A seguir:
- Pesquisadores encontraram 4.962 falhas em 390 projetos analisados.
- 720 vulnerabilidades receberam classificação alta ou crítica.
- Carteiras de hardware registraram uma das menores proporções de falhas graves
A segurança do Bitcoin ganhou um novo alerta depois que uma equipe formada por desenvolvedores voluntários identificou 4.962 problemas em projetos relacionados ao ecossistema da maior criptomoeda do mercado. O levantamento analisou 391 bases de código e encontrou apenas uma que não apresentou nenhuma falha.
A investigação foi conduzida pelo chamado Bitcoin Red Team e ocorreu ao longo de aproximadamente 30 horas. Do total de problemas registrados, 720 receberam classificação alta ou crítica, enquanto somente 147 já haviam chegado aos responsáveis pelos projetos para avaliação e possível correção.
O número chama atenção, mas precisa ser analisado com cuidado. Afinal, a descoberta de uma vulnerabilidade não significa necessariamente que alguém conseguiu explorá-la ou que os fundos dos usuários estejam em risco. Ainda assim, o levantamento reforça a importância de manter a segurança do Bitcoin como uma das prioridades do setor.
Segurança do Bitcoin revela 720 falhas graves
Apesar de quase 5 mil ocorrências aparecerem no levantamento, uma parcela menor recebeu os níveis mais elevados de severidade. Os pesquisadores classificaram 85 problemas como críticos e outros 635 como graves.
Juntos, esses casos representam aproximadamente 14,5% de todas as descobertas. A maior parte dos registros ficou nas categorias média, baixa ou informativa. Além disso, 246 ocorrências ainda não receberam uma classificação de severidade.
Outro ponto importante envolve a comprovação das falhas. Segundo os dados divulgados pela equipe, aproximadamente 21,4% dos problemas identificados apresentaram provas de conceito funcionais. Ao mesmo tempo, cerca de 91% das descobertas tiveram origem em ferramentas de análise automatizada.
Mesmo com o uso intenso de automação, os pesquisadores descartaram apenas oito casos como falsos positivos. Dessa forma, os números indicam que uma parcela relevante dos alertas merece atenção dos desenvolvedores responsáveis pelos projetos.
Segurança do Bitcoin tem um detalhe importante nos números
O período de aproximadamente 30 horas utilizado para apresentar os resultados pode causar uma impressão diferente da realidade. Isso acontece porque 4.101 dos 4.962 registros apareceram concentrados em apenas uma hora.
Esse pico, porém, não correspondeu a uma rodada de testes realizada naquele momento. Os dados representaram um trabalho anterior que entrou no levantamento posteriormente.
Rob Hamilton, CEO da AnchorWatch, realizou uma análise antes do início oficial da campanha. Segundo ele, foram investidos mais de US$ 10 mil na análise de mais de 100 bibliotecas.
Quando esse grande volume é retirado da conta, o ritmo da investigação muda consideravelmente. Nas outras 29 horas, os pesquisadores receberam aproximadamente 840 descobertas, uma média próxima de 29 registros por hora.
Carteiras de hardware apresentam resultado melhor
A análise também trouxe um dado relevante para a segurança do Bitcoin. As carteiras de hardware e seus firmwares ficaram entre as categorias com menor proporção de problemas graves.
O segmento apresentou uma taxa de 9,6% de falhas consideradas sérias, ficando em segundo lugar entre as categorias com melhores resultados. O dado ganha importância porque o levantamento aconteceu pouco depois de um problema envolvendo dispositivos Coldcard.
Outras áreas apresentaram índices mais elevados. As pools de mineração registraram 21,7% de falhas graves, enquanto infraestrutura e ferramentas chegaram a 21,5%. Já swaps e exchanges ficaram em 20,9%.
As ferramentas voltadas à privacidade apresentaram o maior percentual, com 24%. Entretanto, os pesquisadores analisaram somente três projetos nessa categoria, o que limita qualquer comparação direta.
Enquanto isso, as bibliotecas de criptomoedas concentraram o maior volume absoluto. Foram 1.385 descobertas distribuídas por 128 projetos, representando mais de um quarto de todos os registros.
Falha da Coldcard aumentou preocupação com segurança
O movimento do Bitcoin Red Team ganhou força depois de um problema relacionado à geração de sementes em determinados dispositivos Coldcard. Em 30 de julho, a Coinkite informou que alguns aparelhos passaram a utilizar uma rotina de software previsível durante a geração das sementes.
O problema envolvia a participação limitada do elemento seguro na geração da aleatoriedade. Segundo os dados divulgados, apenas 32 bits vinham desse componente, o que reduzia o espaço de busca para aproximadamente 4,3 bilhões de possibilidades.
O episódio também chamou atenção por seus possíveis efeitos financeiros. Em 4 de agosto, a Galaxy Research estimou 1.596 BTC roubados de aproximadamente 7.300 endereços. Uma possível quarta onda de ataques poderia elevar o prejuízo para perto de US$ 130 milhões, embora a própria empresa tenha destacado que sua lista de endereços não era definitiva.
Além disso, o caso voltou a colocar a geração de números aleatórios no centro das discussões sobre segurança do Bitcoin. Problemas semelhantes já apareceram em outros projetos do setor, incluindo o bug Milk Sad, identificado em 2023, e a vulnerabilidade Ill Bloom, associada a carteiras que utilizavam um gerador JavaScript considerado fraco.
Segurança do Bitcoin recebe novo incentivo para pesquisadores
Diante desse cenário, a OpenSats anunciou uma nova iniciativa para financiar pesquisadores envolvidos na identificação de falhas. O programa Code RED oferece recursos para desenvolvedores que encontrarem e divulgarem vulnerabilidades, além de cobrir despesas relacionadas ao uso de ferramentas de inteligência artificial durante as análises.
O movimento mostra que a indústria começa a direcionar mais recursos para auditorias e pesquisas independentes. Encontrar uma falha antes que um invasor consiga explorá-la pode representar uma diferença significativa para usuários e desenvolvedores.
Apesar do número elevado apresentado pelo Bitcoin Red Team, os dados não indicam que milhares de ataques estejam acontecendo contra a rede Bitcoin. Trata-se de descobertas em diferentes projetos e bases de código, e muitas delas jamais chegarão a uma exploração real.
Ainda assim, o levantamento reforça uma mensagem importante: a segurança do Bitcoin depende não apenas da rede principal, mas também de toda a infraestrutura construída ao seu redor. Carteiras, bibliotecas, ferramentas, exchanges e outros componentes continuam exigindo auditorias constantes para reduzir os riscos do ecossistema.
