Sparrow Wallet、AI支援コードレビューを経てBitcoinプライバシー更新版を公開
重要ポイント
- •Sparrow Walletのバージョン2.5.4は、AI支援コードレビューを経てリリースされ、開発者のCraig Raw氏によると、このレビューが更新の修正の大半を生み出した。
- •レビューの動機は、大規模コードベースを検索できる新たなAI能力と、7月にColdcardのシード生成コードの欠陥を突いた攻撃だった。
- •この更新は、Electrumサーバーから返されたトランザクションの検証、暗号学的包含証明の確認、確認済み表示前の最新ブロックの検証を行う。
- •このリリースは、ファームウェアバージョン9.4.0以降とアンチクレプト保護を必須とすることでBitBox02サポートを強化し、Tor使用時に発生しうるローカルDNSリークを解消する。
- •Raw氏は、資金を危険にさらす問題は見つからず、悪用の証拠もなく、すべての問題を複数の独立したAIパスとともに手動でレビューしたと述べた。
プライバシー重視のBitcoinウォレット「Sparrow Wallet」は、AI支援によるコードレビューを経て、木曜日にバージョン2.5.4をリリースしました。開発者のCraig Raw氏はDecryptに対し、このレビューが今回の更新の修正の大半を生み出したと語りました。
Raw氏によると、レビューの実施は主に、制限のない中国製AIモデルの登場と、大規模なコードベースから悪用可能な脆弱性を検索できるようになった新たな能力がきっかけでした。Sparrowのコードレビューにどのモデルが使用されたかは明らかにしていません。
今回のレビューは、7月にColdcardのシード生成コードの欠陥を突いた攻撃の後に行われたものです。この脆弱性により、攻撃者は物理デバイスにアクセスすることなく秘密鍵を再構成できました。Coldcardの製造元であるCoinkiteは、AIが攻撃者の脆弱性発見を助けた可能性があるとの見解を示していました。この事件は、開発者のコード監査を支援するのと同じAIツールが、広く使われているBitcoinソフトウェアの脆弱性を探す攻撃者の障壁をも下げうることを示しています。
「当然、Coldcardの事件はBitcoin界隈で多くの活動を引き起こしましたが、本当のきっかけは、大規模なコードベースから悪用可能性を検索できる能力が突然登場したことでした」とRaw氏はDecryptに語りました。
今回のリリースのうちどの修正がAI支援レビューによるものかを問われると、Raw氏は「そのほとんどです。このリリースの作業の大半を占めていました」と答えました。
2020年に登場したSparrow Walletは、使用するBitcoin資金を選択するコインコントロール、ユーザーのIPアドレスの隠蔽に役立つTorサポート、秘密鍵をオフラインに保つハードウェアウォレットおよびエアギャップ署名のサポートなど、さまざまなプライバシー・セキュリティツールを提供しています。
公式の変更履歴によると、バージョン2.5.4には、外部サービスへの信頼を減らすことを目的とした数十件のセキュリティ変更が含まれています。ウォレットは、Bitcoinウォレットにブロックチェーンデータを提供するElectrumサーバーから返されたトランザクションが、実際に要求されたものであることを確認するようになりました。また、トランザクションがBitcoinブロックに記録されたことを示す暗号証明を検証し、トランザクションを確認済みとして表示する前にチェーンの最新ブロックを検証します。これらの変更が重要なのは、多くのBitcoinウォレットがブロックチェーンデータをサードパーティのElectrumサーバーに依存しており、悪意のある、または侵害されたサーバーが偽のトランザクション情報をウォレットに送る可能性があるためです。
この更新は、BitBox02ハードウェアウォレットのセキュリティも強化しています。ファームウェアバージョン9.4.0以降と、署名時に侵害されたデバイスが秘密鍵情報を密かに漏洩するのを防ぐのに役立つアンチクレプト保護を必須としています。
その他の変更は、Ledger、Trezor、Keycardデバイスの取り扱い、マルチシグネチャウォレット、Payjoin、ウォレットのインポート、部分署名済みBitcoinトランザクションに影響します。さらに、デバッグログからBitcoin Coreの資格情報などの機密情報を削除（マスキング）し、ウォレットおよびバックアップディレクトリへのアクセスを制限し、Tor使用時に発生しうるローカルDNSリークを解消します。
Raw氏は、変更の数が多いことはユーザーの資金が差し迫った脅威に直面していたことを意味しないと強調しました。「資金を危険にさらす可能性のあるものは何も見つかりませんでした」と述べ、各問題を自ら確認したと付け加えました。
「提起されたすべての問題は、私自身と複数の独立したAIパスによって慎重にレビューされました」とRaw氏は言います。
同氏は、これらの問題が悪用された、またはSparrowユーザーが影響を受けた証拠は見つかっておらず、そのような悪用は起こりにくいと考えています。それでもなお更新のインストールを推奨しており、エアギャップ環境のユーザーは設定の変更をためらうかもしれないと認めています。
「私は常にユーザーに更新してほしいと思っており、それを推奨します。もちろん、エアギャップのコンピュータでSparrowを実行していて、設定に一切変更を加えたくない人もいます。そのような場合は、それでも変更履歴を読んで、十分な情報に基づいて選択してほしいと思います」とRaw氏は語りました。
Sparrowの今回のレビューは、Bitcoinエコシステム全体で広がるAIセキュリティ強化の取り組みの一部です。開発者たちは、攻撃者に先んじて脆弱性を見つけるために、この技術をウォレット、決済プロトコル、コードライブラリのスキャンに活用しています。ユーザーにとって今回のリリースは、実用的なセキュリティ習慣も浮き彫りにしています。ウォレットの配布チャネル自体がより広い暗号資産分野で攻撃対象となってきたため、更新を公式チャネル経由で検証しながらウォレットソフトウェアを最新に保つことの重要性です。
出典：Decrypt
