Lo sviluppatore Craig Raw ha rilasciato il 27 agosto 2026 la versione 2.5.4 di Sparrow Wallet, popolare portafoglio Bitcoin desktop orientato alla privacy, spiegando a Decrypt che la maggior parte delle correzioni di sicurezza incluse nell’aggiornamento arriva da una revisione del codice assistita dall’intelligenza artificiale. Raw ha collegato la scelta alla comparsa di modelli AI cinesi senza restrizioni, capaci di analizzare grandi codebase alla ricerca di vulnerabilità, e al precedente allarmante del bug scoperto a luglio nell’hardware wallet Coldcard. Il changelog ufficiale pubblicato su GitHub conferma decine di modifiche tecniche, dalla gestione dei dispositivi hardware alla protezione della privacy in rete Tor.
Sparrow Wallet: Cosa Cambia nella Versione 2.5.4
Sparrow Wallet, lanciato nel 2020, offre funzioni avanzate come il coin control (selezione manuale dei fondi Bitcoin da spendere), il supporto Tor per nascondere l’indirizzo IP degli utenti e la firma air-gapped tramite hardware wallet, cioè senza mai collegare il dispositivo che custodisce le chiavi private a un computer connesso a internet. Secondo il changelog ufficiale su GitHub, la versione 2.5.4 introduce ora la verifica crittografica che i server Electrum — che forniscono i dati blockchain ai wallet — restituiscano davvero le transazioni richieste, oltre al controllo delle prove che una transazione sia stata registrata in un blocco Bitcoin confermato.
L’aggiornamento interviene anche sulla gestione dei log di debug, che ora oscurano automaticamente le credenziali di Bitcoin Core e altri dati sensibili, e chiude alcune fughe di indirizzi DNS locali quando l’utente naviga tramite Tor.
Il Precedente Coldcard: il Bug che ha Acceso l’Allarme
La revisione di Sparrow arriva a un mese esatto da un episodio che ha scosso l’ecosistema della custodia Bitcoin: un bug nel processo di generazione del seed di Coldcard ha permesso di ricostruire chiavi private senza accesso fisico al dispositivo, costringendo il produttore Coinkite a rivedere lo standard di custodia multisig raccomandato agli utenti. Coinkite stessa ha dichiarato di ritenere probabile che un modello di intelligenza artificiale abbia aiutato l’attaccante a individuare la falla originale. “Ovviamente l’incidente Coldcard ha generato molta attività nello spazio Bitcoin, ma è stata soprattutto l’improvvisa disponibilità della capacità di cercare vulnerabilità in codebase di grandi dimensioni a far scattare la revisione,” ha spiegato Raw a Decrypt.
Perché l’AI Trova Quello che gli Sviluppatori Umani si Perdono
Craig Raw non ha rivelato quali modelli di intelligenza artificiale abbia usato per analizzare il codice di Sparrow, ma ha precisato che la maggior parte delle correzioni incluse nella 2.5.4 proviene proprio da quella revisione: “La maggior parte — è stata la parte principale del lavoro in questa release.” Alla domanda se le vulnerabilità individuate mettessero a rischio i fondi degli utenti, Raw è stato netto: “Non è stato trovato nulla che rischiasse concretamente di esporre i fondi.” Ogni segnalazione, ha aggiunto, è stata verificata personalmente da lui e da “molteplici passaggi AI indipendenti”, senza alcuna prova che le falle fossero già state sfruttate da terzi.
| Elemento | Dettaglio | Fonte |
|---|---|---|
| Versione rilasciata | Sparrow Wallet 2.5.4 | GitHub, 27 agosto 2026 |
| Origine correzioni | Revisione codice assistita da AI (“la maggior parte”) | Craig Raw a Decrypt |
| Firmware minimo BitBox02 | 9.4.0 (anti-klepto obbligatoria) | Changelog Sparrow |
| Massimo cosigner multisig legacy P2SH | Ridotto a 15 | Changelog Sparrow |
| Rischio fondi utenti | Nessuna evidenza di sfruttamento | Craig Raw a Decrypt |
Hardware Wallet Più Blindati: BitBox02, Ledger, Trezor e Keycard
Le modifiche più corpose riguardano l’interazione con i dispositivi hardware. Per il BitBox02, Sparrow ora richiede sempre la protezione anti-klepto (che impedisce a un dispositivo compromesso di far trapelare segretamente le chiavi private durante la firma) e alza la versione firmware minima a 9.4.0, avvisando gli utenti di un problema noto nella firma taproot sulle versioni precedenti. Per Ledger, l’app registra nuovamente la policy del wallet e ritenta automaticamente quando il dispositivo rifiuta una registrazione già salvata, mentre per le smart card Keycard vengono ora rifiutate le risposte con lunghezze TLV (il formato dati “tipo-lunghezza-valore” usato dalle smart card) troncate o eccessive, evitando cicli di attesa infiniti in caso di errore. L’accesso USB ai dispositivi è stato inoltre serializzato, così un’enumerazione periodica non può più interrompere un’operazione di firma già in corso.
