Falhas críticas no Core Lightning expõem fragilidade do open source

Os mantenedores do Core Lightning (CLN), software open source que sustenta parte das transações na segunda camada do bitcoin, emitiram um alerta inédito na quarta-feira nos canais oficiais do Discord. O aviso pedia que operadores de nós desligassem seus servidores imediatamente ou aguardassem uma atualização de emergência ainda não disponível. Nenhum binário com correções havia sido publicado, e os detalhes das vulnerabilidades ficaram sob embargo de duas semanas. Na prática, quem operava um nó CLN ficou sem opção segura de ação.

O CLN responde por uma parcela significativa do ecossistema Lightning, a camada de segunda camada do bitcoin que permite transações off-chain. A rede carrega atualmente 3.851 BTC, segundo dados do mempool.space coletados em 27 de agosto, distribuídos entre 33.096 canais abertos e 16.286 nós ativos. A capacidade total equivale a cerca de US$ 303 milhões na cotação atual de US$ 78.764 por bitcoin.

O alerta veio de um moderador do Discord do CLN e foi reproduzido no Stacker News por um membro da comunidade. Mark Erhardt, desenvolvedor do Bitcoin Core conhecido como Murch, confirmou que a mensagem era legítima e reforçou a urgência. Em seguida, publicou no X que um problema severo havia sido descoberto e que operadores deveriam reiniciar com a flag –offline.

O alarme ganhou proporção maior quando Calle, desenvolvedor por trás do protocolo Cashu de ecash bitcoin, amplificou o alerta para seu público. Escreveu no X que desenvolvedores da Blockstream pediam desligamento imediato dos nós, com instruções para reiniciar com –offline. A linguagem foi mais direta do que o texto original do CLN, que não usou a palavra “crítica” e não descreveu uma vulnerabilidade específica. O pedido original era condicional. Quem não fosse atualizar deveria desligar.

Nenhuma perda de fundos foi reportada até o momento, e não há indícios de exploração ativa das falhas. Mesmo assim, a equipe manteve a recomendação. Na sequência, o CLN divulgou um novo comunicado informando que publicaria binários com correções para boa parte das vulnerabilidades reportadas, mas manteria os detalhes sob embargo por duas semanas.

A origem do alerta, de CVEs gerados por IA

A raiz do alerta está em uma onda de relatórios de vulnerabilidades gerados por inteligência artificial. Em 13 de agosto, o CLN postou em sua conta oficial no X que havia recebido múltiplos relatórios CVE produzidos com auxílio de IA ao longo dos 10 dias anteriores. A equipe, descrita por eles mesmos como pequena, disse ter trabalhado intensamente com colaboradores open source para validar, triar e corrigir os problemas.

Uma das vulnerabilidades identificadas, rastreada como CVE-2026-42945, foi descoberta pela empresa de pentest Redteam Pentesting e pode levar a execução remota de código. O relatório indica que o problema envolve exaustão de memória e afeta versões anteriores do CLN. A pressão sobre o CLN não é isolada.

O sprint que varreu 390 repositórios em 27 horas

Na primeira semana de agosto, o Bitcoin Red Team completou um sprint de auditoria de segurança de 27,5 horas que varreu 390 repositórios open source do ecossistema bitcoin. Liderado por Calle e Rob Hamilton, CEO da AnchorWatch, o grupo de 16 pesquisadores voluntários registrou 4.962 achados de segurança, incluindo 85 de gravidade crítica e 635 de gravidade alta. O custo total foi de aproximadamente US$ 40 mil em computação de IA, financiado pela OpenSats.

A classificação por categoria revelou onde residem os maiores riscos. Ferramentas de privacidade e coinjoin apresentaram a maior proporção de achados críticos, com 24% do total. Swaps e exchanges ficaram com 21%. Bibliotecas criptográficas geraram o maior volume absoluto, com 1.101 achados, mas apenas 10% atingiram o patamar de gravidade alta ou crítica.

O sprint do Red Team foi disparado pela falha no firmware do Coldcard, carteira de hardware que perdeu cerca de US$ 114 milhões em bitcoin desde o final de julho. O bug, presente no código-fonte desde 2021, afetava o gerador de números aleatórios do dispositivo. A Coinkite, fabricante do Coldcard, afirmou que é provável que alguém tenha usado IA para revisar versões anteriores do firmware.

A capacidade do Lightning Network vem caindo. Em 27 de dezembro de 2025, a rede carregava 5.891 BTC em canais públicos. Em 27 de agosto de 2026, o número caiu para 3.851 BTC, uma redução de 34% em oito meses.

A situação do CLN se somou a outros incidentes na infraestrutura bitcoin. Em 3 de agosto, a Boltz encerrou operações indefinidamente após semanas de ataques automatizados com apoio de IA. Em 7 de agosto, o BTCPay Server orientou comerciantes a atualizarem ou desligarem por causa de uma vulnerabilidade em exploração ativa.

Charles Guillemet, diretor de tecnologia da Ledger, disse que o Coldcard mostrou que a IA identifica vulnerabilidades em código crypto em velocidade de máquina. Open source e revisado não são a mesma coisa, e a defesa precisa se mover na mesma velocidade que os atacantes. A taxa de reprodução dos achados do Red Team é de apenas 21%, o que gera risco de ruído entre mantenedores de projetos pequenos. A ferramenta open source do grupo está sendo disponibilizada para qualquer projeto, mas a efetividade depende da capacidade de processar os alertas.

Para o Lightning Network, o impacto imediato depende da velocidade com que os binários corrigidos são publicados e assinados. Até lá, a recomendação continua valendo. O anúncio do CLN prevê que a versão 26.09 seja lançada no final de setembro, mas os fixes de segurança devem sair antes, em binários de ponto sob embargo.