ключі без фізичного доступу до пристроїв, — спонукала команду Sparrow прискорити глибший аудит. Виробник Coldcard Coinkite запропонував, що ШІ міг допомогти зловмиснику знайти цю вразливість. Роу не назвав моделі ШІ, використані для обгляду Sparrow. Що змінилося в Sparrow 2.5.4 Sparrow (запущений у 2020 році) — це гаманець bitcoin, орієнтований на приватність, з функціями, такими як контроль монет, підтримка Tor, інтеграція з апаратними гаманцями та підписування в автономному режимі. Випуск 2.5.4 містить десятки посилень безпеки та приватності. Згідно з журналом змін Sparrow та коментарями Роу, основні зміни включають: - Покращена робота з Electrum-серверами: тепер Sparrow перевіряє, чи збігаються транзакції, повернуті Electrum-серверами, з наданими запитами, що зменшує ризик отримання неправильних даних від сервера. - Перевірка доказів та блоків: гаманець перевіряє криптографічні докази того, що транзакція була зареєстрована в блоці bitcoin, і перевіряє останній блок перед позначенням транзакції як підтвердженої. - Захисти BitBox02: оновлення вимагає, щоб пристрої BitBox02 працювали на прошивці 9.4.0 або новішій, а також вимушено застосовує захисти проти klepto, які запобігають витоку ключових даних під час підписування, якщо пристрой пошкоджений. - Покращення для апаратних гаманців та PSBT: різні зміни стосуються роботи з Ledger, Trezor і Keycard, мультипідписових гаманців, Payjoin, імпорту гаманця та обробки частково підписаних транзакцій bitcoin (PSBT). - Посилення приватності та операційної безпеки: випуск приховує облікові дані Bitcoin Core та інші секрети з журналів налагодження, обмежує доступ до файлової системи для каталогів гаманця та резервних копій і виправляє локальні витоки DNS при використанні Tor. ШІ виконав більшу частину роботи — але люди перевірили Роу сказав, що «більшість» виправлень була отримана завдяки обзору з участю ШІ, а він особисто перевірив кожну виявлену проблему. Він також запустив «кілька незалежних проходжень ШІ» і не знайшов жодних доказів того, що будь-яка з виявлених проблем була експлуатована у світлому світлі або що користувачі Sparrow були уражені. «Немає нічого, що могло б загрожувати коштам», — сказав він Decrypt, хоча все ще рекомендує користувачам встановити оновлення. Практичні рекомендації для користувачів Роу визнав, що деякі користувачі запускають Sparrow на строго автономних системах і можуть не хотіти оновлюватися. Він закликав усих до того, щоб принаймні прочитати журнал змін, щоб прийняти обґрунтоване рішення. Для тих, хто використовує пристрої BitBox02, переконайтеся, що ваша апаратна прошивка має версію 9.4.0 або вищу, щоб скористатися запровадженими захистами. Больший контекст: ШІ зустрічається з безпекою bitcoin Проактивний обзор Sparrow з участю ШІ є частиною ширшого зусилля в екосистемі bitcoin щодо використання автоматизованих інструментів для пошуку та усунення недоліків до того, як це зроблять зловмисники. Інцидент із Coldcard показав, наскільки потужними можуть бути інструменти пошуку коду для прискорення виявлення вразливостей, і розробники все частіше застосовують цей самий підхід у оборонних целях. Висновок: Sparrow 2.5.4 — це патч, спрямований на безпеку, який був запущений завдяки аудиту з участю ШІ та ручнiй перевiрцi. Користувачам слiд переглянути журнал змiн та оновитися, де це можливо — особливо якщо використовуються апаратнi гаманцi, що пiдлягають впливу.