Em pouco mais de um dia, um grupo pouco organizado de desenvolvedores voluntários e seus assistentes de IA fez algo que nenhuma empresa de Bitcoin ou equipe de desenvolvedores isolada conseguiu fazer sozinha: eles vasculharam centenas de projetos de Bitcoin de código aberto e sinalizaram quase 5.000 potenciais problemas de segurança. O esforço, conduzido sob o nome Bitcoin Red Team, se transformou em uma das campanhas de auditoria de segurança de Bitcoin mais abrangentes que o ecossistema já viu, e está forçando uma conversa desconfortável sobre o quão expostos realmente estão as ferramentas que as pessoas usam para guardar e movimentar bitcoin.
Summary
Principais pontos
- A Bitcoin Red Team registrou 4.962 achados de segurança em 390 projetos de Bitcoin em aproximadamente 30 horas, uma janela que alguns relatos colocam em 27,5 horas.
- Desses achados, 85 foram classificados como críticos e 635 de alta gravidade, juntos representando 14,5% do total.
- A equipe é composta por 16 pessoas distribuídas globalmente mais três agentes automatizados, com 91% dos achados surgindo por meio de varreduras automatizadas.
- Ferramentas de privacidade e coinjoin tiveram a maior parcela de problemas sérios, com 24%, enquanto bibliotecas criptográficas produziram o maior número bruto de achados (1.101), mas com uma taxa menor de 10% de alta gravidade.
- Apenas 19 projetos tiveram seus achados reportados upstream para os mantenedores até agora.
Por dentro da ampla auditoria de segurança da Bitcoin Red Team
Este é um sprint conduzido por voluntários que direcionou modelos de IA para centenas de bases de código de Bitcoin ao mesmo tempo, algo que a revisão manual de código jamais conseguiria replicar nesse ritmo. O protocolo de ecash de Bitcoin Cashu foi desenvolvido pelo criador pseudônimo calle, que divulgou a atualização inicial de status da campanha, descrevendo-a como uma “auditoria de segurança de ecossistema em larga escala” em bases de código de Bitcoin.
Escopo e escala em menos de 30 horas
Os números brutos são difíceis de ignorar. A equipe registrou 4.962 achados em 390 projetos em aproximadamente 30 horas, de acordo com a própria atualização de calle, embora a CoinDesk e a Crypto Briefing tenham fixado a janela de trabalho em 27,5 horas. Esse ritmo equivale a algo entre 166 e 180 achados registrados por hora, dependendo de qual contagem você usa. A Crypto Briefing informou que o sprint foi financiado com quase US$ 40.000 em recursos da OpenSats, uma organização sem fins lucrativos que apoia o desenvolvimento de Bitcoin de código aberto, enquanto a CoinDesk citou custos de computação próximos de US$ 10.000 por dia para manter os modelos de IA em funcionamento 24 horas por dia.
Quem está por trás da auditoria — e como eles trabalham
Calle disse que a equipe cresceu para 16 pessoas distribuídas globalmente trabalhando em turnos, embora o próprio relatório de situação registre 17 colaboradores, 14 deles humanos e três automatizados. A entrada automatizada respondeu por 91% de todos os achados, mas calle fez questão de observar que os humanos ainda estão muito “guiando a IA pela mão” nos bastidores. Em vez de padronizar um único método de revisão, o grupo permitiu que cada colaborador orientasse seus próprios agentes da forma que preferisse. Isso, argumentou calle, “tem se mostrado a estratégia mais eficaz”, já que pessoas diferentes e prompts diferentes tendem a revelar bugs diferentes. Cerca de 21% dos achados já foram dinamicamente reproduzidos com código de prova de conceito funcional, dando mais peso às alegações em vez de deixá-las apenas como sinalizações teóricas.
Divisão por gravidade: onde está o risco real
Nem todo problema sinalizado é um incêndio de cinco alarmes, e a própria divisão por gravidade da auditoria deixa essa distinção clara. Dos quase 5.000 achados, uma fatia relativamente pequena se qualifica como genuinamente perigosa, enquanto a maior parte se encontra em território de prioridade mais baixa.
Achados críticos e de alta gravidade em números
Do total de achados, 85 foram classificados como críticos e 635 como de alta gravidade, juntos respondendo por 14,5% de todo o corpus, ou uma média de aproximadamente 1,85 problemas sérios por projeto revisado. A CoinDesk descreveu o ritmo de forma direta, observando que o grupo está em média perto de um bug crítico descoberto por pessoa por hora. Oito achados já foram descartados como falsos positivos, um lembrete de que nem toda sinalização automatizada resiste ao escrutínio.
Quais categorias de projetos de Bitcoin estão mais expostas
A gravidade não foi distribuída de forma uniforme pelo ecossistema. Ferramentas de privacidade e coinjoin retornaram a maior proporção de achados de alta ou crítica gravidade, com 24%, à frente de corretoras e swaps, que representaram 21% da atividade, enquanto soluções para comerciantes e infraestrutura de pagamentos responderam por 17%. SDKs e bibliotecas criptográficas contaram uma história diferente: geraram o maior volume bruto de achados, com 1.101, mas apenas 10% deles ultrapassaram o patamar de alta gravidade. Em outras palavras, softwares focados em privacidade podem ter menos bugs no total, mas uma parcela desproporcional do que é encontrado ali tende a ser mais relevante.
