Sparrow Wallet lança atualização com dezenas de correções de segurança

A Sparrow Wallet, carteira de Bitcoin voltada para autocustódia e privacidade, lançou a versão 2.5.4 no fim de agosto. O changelog oficial registra uma lista extensa de correções, com um objetivo comum. O pacote reduz a confiança da carteira em serviços de terceiros que fornecem dados da rede, seja na verificação de transações, seja na forma como o programa trata carteiras de hardware e conexão por Tor.

Revisão assistida por IA

O que mais chama atenção é a origem de parte do trabalho.

A maior parte das correções desta versão, segundo o desenvolvedor Craig Raw, veio de um processo em que a leitura do código contou com apoio de inteligência artificial. A iniciativa nasceu da disponibilidade de modelos abertos de IA e da possibilidade, agora, de percorrer imensos repositórios de código procurando por fraquezas que um atacante pudesse usar. O desenvolvedor não identificou o modelo exato usado.

Raw afirmou que revisou pessoalmente cada questão apontada, com múltiplas passagens de IA. Ele disse que não encontrou nada que parecesse colocar os fundos em risco, nem sinais de exploração dos pontos levantados. Ainda assim, recomendou instalar a atualização.

As correções de segurança

O reforço mais importante está na camada de dados entregues à carteira.

A Sparrow passou a confirmar que as transações retornadas por servidores Electrum são exatamente as solicitadas. Além disso, ela checa as provas criptográficas que atestam a inclusão de uma transação em um bloco do Bitcoin e se assegura de que a cabeça da cadeia está atualizada antes de dar uma transação como confirmada. O motivo é direto. Uma carteira de autocustódia depende de dados externos para mostrar saldo e histórico, e um servidor que entregue informação adulterada pode fazer o usuário assinar com base em dados errados.

Outro bloco de mudanças envolve a BitBox02.

A versão passa a exigir obrigatoriamente a proteção anti-klepto e sobe o requisito mínimo de firmware para 9.4.0. A proteção impede que um dispositivo comprometido vaze parte da chave privada durante a assinatura de uma transação, e a versão ainda chama a atenção para uma falha de assinatura Taproot em firmwares antigos. Também houve ajustes nas carteiras Ledger, Trezor e Keycard, em carteiras multisig e nos pagamentos Payjoin.

A atualização melhora a validação de importações de descritores e de carteiras BIP129. Credenciais do Bitcoin Core e mensagens que contêm segredos passaram a ser redigidas dos logs de depuração, e os diretórios passaram a exigir permissões exclusivas do dono.

Há também uma correção voltada à privacidade de quem usa Tor.

A Sparrow fechou os pontos remanescentes de resolução de DNS local. Isso evita que o sistema identifique os domínios acessados quando a carteira se conecta pela rede de anonimato, um furo que quebrava a privacidade prometida pela conexão.

Para quem usa payjoin, a atualização melhora a validação das propostas e limpa campos de pagamentos silenciosos das cópias públicas de transações parcialmente assinadas.

O que muda para o usuário

A leitura que cabe ao usuário é prática. As correções, isoladas, dificilmente colocariam fundos em risco. Em conjunto, elas reduzem a superfície de ataque da carteira em cenários de servidor malicioso ou de dispositivo comprometido.

Há um limite claro nessa atualização. Nenhuma correção em software elimina a necessidade de o usuário verificar os arquivos baixados e manter boas práticas de autocustódia.

Sobre o uso de IA na revisão, cabe uma nota de contexto. A medida reflete uma tendência do ecossistema, em que ferramentas de IA passam a ser usadas tanto para encontrar falhas quanto para escrever código. O que dá seriedade ao processo é como o desenvolvedor trata os apontamentos, e aqui Raw afirmou ter conferido cada item manualmente, o que reduz o risco de uma correção mal avaliada.

Os dados oficiais confirmam que a versão chegou com uma quantidade incomum de correções em um único lançamento. O changelog cobre desde a camada de dados da rede até a integração com carteiras de hardware, passando pela privacidade da conexão.

A recomendação final é direta. Usuários da Sparrow devem atualizar para a versão 2.5.4 pela página oficial da carteira, que disponibiliza os arquivos assinados com a chave PGP do desenvolvedor. A atualização está em contraste com a prática recomendada para quem roda a carteira em uma máquina sem conexão com a internet, que costuma ser mais cauteloso ao alterar o software. O Bitcoin, no momento da revisão, era negociado por volta de US$ 80 mil, segundo dados de mercado.