Campanha de Segurança de Bitcoin com IA identifica quase 5.000 falhas de software em 390 projetos

Uma campanha coordenada de segurança de Bitcoin identificou quase 5.000 problemas de software em centenas de projetos open-source em cerca de 30 horas. O esforço combinou a experiência humana com ferramentas de inteligência artificial para identificar vulnerabilidades de software.

A iniciativa reuniu 16 pesquisadores de segurança liderados pelo desenvolvedor Calle, com apoio da OpenSats, OpenCode e patrocinadores de inferência de IA. O grupo colaborou em uma revisão coordenada que abrangeu centenas de projetos relacionados ao Bitcoin.

Análise das Descobertas

A equipe reportou 4.962 achados em 390 projetos relacionados ao Bitcoin durante a campanha. O total incluiu 85 questões críticas e 635 achados de alta gravidade, elevando o número dos relatórios mais sérios para 720.

A campanha manteve um ritmo acelerado, com uma média de cerca de 166 achados relatados por hora durante toda a revisão. Com base nos números publicados, a equipe identificou aproximadamente 2,3 questões críticas ou de alta gravidade para cada pessoa-hora gasta na análise do software.

Os pesquisadores afirmaram que a campanha se diferenciou de uma auditoria de segurança tradicional, pois os revisores humanos orientaram ativamente os sistemas de IA durante os testes. Cada participante usou prompts e métodos diferentes, ajudando a encontrar fragilidades que uma abordagem única poderia não detectar.

A contagem final também incluiu achados coletados por um colaborador antes do início oficial da campanha ao vivo. Após a inclusão desses resultados, bibliotecas de cripto e kits de desenvolvimento de software registraram a maior parte dos achados, com 1.385 questões relatadas.

O que as Descobertas Revelaram

A equipe afirmou que cerca de um em cada sete achados relatados se enquadra nas categorias de gravidade alta ou crítica. Apenas um projeto revisado aparentemente completou a campanha sem nenhum problema relatado, levando a um comentário bem-humorado do desenvolvedor do Bitcoin Core, Matt Corallo.

Os pesquisadores já começaram a enviar achados críticos verificados para os mantenedores dos projetos afetados, acompanhados de demonstrações de reteste em prova de conceito. Muitos mantenedores confirmaram rapidamente os relatórios, embora o processamento de um volume tão grande ainda represente um desafio significativo.

A campanha ocorre num momento em que a segurança do software do Bitcoin atrai uma atenção maior em todo o ecossistema após vários incidentes recentes de segurança. Paralelamente, o Bitcoin registrou cerca de 0,98 milhão de endereços ativos diários em 31 de julho, o maior nível desde dezembro de 2024. O aumento ocorreu depois que atacantes começaram a vasculhar carteiras cujas seeds foram geradas usando firmware defeituoso do Coldcard.