Equipe de red team apoiada por IA identifica 85 vulnerabilidades críticas no ecossistema do Bitcoin

Em 27 horas, 16 desenvolvedores relataram 4.962 problemas em 390 projetos relacionados ao Bitcoin, incluindo 85 falhas críticas e 635 de alta gravidade. Dezesseis desenvolvedores conduziram a auditoria com modelos de IA e cerca de 10.000 dólares em computação por dia, mas o volume revela sobretudo um problema de triagem. A prioridade agora é tratar os bugs antes dos atacantes.

Uma red team Bitcoin sinaliza uma falha crítica quase a cada hora

Em 4 de agosto, Calle, o desenvolvedor pseudônimo associado ao protocolo Cashu, lançou uma série de revisões ofensivas, um processo de red teaming que testa o código como um atacante faria.

Segundo Calle, a equipe examinava as bibliotecas criptográficas, as carteiras e as infraestruturas Bitcoin a uma taxa de cerca de uma exploração crítica por hora por pessoa, enquanto ele descrevia a situação como “extremamente ruim”. Após as recentes turbulências da rede Bitcoin, essa campanha aparece como uma auditoria do ecossistema, não como a busca por uma única falha.

Em 5 de agosto, o grupo tinha 16 membros espalhados pelo mundo e trabalhava 24 horas por dia. Seu balanço publicado no X indicava que após 27,5 horas, a equipe havia aberto 4.962 notificações em 390 projetos, incluindo 85 críticas e 635 de alta gravidade.

O volume impressiona, mas esses números devem ser lidos com cautela. Uma notificação ainda não equivale a uma exploração confirmada. CoinDesk relata que os responsáveis pelos projetos verificaram rapidamente a maioria dos relatórios críticos e os reproduziram em um ambiente local com prova de conceito.

O verdadeiro gargalo começa após a descoberta

O problema principal já não é a detecção, mas a triagem, a verificação e o envio dos relatórios aos mantenedores certos. Rob Hamilton, que constrói a instalação automatizada do grupo, resumiu essa dificuldade: o verdadeiro gargalo é direcionar cada alerta para a equipe correta.

O mais difícil é coordenar o envio das notificações para as pessoas certas.

Essa etapa é tão importante quanto o próprio escaneamento. Uma equipe de segurança deve distinguir um bug real de um falso positivo, estabelecer um cenário reproduzível, verificar o impacto e depois providenciar ao mantenedor elementos suficientes para corrigir sem perder tempo.

O grupo diz publicar rápido porque os responsáveis podem testar os relatórios com as mesmas ferramentas. Entretanto, essa rapidez também aumenta a carga de recepção e impõe uma hierarquização rigorosa.

Em ambos os casos, a IA amplia a cobertura do código, mas não substitui o julgamento. O relatório útil não é aquele que parece alarmante, é aquele que um mantenedor pode reproduzir e tratar.

O risco ultrapassa o Bitcoin quando a IA também acelera os atacantes

A ferramenta que amplia a defesa também pode reduzir o custo da pesquisa ofensiva. O CoinDesk lembra que a Anthropic encontrou por menos de 50 dólares uma falha que ninguém detectou por 27 anos em um software amplamente usado, enquanto o Google disse ter detectado um grupo criminoso preparando um ataque em torno de uma falha que um modelo havia encontrado.

O grupo Bitcoin Red Team gasta cerca de 10.000 dólares por dia para manter esse ritmo. Esse valor não mede o custo de um ataque real, mas mostra que o poder de computação e a triagem humana agora formam um item orçamentário concreto para a defesa das infraestruturas cripto.

O precedente Coldcard torna o risco tangível. Os roubos iniciados em 30 de julho custaram até 114 milhões de dólares a carteiras cujas seeds provinham de um firmware defeituoso, segundo o CoinDesk. O caso lembra que um bug pode permanecer explorável muito tempo após sua descoberta, especialmente quando os usuários não sabem que precisam migrar seus fundos.

Em resumo, o Bitcoin Red Team destaca três fatos: os modelos de IA detectam falhas em alta velocidade, os mantenedores precisam absorver e qualificar uma avalanche de relatórios, e os atacantes podem usar os mesmos métodos. O monitoramento das perdas ligadas ao hack Coldcard lembra que os usuários permanecem expostos após uma equipe corrigir uma falha, enquanto não migraram seus fundos. Essa campanha não prova que o Bitcoin está comprometido, mas mostra que sua segurança agora ocorre em ritmo industrial. A triagem fará a diferença.