Auditoria por IA encontra 85 falhas críticas no ecossistema do bitcoin

A resposta da comunidade do bitcoin ao exploit que drenou mais de US$ 100 milhões de Coldcards não foi recuar, foi contra-atacar com a mesma ferramenta usada pelos atacantes. Um grupo de voluntários chamado de red team do bitcoin montou uma auditoria de código tocada por inteligência artificial e já encontrou 85 falhas críticas em 390 projetos de código aberto. O esforço nasceu em menos de uma semana e cresceu de uma resposta pontual para uma varredura ampla do software que sustenta a rede.

A defesa aprendeu a usar a mesma arma dos atacantes.

Um red team para o código do bitcoin

A operação é liderada por Calle, criador da versão Android do Bitchat, e por Rob Hamilton, CEO da Anchorwatch, uma seguradora de autogestão. Eles reuniram 16 pessoas trabalhando 24 horas por dia em um esforço coordenado de auditoria dos repositórios mais críticos do ecossistema, com mais de US$ 40 mil já gastos em tokens de IA. Cada voluntário cuida de um pedaço do código com o apoio de modelos de linguagem, em um ritmo de operação contínua.

Em 27 horas e meia, os números saltaram.

Segundo o último balanço de Calle, foram registrados 4.962 achados em 390 projetos, dos quais 85 são críticos e 635 graves. O ritmo, de 2,31 achados de alta severidade por pessoa por hora, dá a medida do alcance da ferramenta. É uma velocidade que nenhuma auditoria manual alcançaria, e a maioria dos relatórios críticos já foi confirmada pelos donos dos projetos, sinal de que o time está batendo em alvos reais.

O financiamento veio da OpenSats, organização sem fins lucrativos.

Como a IA varre os repositórios

A varredura usa modelos de ponta como Kimi K3, GPT Sol, Fable, Opus e GLM5.2. No começo, o acesso limitado aos modelos da OpenAI e da Anthropic obrigou o time a depender de modelos chineses de código aberto, um fato visto por muitos como mau sinal para a hegemonia americana de IA. Depois, o acesso ao GPT Sol foi confirmado e o time também chegou à Anthropic, em uma corrida em que os criadores de IA viraram peça central da segurança do setor.

A engrenagem por trás da operação é uma ferramenta de auditoria com 171 mil linhas.

A ferramenta foi desenhada para identificar bibliotecas críticas, documentar vulnerabilidades, reproduzi-las e empacotar relatórios úteis para engenheiros. O time pretende abrir o código da ferramenta para que empresas rodem a própria auditoria. Enquanto isso, os engenheiros dos projetos afetados passaram a temer as mensagens diretas de Hamilton e Calle, que viraram piada nas redes, porque a notificação chega fria e aponta um problema sério em código que o autor tratava como seguro.

O encerramento de Hamilton teve tom pessoal.

O recado para quem guarda bitcoin

Ao fim da maratona, Hamilton chamou o bug no gerador de números aleatórios da Coldcard e a exploração seguinte de ataque espiritual ao bitcoin e à ideia de autogestão, no sentido literal das palavras. Ele lamentou as perdas dos bitcoiners atingidos e encerrou com resolução, afirmando a convicção de que o bitcoin vale a luta e que sem autogestão não há bitcoin. A frase, em tom de manifesto, resume o que move o esforço e reacende o debate sobre o custo de confiar em terceiros.

O aviso para quem ainda usa Coldcard segue de pé.

A lição prática da auditoria tem duas frentes. Para os donos de bitcoin, o recado é migrar qualquer moeda ainda em seeds geradas em hardware antigo para seeds novas em firmware seguro, como o aviso da comunidade repete. Para o setor, o achado de 85 falhas críticas em projetos usados em produção mostra que o código aberto do bitcoin está mais frágil do que o mercado supunha, e que a máquina sozinha não basta, porque o contexto humano é o que separa o achado real do falso positivo.