- Bitcoin Red Team acumula 6.700 achados em 425 projetos após 55 horas
- Modelos apontam 1.029 falhas críticas ou altas, sem taxa pública de validação
- Campanha já gastou cerca de US$ 20 mil e disparou disclosures a mantenedores
A campanha Bitcoin Red Team, que usa modelos de linguagem para varrer código do ecossistema Bitcoin em busca de vulnerabilidades, chegou a 6.700 achados distribuídos por 425 projetos nas primeiras 55 horas de operação. O balanço, publicado em 6 de agosto, indica que 1.029 desses apontamentos foram classificados internamente como críticos ou altos cerca de 15,4% do total.
Os números impressionam pela escala, mas escondem uma lacuna importante. A organização não divulgou quantos achados foram reproduzidos, aceitos por mantenedores, rebaixados ou corrigidos. Sem esse denominador, ninguém consegue separar um alerta real do ruído que a máquina gera.
Volume cresce, mas validação fica obscura
O primeiro snapshot, com 27,5 horas de trabalho, cobria 390 projetos e 4.962 achados, dos quais 85 críticos e 635 altos. Em pouco mais de um dia adicional, o time somou 35 projetos e 1.738 novos apontamentos. O quadro de participantes também mudou, dos 24 colaboradores reportados na segunda atualização, três eram bots.
Rob Hamilton, um dos coordenadores, detalhou a divisão de tarefas em publicação no X. O modelo Kimi K3 tocou a análise pesada, enquanto GPT Sol, Fable/Opus e GLM 5.2 ficaram com a documentação. O Cyber Harness da OpenAI cobriu componentes considerados críticos. Segundo Hamilton, uma ou duas frases de contexto de um especialista podiam empurrar um achado mediano para a faixa crítica o que reforça o peso do humano no processo.
O desenvolvedor conhecido como Calle afirmou que a maioria dos relatos críticos foi verificada rapidamente pelos donos dos projetos. Só que ele não apresentou nem o denominador nem a contagem exata de confirmações, patches ou rejeições. Resultado: a taxa efetiva de falso-positivo continua desconhecida.
Apenas 19,5% dos projetos têm SECURITY.md
A varredura também expôs a fragilidade do canal de comunicação da comunidade. Só 19,5% dos projetos escaneados tinham arquivo SECURITY.md, e apenas 13,1% traziam um e-mail de contato para reportar vulnerabilidades. Isso trava o pipeline por mais rápido que a IA gere alertas, o disclosure depende de encontrar um mantenedor humano do outro lado.
O gasto acumulado da campanha reflete essa intensidade. Em 3 de agosto, Hamilton relatava US$ 10 mil gastos e cerca de 100 repositórios varridos. No dia seguinte, o número já era US$ 20 mil e 150 repositórios, com mais de uma dúzia de disclosures enviados. Convertido pela cotação atual, o esforço já supera R$ 102 mil barato para uma auditoria com essa amplitude, caro para um experimento sem métrica pública de eficácia.
Contexto brasileiro e o caso Coldcard
Hamilton apontou o incidente recente da Coldcard como catalisador do movimento, embora o sprint não tenha identificado a falha específica daquela carteira. O episódio já havia empurrado US$ 626 milhões para ETFs de Bitcoin na esteira do medo com custódia self-hosted. O mesmo padrão apareceu em outro alerta do ecossistema Lightning, quando nós Lightning foram drenados em ataque hacker.
Para o investidor brasileiro que opera com carteiras próprias parcela crescente após o novo regramento do Banco Central sobre remessas, a leitura é dupla. De um lado, IA acelera a descoberta de bugs que antes levariam meses de auditoria manual. Do outro, sem critério público de validação, o mesmo pipeline pode gerar pânico ou, pior, alimentar oportunistas que exploram vulnerabilidades reportadas antes do patch chegar ao usuário final.
Crítica pública e a métrica que falta
O crítico JW Weatherman sustenta que a campanha não tem capacidade operacional para triar o próprio volume. Ele, porém, não apontou nenhuma falha específica gerada pelo sprint, um patch quebrado ou advisory equivocado. O debate segue aberto justamente porque falta o dado que fecharia a discussão, quantos dos 6.700 achados viraram correção efetiva no código-base do Bitcoin.
Enquanto essa contabilidade não sai, o número segue como indicador de capacidade não de segurança. A auditoria auxiliada por IA provou velocidade. O valor real depende do que sobrar depois da revisão humana, da resposta do mantenedor e do commit final no repositório.
