Bitcoin Core elimina embargos de 1 ano para falhas 'fáceis para IA', após roubo de US$ 114 milhões

O Bitcoin Core decidiu que esconder um bug por um ano não faz mais sentido quando um modelo de linguagem encontra a mesma falha com um único prompt. Em 23 de outubro de 2026, o projeto fundiu uma mudança na política de divulgação de vulnerabilidades que elimina embargos longos para falhas consideradas "fáceis de achar com IA".

A razão é simples: se um atacante com acesso a um LLM chega à mesma vulnerabilidade em minutos, manter o bug em sigilo por meses só atrasa a defesa, não impede o ataque.

Embargos de 1 ano saem de circulação para falhas 'achâveis por IA'

Antes, vulnerabilidades classificadas como média ou alta severidade podiam ficar sob embargo — sem divulgação pública — por até um ano. A nova política cria uma categoria separada para bugs "triviais de encontrar com um prompt simples de LLM": nesses casos, o embargo longo deixa de valer. A divulgação agora é feita muito mais rápido.

O desenvolvedor Antoine Poinsot, da Chaincode Labs, foi quem propôs a mudança, segundo a CoinDesk. A decisão reconhece que a barreira de dificuldade para achar certas classes de falha já caiu. Um bug que antes exigia pesquisa manual debruçada sobre o código por semanas agora sai de uma ferramenta de IA em minutos.

Coldcard: o hack que catalisou a mudança

Carteiras de hardware Coldcard tinham falhas de firmware que foram exploradas, desviando 594 BTC — perto de US$ 114 milhões à época, conforme a Bitcoin Magazine. Pouco depois, o Bitcoin Red Team publicou os resultados de uma auditoria em larga escala: 390 projetos de código aberto do ecossistema Bitcoin escaneados em aproximadamente 30 horas, com apoio de agentes de IA. O volume de achados colocou em números o risco que o setor discutia de forma abstrata.

O que o Red Team encontrou

Bitcoin Red Team — Large-Scale Ecosystem Audit (2026). O grupo, com 16 voluntários, identificou 4.962 vulnerabilidades potenciais em 390 projetos, em cerca de 30 horas de varredura. Desse total, 85 foram classificadas como críticas e 635 como altas — juntas, 720 falhas graves, 14,5% do total —, com média de 1,85 falha séria (crítica ou alta) por projeto. Agentes de IA encontraram 91% das descobertas; 21% foram reproduzidas com prova de conceito, segundo a crypto.news.

Os números refletem o tamanho do problema, mas com ressalvas: é um relatório de voluntários, não artigo revisado por pares, e usa critérios de severidade próprios, sem padronização formal. Nem toda falha listada foi confirmada como explorável em produção.

O contraponto: IA acha, humano julga

A própria política do Bitcoin Core reconhece que a maior parte da triagem ainda depende de revisão manual: os agentes de IA aceleram a descoberta de candidatos, mas o julgamento sobre o que é realmente crítico e prioritário continua sendo humano.

O risco inverso também existe: uma varredura que gera quase 5 mil alertas pode sobrecarregar equipes pequenas de projetos open source com falsos positivos, drenando o mesmo recurso que a automação deveria liberar — a atenção de especialista.

O que observar

Para quem acompanha segurança de infraestrutura cripto, o caso Bitcoin Core é um precedente que outros projetos tendem a copiar. Fique atento a:

• Atualizações de firmware em outras carteiras de hardware motivadas pela mesma varredura do Red Team
• Políticas de divulgação mais curtas em outros projetos do ecossistema Bitcoin ou de outras blockchains, citando "falhas acháveis por IA" como categoria
• Padronização de critérios de severidade pelo Bitcoin Red Team ou grupos similares, o que aumentaria peso técnico de relatórios como este de 390 projetos