Red Team encontra 85 falhas críticas em 390 projetos de bitcoin

Depois do roubo através das carteiras Coldcard, um grupo de investigadores de segurança pôs-se a examinar o resto do ecossistema bitcoin. O resultado desse esforço, concluído a 5 de agosto de 2026, é pesado: em 27,5 horas de trabalho efetivo foram analisados 390 projetos de código aberto e apresentados 4 962 relatos. Destes, 85 estão classificados como críticos e 635 como elevados. Participaram dezasseis voluntários, o que dá 2,31 relatos elevados ou críticos por pessoa e por hora.

Uma ressalva desde já: não se trata do protocolo bitcoin. Trata-se da camada à sua volta — bibliotecas, software de carteira, ferramentas de nó, integrações de pagamento. Precisamente o código por onde a maioria das pessoas passa todos os dias sem dar por isso.

Como o fizeram

O Bitcoin Red Team é liderado por Calle, programador e criador do Bitchat, e por Rob Hamilton, presidente executivo da Anchorwatch. O grupo montou um ambiente de teste próprio com 171 599 linhas de código e lançou com ele uma série de modelos de IA sobre os repositórios, entre eles Kimi K3, GPT Sol, Fable, Opus e GLM5.2. Os relatos foram reproduzidos localmente antes de serem comunicados, o que faz a diferença entre um relatório utilizável e uma montanha de falsos alarmes.

A OpenSats, a fundação que financia o desenvolvimento de código aberto do bitcoin, suportou os custos: mais de 40 000 dólares (cerca de 35 000 euros) de consumo de IA. O grupo já tinha examinado antes cerca de 150 repositórios, com mais de dez comunicações confidenciais; este esforço é a versão ampliada.

As comunicações seguem diretamente para os responsáveis pela manutenção dos projetos visados, segundo as convenções habituais de divulgação responsável. Não foi publicada qualquer lista de nomes de projetos, e isso é deliberado. O grupo tenciona abrir o código do próprio ambiente de teste, para que as empresas possam submeter o seu código fechado ao mesmo exame.

O reverso que faz parte da história

Há um lado desconfortável nisto. Os mesmos modelos que encontram 85 falhas críticas em pouco mais de um dia podem ser lançados por outra pessoa sobre esse mesmo código sem que nada seja comunicado. É exatamente o ponto sobre o qual as autoridades europeias alertaram no final de julho, na sua declaração conjunta sobre a IA e o risco informático.

E a reparação recai sobre os próprios projetos. São muitas vezes voluntários ou equipas pequenas sem orçamento para uma ronda de segurança. Apresentar um relato custa hoje uma fração do que custa resolvê-lo, e essa diferença é nova.

O que isto significa para si

Com uma lista que não pode consultar não faz nada, mas pode rever a sua própria instalação. Instale as atualizações do software de carteira, das ferramentas de nó e das integrações de pagamento assim que saírem, porque as correções desta ronda vão chegar nas próximas semanas sob a forma de atualizações normais. Aproveite para ler as notas de versão: se mencionarem um problema de segurança, é essa a atualização que não pode esperar.

Se usa uma carteira física, verifique se o fabricante tem uma página de segurança e se lá foi publicado algo recentemente. O incidente da Coldcard, em que a análise on-chain da TRM Labs situou o desaparecimento de cerca de 1 816 bitcoin (mais de 116 milhões de dólares, cerca de 101,5 milhões de euros) de mais de 5 200 endereços, teve origem em firmware de 2021 que simplesmente se manteve em utilização durante anos. Firmware antigo não é firmware estável.

E a lição mais lata: o facto de existirem 85 relatos críticos é melhor notícia do que se ninguém tivesse olhado. Os problemas já lá estavam. O que é novo é que agora são encontrados e comunicados antes de outra pessoa os encontrar.

Fontes: Bitcoin Red Team através da Bitcoin Magazine (6 de agosto de 2026), Crypto Briefing (6 de agosto de 2026), OpenSats, TRM Labs (análise Coldcard, 5 de agosto de 2026). Última verificação: 7 de agosto de 2026.