Divulgação sob pressão: a ética de se mover rápido
A divulgação rápida tem o objetivo de proteger os usuários, mas também está sobrecarregando os próprios mantenedores responsáveis por corrigir os bugs. Até agora, apenas 19 projetos, menos de 5% de tudo o que foi revisado, tiveram seus achados reportados upstream. Essa lacuna entre achados registrados e achados divulgados é onde se encontra a maior tensão da campanha.
Calle reconheceu diretamente o desgaste. “Lamentamos sinceramente se nossos relatórios adicionaram estresse ao seu dia já estressante”, escreveu ele, ao mesmo tempo em que defendeu o ritmo de divulgação. Seu raciocínio: os responsáveis pelos projetos estão na melhor posição para validar seus próprios achados, a IA tornou essa validação praticamente gratuita, e qualquer outra pessoa executando ferramentas semelhantes acabaria tropeçando nos mesmos bugs de qualquer maneira. A Crypto Briefing informou que o grupo já havia executado varreduras em cerca de 150 repositórios antes deste sprint, resultando em mais de uma dúzia de divulgações privadas, com problemas críticos reproduzidos localmente antes de os mantenedores serem contatados, uma abordagem de divulgação responsável que a equipe diz estar mantendo mesmo com a escala do esforço de agosto em escalada.
Por que o momento não é coincidência: o pano de fundo da Coldcard
Essa auditoria não aconteceu no vácuo. Ela ocorre logo após as suposições de segurança do Bitcoin sofrerem um golpe real. A carteira de hardware Coldcard da Coinkite, há muito considerada um dos dispositivos de armazenamento frio mais confiáveis na cultura de autocustódia do Bitcoin, custou aos usuários uma perda estimada de US$ 130 milhões após uma versão de firmware de março de 2021 que expôs seeds de carteiras por meio de um mecanismo de backup de software em vez do gerador de números aleatórios de hardware do dispositivo. Essa falha deixou chaves privadas passíveis de serem adivinhadas em vez de criptograficamente seguras. Em seu relatório pós-incidente, a Coinkite observou que era provável que “alguém tenha usado IA para revisar versões anteriores do nosso firmware”, um detalhe que ressalta o quão rapidamente a revisão assistida por IA passou de curiosidade de nicho a uma ferramenta capaz tanto de encontrar quanto, aparentemente, explorar fragilidades na infraestrutura do Bitcoin.
Esse pano de fundo explica por que o sprint da Bitcoin Red Team carrega mais peso do que um programa de recompensas por bugs de rotina. O ethos de código aberto que construiu as ferramentas em torno do Bitcoin sempre significou que a maioria dos projetos, a menos que sejam de alto perfil ou bem financiados, raramente recebe uma revisão de segurança significativa. Vulnerabilidades surgindo em centenas de bases de código não significa que fundos foram roubados ou que o protocolo central do Bitcoin foi comprometido; a auditoria teve como alvo as carteiras, bibliotecas e aplicativos que as pessoas usam para interagir com o Bitcoin, não a rede em si. Mas os custos de remediação agora recaem sobre mantenedores individuais, muitos dos quais são voluntários ou pequenas equipes já sobrecarregadas. A Red Team sinalizou que planeja abrir o código das ferramentas por trás do sprint, um movimento que pode remodelar a forma como a indústria cripto mais ampla aborda a revisão de segurança daqui para frente, desde que os mantenedores consigam acompanhar o que as máquinas continuam encontrando.
Perguntas frequentes
Qual foi o escopo da auditoria de segurança da Bitcoin Red Team?
A auditoria abrangeu 390 projetos de Bitcoin e registrou 4.962 achados de segurança em aproximadamente 30 horas usando varredura assistida por IA, com alguns relatos fixando a janela exata em 27,5 horas.
Quão graves eram as vulnerabilidades encontradas pela Bitcoin Red Team?
Houve 85 problemas críticos e 635 de alta gravidade, representando 14,5% do total de achados.
Que tipo de projetos tiveram as vulnerabilidades mais sérias?
Projetos de privacidade e coinjoin tiveram a maior parcela de achados sérios, com 24%, à frente de swaps, corretoras e ferramentas de pagamento.
Por que a auditoria está adicionando estresse aos mantenedores de projetos?
Como os achados são divulgados rapidamente para permitir validação ágil, o ritmo aumentou a carga de trabalho dos mantenedores em um momento já difícil, algo que o líder da campanha, calle, reconheceu publicamente e pelo qual pediu desculpas.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual foi o escopo da auditoria de segurança da Bitcoin Red Team?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A auditoria abrangeu 390 projetos de Bitcoin e registrou 4.962 achados de segurança em aproximadamente 30 horas usando varredura assistida por IA, com alguns relatos fixando a janela exata em 27,5 horas.”}},{“@type”:”Question”,”name”:”Quão graves eram as vulnerabilidades encontradas pela Bitcoin Red Team?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Houve 85 problemas críticos e 635 de alta gravidade, representando 14,5% do total de achados.”}},{“@type”:”Question”,”name”:”Que tipo de projetos tiveram as vulnerabilidades mais sérias?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Projetos de privacidade e coinjoin tiveram a maior parcela de achados sérios, com 24%, à frente de swaps, corretoras e ferramentas de pagamento.”}},{“@type”:”Question”,”name”:”Por que a auditoria está adicionando estresse aos mantenedores de projetos?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Como os achados são divulgados rapidamente para permitir validação ágil, o ritmo aumentou a carga de trabalho dos mantenedores em um momento já difícil, algo que o líder da campanha, calle, reconheceu publicamente e pelo qual pediu desculpas.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
