Sparrow Wallet, die auf Privatsphäre fokussierte Bitcoin-Wallet, hat am Donnerstag Version 2.5.4 veröffentlicht, nachdem eine KI-gestützte Codeüberprüfung den Großteil der Korrekturen dieses Updates hervorgebracht hatte, wie Entwickler Craig Raw gegenüber Decrypt mitteilte.

Raw sagte, die Überprüfung sei vor allem durch die Veröffentlichung uneingeschränkter chinesischer KI-Modelle und die neue Fähigkeit ausgelöst worden, große Codebasen nach potenziellen Exploits zu durchsuchen. Welche Modelle zur Überprüfung von Sparrows Code eingesetzt wurden, nannte er nicht.

Die Überprüfung folgte auf einen Angriff im Juli, bei dem eine Schwachstelle im Seed-Generierungscode von Coldcard ausgenutzt wurde. Diese erlaubte es einem Angreifer, private Schlüssel zu rekonstruieren, ohne jemals physischen Zugriff auf die Geräte zu haben. Der Coldcard-Hersteller Coinkite erklärte, er glaube, dass KI dem Angreifer bei der Suche nach der Schwachstelle geholfen haben könnte. Der Vorfall zeigte, wie dieselben KI-Werkzeuge, die Entwicklern bei Code-Audits helfen, auch die Hürde für Angreifer senken können, die in weit verbreiteter Bitcoin-Software nach Schwachstellen suchen.

„Natürlich hat der Coldcard-Vorfall innerhalb des Bitcoin-Bereichs selbst eine Menge Aktivität ausgelöst, aber wirklich ausschlaggebend war das plötzliche Auftauchen der Fähigkeit, große Codebasen nach potenziellen Exploits zu durchsuchen“, sagte Raw gegenüber Decrypt.

Auf die Frage, welche Korrekturen in dieser Version aus der KI-gestützten Überprüfung stammten, antwortete Raw: „Die meisten davon – sie machte den Großteil der Arbeit in diesem Release aus."

Sparrow Wallet, 2020 gestartet, bietet eine Reihe von Datenschutz- und Sicherheitsfunktionen, darunter Coin Control zur Auswahl der auszugebenden Bitcoin-Beträge, Tor-Unterstützung zur Verschleierung der IP-Adresse der Nutzer sowie Unterstützung für Hardware-Wallets und Air-gapped-Signaturen, um private Schlüssle offline zu halten.

Laut offiziellem Changelog umfasst Version 2.5.4 Dutzende Sicherheitsänderungen, die darauf abzielen, das Vertrauen in externe Dienste zu reduzieren. Die Wallet bestätigt nun, dass Transaktionen, die von Electrum-Servern zurückgegeben werden – diese liefern Bitcoin-Wallets Blockchain-Daten –, tatsächlich die angeforderten sind. Zudem prüft sie kryptografische Nachweise, dass Transaktionen in einem Bitcoin-Block aufgezeichnet wurden, und verifiziert den neuesten Block der Kette, bevor Transaktionen als bestätigt angezeigt werden. Diese Änderungen sind relevant, da viele Bitcoin-Wallets für Blockchain-Daten auf Drittanbieter-Electrum-Server angewiesen sind und ein bösartiger oder kompromittierter Server der Wallet andernfalls falsche Transaktionsinformationen liefern könnte.

Das Update stärkt außerdem die Sicherheit der BitBox02-Hardware-Wallet, indem es Firmware-Version 9.4.0 oder höher sowie Anti-Klepto-Schutz voraussetzt, der verhindern hilft, dass ein kompromittiertes Gerät beim Signieren einer Transaktion heimlich Informationen über private Schlüssel preisgibt.

Weitere Änderungen betreffen den Umgang von Sparrow mit Ledger-, Trezor- und Keycard-Geräten, Multisignatur-Wallets, Payjoin, Wallet-Imports und teilweise signierte Bitcoin-Transaktionen. Darüber hinaus entfernt das Update Bitcoin-Core-Zugangsdaten und andere geheime Daten aus Debug-Logs, beschränkt den Zugriff auf Wallet- und Backup-Verzeichnisse und schließt lokale DNS-Lecks, die bei der Nutzung von Tor auftreten könnten.

Raw betonte, dass die Vielzahl der Änderungen nicht bedeute, dass die Guthaben der Nutzer einer unmittelbaren Bedrohung ausgesetzt waren. „Es wurde nichts gefunden, das die Guthaben gefährden könnte“, sagte er und merkte an, dass er jede einzelne Schwachstelle persönlich geprüft habe.

„Jede gemeldete Schwachstelle wurde von mir sorgfältig überprüft, zusammen mit mehreren unabhängigen KI-Durchläufen“, so Raw.

Er sagte, er habe keine Hinweise darauf gefunden, dass die Schwachstellen ausgenutzt wurden oder Sparrow-Nutzer betroffen waren, und halte eine solche Ausnutzung für unwahrscheinlich. Dennoch empfahl er die Installation des Updates, räumte aber ein, dass Nutzer mit Air-gapped-Systemen zögern könnten, ihre Konfiguration zu ändern.

„Ich möchte immer, dass die Leute aktualisieren, und ich empfehle es – aber natürlich gibt es solche, die Sparrow vielleicht auf Air-gapped-Computern betreiben und keine Änderungen an ihrem Setup vornehmen möchten“, sagte Raw. „In diesen Fällen würde ich empfehlen, dennoch das Changelog zu lesen, um eine fundierte Entscheidung zu treffen."

Sparrows Überprüfung ist Teil einer breiteren KI-Sicherheitsinitiative im gesamten Bitcoin-Ökosystem, bei der Entwickler die Technologie nutzen, um Wallets, Zahlungsprotokolle und Codebibliotheken nach Schwachstellen zu durchsuchen, bevor Angreifer sie finden. Für Nutzer unterstreicht das Release zudem eine praktische Sicherheitsgewohnheit: die Wallet-Software aktuell zu halten und Updates über offizielle Kanäle zu verifizieren, da auch Wallet-Vertriebskanäle im breiteren Krypto-Bereich selbst Ziel von Angriffen waren.

Quelle: Decrypt