Carteira Bitcoin Sparrow lança atualização de segurança após revisão assistida por IA

A Sparrow Wallet, carteira de Bitcoin focada em privacidade, lançou na quinta-feira a versão 2.5.4 do seu software, com a maioria das correções a resultar de uma revisão de código assistida por inteligência artificial. Segundo revelou à Decrypt o programador Craig Raw, criador da carteira, esta análise representou a maior parte do trabalho incluído na atualização. Raw explicou que a revisão foi motivada principalmente pelo aparecimento de modelos de IA chineses sem restrições e pela nova capacidade de analisar grandes volumes de código em busca de potenciais vulnerabilidades, embora não tenha especificado quais os modelos utilizados.

A decisão de conduzir esta auditoria surge na sequência de um ataque ocorrido em julho que explorou uma falha no código de geração de sementes da Coldcard. Essa vulnerabilidade permitiu a um atacante reconstruir chaves privadas sem acesso físico aos dispositivos. A fabricante Coinkite afirmou acreditar que o atacante poderá ter utilizado inteligência artificial para descobrir a falha. Raw confirmou que, embora o incidente com a Coldcard tenha desencadeado grande atividade no espaço Bitcoin, foi realmente a chegada súbita da capacidade de pesquisar grandes bases de código que motivou a revisão.

Lançada em 2020, a Sparrow Wallet oferece diversas ferramentas de privacidade e segurança, incluindo controlo de moedas para escolher quais fundos gastar, suporte Tor para ocultar endereços IP dos utilizadores, e compatibilidade com carteiras físicas e assinatura isolada da internet para manter chaves privadas offline. O registo oficial de alterações lista dezenas de mudanças de segurança destinadas a reduzir a confiança em serviços externos.

A nova versão implementa verificações para confirmar que as transações devolvidas por servidores Electrum, que fornecem dados da blockchain às carteiras Bitcoin, são efetivamente as solicitadas. O software passou também a verificar provas criptográficas de que as transações foram registadas num bloco do Bitcoin e confirma o bloco mais recente da cadeia antes de mostrar transações como confirmadas.

A atualização 2.5.4 reforça ainda a segurança das carteiras físicas BitBox02, exigindo a versão de firmware 9.4.0 ou posterior e proteção anti-klepto, que ajuda a prevenir que um dispositivo comprometido divulgue secretamente informação sobre chaves privadas durante a assinatura de transações. Outras alterações afetam o tratamento de dispositivos Ledger, Trezor e Keycard, carteiras multissinatura, Payjoin, importações de carteiras e transações Bitcoin parcialmente assinadas. A atualização oculta ainda credenciais do Bitcoin Core e outros dados sensíveis dos registos de depuração, restringe o acesso a diretórios de carteiras e cópias de segurança, e fecha fugas de DNS local ao usar Tor.

Craig Raw esclareceu que o elevado número de alterações não significa que os fundos dos utilizadores estivessem sob ameaça imediata. O programador garantiu que nada foi encontrado que pudesse colocar fundos em risco, acrescentando que verificou pessoalmente cada problema identificado. Cada questão levantada foi cuidadosamente revista por si próprio e por múltiplas análises independentes de IA, segundo afirmou.

Raw disse não ter encontrado evidências de que as vulnerabilidades tenham sido exploradas ou que utilizadores da Sparrow tenham sido afetados, considerando tal exploração improvável. Ainda assim, recomendou a instalação da atualização, reconhecendo que utilizadores com configurações isoladas da internet podem estar relutantes em fazer alterações. Para estes casos, encorajou a leitura do registo de alterações para tomarem uma decisão informada. A revisão da Sparrow insere-se num movimento mais amplo no ecossistema Bitcoin, com programadores a usar inteligência artificial para analisar carteiras, protocolos de pagamento e bibliotecas de código em busca de falhas antes que atacantes as descubram.