- Grupo de 16 voluntários encontrou 4.962 problemas em 390 projetos do ecossistema Bitcoin
- Auditoria assistida por IA identificou 720 falhas de gravidade alta ou crítica
- Iniciativa surge após hack da Coldcard que drenou mais de US$ 100 milhões
Uma força-tarefa de segurança batizada de Bitcoin Red Team revelou ter encontrado quase 5 mil possíveis vulnerabilidades em projetos do ecossistema bitcoin em pouco mais de um dia de trabalho. A operação combina revisão humana e ferramentas de inteligência artificial para varrer repositórios de código aberto ligados à rede.
O grupo é formado por apenas 16 voluntários. Entre eles estão Rob Hamilton, CEO da AnchorWatch, e o desenvolvedor conhecido como Calle, criador do protocolo Cashu. A média divulgada impressiona: cerca de um exploit crítico por hora, por pessoa.
Nas primeiras 29,8 horas de operação, o time contabilizou 4.962 achados distribuídos em 390 projetos. Desses, 720 receberam classificação alta ou crítica. Até o momento, 21,4% já foram reproduzidos em ambiente controlado, etapa que confirma se a falha pode ser explorada de fato.
Varredura com IA nasce após hack da Coldcard
O timing não é acidental. A iniciativa foi lançada dias depois do ataque à Coldcard, que resultou no desvio de mais de US$ 100 milhões em bitcoin de carteiras de hardware supostamente seguras. A investigação da Galaxy Digital apontou pelo menos 15 atacantes explorando a mesma brecha.
O episódio reacendeu o debate sobre autocustódia e sobre até que ponto o código de fabricantes populares recebe revisão independente. “Existe muito caos no ecossistema agora. Entendemos que muitas pessoas estão sendo bombardeadas com problemas de segurança”, afirmou Calle em publicação no X.
O uso de IA para caçar vulnerabilidades em código Bitcoin é, ao mesmo tempo, resposta e sintoma. Ataques automatizados por modelos de linguagem cresceram no último ano, forçando protocolos como o Boltz a suspender swaps após tentativas coordenadas de exploração. A defesa passou a precisar da mesma velocidade do ataque.
720 falhas críticas em 390 repositórios
O volume levanta uma questão desconfortável: o ecossistema Bitcoin, celebrado pela robustez do protocolo base, carrega uma camada periférica de wallets, bibliotecas e serviços que raramente passa por auditoria profissional. Ferramentas open source mantidas por poucos desenvolvedores acabam sustentando bilhões em ativos.
Cada projeto varrido contém, em média, quase 13 pontos de atenção. Nem todos viram exploits reais — parte é falso positivo, típico de análises assistidas por IA. Mas a taxa de reprodução acima de 20% já é considerada alta para uma triagem inicial e sugere que a próxima onda de divulgações responsáveis pode movimentar o setor nos próximos meses.
O que muda para quem guarda BTC no Brasil
No mercado brasileiro, o efeito prático recai sobre custodiantes e usuários de wallets físicas importadas. Coldcard, Trezor, Ledger e concorrentes vendem no país por meio de revendedores autorizados, e o suporte técnico local costuma depender de firmwares atualizados diretamente pelos fabricantes. Uma vulnerabilidade divulgada globalmente chega ao usuário brasileiro sem intermediação regulatória.
A CVM e o Banco Central ainda não têm competência formal sobre hardware wallets vendidas ao varejo, o que deixa a responsabilidade nas mãos do próprio investidor. Enquanto isso, exchanges nacionais como Mercado Bitcoin e Foxbit reforçam campanhas de custódia própria, contornando o risco de exposição concentrada em terceiros — movimento que já se reflete no fluxo dos ETFs.
Divulgação responsável testa projetos menores
O próximo passo do Bitcoin Red Team é abrir canais de divulgação responsável com os mantenedores dos 390 projetos afetados. Falhas críticas ganham prioridade e janela fechada de correção antes da publicação. Projetos com equipe reduzida ou abandonados podem simplesmente não responder, o que aumenta o risco de exposição pública sem patch disponível.
Calle afirmou que o grupo pretende manter a operação ativa enquanto houver capacidade de triagem. O experimento também serve como termômetro do quanto a IA generativa mudou o balanço entre atacantes e defensores em software de código aberto — uma disputa que, no Bitcoin, envolve diretamente o dinheiro guardado em milhões de carteiras espalhadas pelo mundo.