Sul fronte multisig, Sparrow ora chiede conferma esplicita del quorum e dei co-firmatari importati prima di completare un wallet multisig incompleto, e riconosce i descrittori multisig legacy indipendentemente da maiuscole/minuscole quando avverte di un possibile errore nell’ordine delle chiavi — dettagli tecnici minori singolarmente, ma che nel loro insieme riducono la superficie di errore umano nella fase più delicata della custodia condivisa.
Privacy Rafforzata: Payjoin e Selezione delle UTXO
Diverse correzioni toccano il cuore della proposta di valore di Sparrow, cioè la privacy on-chain. Il wallet ora rimuove i campi relativi a silent payment, prove DNSSEC (l’autenticazione crittografica delle risposte del sistema dei nomi a dominio) e percorso di chiave taproot dalle copie pubbliche delle PSBT (Partially Signed Bitcoin Transaction, il formato standard per transazioni firmate in più passaggi) usate nei payjoin — una tecnica che unisce input di più utenti in un’unica transazione per confondere gli analisti on-chain. La validazione delle proposte di payjoin è stata irrobustita e il wallet disabilita ora il payjoin sulle transazioni con output silent payment, un caso limite che in precedenza poteva creare ambiguità. Sparrow ha inoltre migliorato la randomizzazione nella selezione delle UTXO (le singole “monete” Bitcoin disponibili in un wallet) e nell’ordine di input e output, oltre alla protezione anti-fee-sniping (che scoraggia un attacco basato sulla riorganizzazione della blockchain per sottrarre commissioni), tutte tecniche che rendono più difficile per un osservatore esterno collegare una transazione a un utente specifico.
Un Trend più Ampio: l’Audit Automatizzato Arriva su Tutto l’Ecosistema Bitcoin
Il caso Sparrow non è isolato. Pochi giorni prima, un’iniziativa di “red team” automatizzato (un team che simula attacchi reali per scovare falle prima dei malintenzionati) aveva scansionato 390 repository open source dell’ecosistema Bitcoin trovando 85 falle classificate come critiche, un esercizio nato proprio dopo il bug Coldcard di luglio. Sparrow rappresenta ora un caso diverso e complementare: non una scansione esterna su larga scala, ma un maintainer che applica gli stessi strumenti al proprio progetto prima che lo facciano altri. BitcoinLive24 osserva che questa doppia dinamica — controlli automatizzati dall’esterno e revisioni interne assistite dall’AI — sta diventando lo standard implicito per chi sviluppa software di custodia Bitcoin nel 2026.
Conclusione: Aggiornare Sì, ma Senza Allarmismo
Raw ha raccomandato a tutti gli utenti di installare l’aggiornamento, pur riconoscendo che chi utilizza configurazioni air-gapped (computer mai connessi a internet, dedicati esclusivamente alla firma delle transazioni) potrebbe essere riluttante a modificare un setup già collaudato. Per questi casi, il consiglio è comunque di leggere il changelog completo per decidere con cognizione di causa. Nessuna delle vulnerabilità corrette nella 2.5.4 risulta, allo stato attuale, sfruttata attivamente: si tratta di un rafforzamento preventivo, non della risposta a un incidente in corso — una distinzione che, dopo l’estate turbolenta vissuta da Coldcard, non è affatto scontata per chi segue da vicino la sicurezza dei wallet Bitcoin.
Domande Frequenti
Cos’è successo a Sparrow Wallet?
Sparrow Wallet ha rilasciato il 27 agosto 2026 la versione 2.5.4, che include decine di correzioni di sicurezza individuate in gran parte tramite una revisione del codice assistita da intelligenza artificiale, secondo lo sviluppatore Craig Raw.
I fondi degli utenti Sparrow erano a rischio?
No: Craig Raw ha dichiarato che nessuna delle vulnerabilità trovate rischiava concretamente di esporre i fondi degli utenti, e non ci sono evidenze che siano state sfruttate prima della correzione.
Che collegamento c’è con il bug Coldcard?
Il bug nella generazione del seed di Coldcard, scoperto a luglio 2026, ha spinto Craig Raw ad avviare una revisione AI del codice di Sparrow; Coinkite, produttore di Coldcard, ritiene che un’AI abbia aiutato l’attaccante originale a trovare la falla.
Cosa cambia per chi usa un BitBox02 con Sparrow?
La versione 2.5.4 richiede obbligatoriamente la protezione anti-klepto e una versione firmware minima 9.4.0, avvisando gli utenti di un problema di firma taproot presente nelle versioni firmware precedenti.
Conviene aggiornare subito Sparrow Wallet?
Sì, secondo lo sviluppatore, anche se chi usa configurazioni air-gapped può valutare i tempi con calma leggendo prima il changelog completo, dato che nessuna falla risulta sfruttata attivamente.
Segui ogni sviluppo sulla sicurezza dei wallet Bitcoin in tempo reale con BitcoinLive24: scarica l’app BitcoinLive24 per una notifica push istantanea a ogni notizia.
