Time de Segurança do Bitcoin Descobre 85 Falhas Críticas em Código Aberto

Após a recente e impactante vulnerabilidade encontrada na Coldcard, que levou a perdas superiores a US$ 100 milhões, a comunidade Bitcoin uniu forças em uma iniciativa de segurança sem precedentes. Liderado por Calle, engenheiro de software, e Rob Hamilton, CEO da Anchorwatch, o "Bitcoin Red Team" emergiu como uma força-tarefa focada em auditar e fortalecer a segurança do ecossistema de software de código aberto do Bitcoin.

Com financiamento garantido, incluindo mais de US$ 40.000 em tokens de IA, o time se dedicou a examinar mais de 390 repositórios de código aberto do Bitcoin. Essa auditoria impulsionada por inteligência artificial já está gerando resultados significativos, com 4.962 descobertas reportadas em 390 projetos, incluindo 85 falhas de severidade crítica e 635 de alta severidade. A eficiência é notável, com uma taxa de 2,31 descobertas por pessoa por hora.

O esforço conta com o uso de modelos de IA de ponta, como Kimi K3, GPT Sol, Fable e Opus, alguns dos mais avançados e caros do mercado. Inicialmente, o acesso a modelos como os da OpenAI e Anthropic foi restrito, levando a uma dependência de modelos chineses de código aberto. No entanto, com o crescimento da iniciativa após o hack da Coldcard, o acesso aos modelos da OpenAI e, possivelmente, da Anthropic foi confirmado, ampliando a capacidade de análise do time.

Os custos operacionais, que já ultrapassam US$ 40.000, estão sendo cobertos pela OpenSats, uma organização sem fins lucrativos dedicada a financiar projetos de desenvolvimento de código aberto para o Bitcoin. Apesar de o Bitcoin Red Team não possuir um site ou repositório GitHub oficial no momento, a equipe é composta por diversos profissionais atuantes no setor, com agradecimentos públicos a nomes como danielabrozzoni e stutxo.

Para otimizar a identificação e teste de bibliotecas críticas e códigos de alta carga, foi desenvolvido um "harness" customizado, um sistema que evolui rapidamente. Composto por mais de 171.000 linhas de código em seu auge, o harness visa identificar, documentar e reproduzir vulnerabilidades, entregando os dados de forma responsável aos engenheiros do setor. A intenção é que este "harness" seja disponibilizado como código aberto, permitindo que empresas de Bitcoin o utilizem em seus próprios códigos fechados.

O Bitcoin Red Team está contatando ativamente os projetos de código aberto afetados pelas vulnerabilidades descobertas, gerando um misto de apreensão e reconhecimento na comunidade de engenheiros. A comunicação direta e objetiva, muitas vezes recebida como uma mensagem fria, tem sido documentada e compartilhada em redes sociais.

Uma das percepções chave compartilhadas pela equipe é a importância da colaboração entre a inteligência artificial e a expertise humana. A IA pode identificar anomalias, mas a experiência de engenheiros com conhecimento específico é crucial para validar e contextualizar essas descobertas, garantindo a robustez e a segurança do ecossistema Bitcoin.

É importante ressaltar que usuários de carteiras Coldcard que ainda não migraram seus fundos para novas sementes geradas com firmware seguro permanecem em risco. Há um alerta disponível sobre como agir para mitigar essa ameaça.