L’équipe de Sparrow Wallet vient de publier la version 2.5.4 de son logiciel, fruit de plusieurs revues de sécurité étendues. Contrairement à la 2.5.0, qui avait notamment introduit les Silent Payments, cette mise à jour n’introduit de nouvelles fonctions, mais vise surtout à consolider le logiciel et à réduire la confiance accordée aux serveurs externes, en particulier Electrum.
Le portefeuille vérifie désormais plus largement les données qu’il reçoit : une transaction récupérée doit correspondre au txid demandé, les confirmations s’appuient davantage sur des preuves Merkle, les en-têtes de blocs sont ancrés sur des checkpoints et la preuve de travail du sommet de chaîne est contrôlée. L’idée est simple : un nœud ou un serveur public compromis a moins de latitude pour faire accepter de fausses informations. Le traitement des portefeuilles matériels est aussi resserré, avec des exigences plus strictes pour BitBox02, de meilleurs contrôles USB côté Ledger et Keycard, et des validations renforcées à l’import, en multisignature, sur les PSBT et dans le flux Payjoin.
La version s’attaque aussi aux fuites et aux erreurs de stockage. Les identifiants Bitcoin Core et certains secrets liés à Trezor disparaissent des journaux de débogage, les répertoires de wallets et de sauvegardes sont limités au propriétaire, et des résolutions DNS locales encore possibles sous Tor sont refermées. Parmi les correctifs, l’un des plus concrets concerne des portefeuilles dont le nom de fichier partage un préfixe : une sauvegarde pouvait être effacée, ou un fichier rechiffré à tort lors d’un changement de mot de passe.
Rien n’indique pour l’instant une faille critique publiquement documentée par un CVE, ni que les portefeuilles créés avec une version antérieure soient automatiquement compromis. Il s’agit d’un renforcement du logiciel plutôt que d’un patch d’urgence. La mise à jour reste toutefois recommandée, surtout pour qui se connecte à un serveur public, utilise Tor ou signe avec un device USB. Comme toujours, le binaire doit être téléchargé depuis le site officiel et sa signature vérifiée avant installation.
Sources
https://github.com/sparrowwallet/sparrow/releases/tag/2.5.4
https://x.com/SparrowWallet/status/2092945249849037121
