Principais conclusões
- Bitcoin Core acelera correções para vulnerabilidades facilmente descobertas
- Pesquisadores de IA identificaram 4.962 problemas em projetos de bitcoin
- Desenvolvedores enfrentam novos compromissos entre velocidade e teste
Desenvolvedores do Bitcoin Core alteraram suas regras de segurança após ferramentas de inteligência artificial ajudarem pesquisadores a identificar milhares de vulnerabilidades potenciais em todo o ecossistema Bitcoin, levantando preocupações de que métodos tradicionais de manter falhas de software em segredo estão se tornando menos eficazes.
A atualização da política, integrada em 22 de outubro, introduz divulgação e correção mais rápidas para vulnerabilidades que podem ser descobertas com esforço mínimo, incluindo por meio de um simples prompt de IA.
De acordo com a política oficial de segurança do Bitcoin Core, os desenvolvedores agora lançarão correções para essas vulnerabilidades facilmente detectáveis em versões mantidas do software sem aguardar os longos períodos de embargo que anteriormente se aplicavam.
Por que o Bitcoin Core está abandonando longos embargo de segurança
O Bitcoin Core tradicionalmente atrasa a divulgação pública de certas vulnerabilidades para dar aos operadores de nodes tempo para atualizar antes que os atacantes aprendam como explorá-las.
Falhas de média e alta gravidade podem permanecer não divulgadas por aproximadamente um ano, dependendo de quando as versões afetadas do software atingiram o fim de seus períodos de suporte.
No entanto, a inteligência artificial está alterando esse cálculo.
O contribuidor do Bitcoin Core Antoine Poinsot explicou em um anúncio de desenvolvedor de 22 de outubro que modelos de linguagem grandes tornaram algumas falhas de segurança significativamente mais fáceis de identificar ou redescobrir independentemente.
Na abordagem revisada, os desenvolvedores podem classificar uma vulnerabilidade como facilmente descobrível, distribuir correções para todas as versões principais mantidas e publicar um aviso de segurança junto com as atualizações.
A proposta do GitHub foi enviada em 16 de outubro e integrada seis dias depois.
Outras vulnerabilidades continuarão seguindo os cronogramas de divulgação baseados na gravidade, enquanto problemas críticos de segurança da rede Bitcoin exigem tratamento individual.
A variação segue debates anteriores sobre atualizações do Bitcoin Core, onde os desenvolvedores equilibraram novas funcionalidades com segurança e estabilidade da rede.
Revisão de segurança com IA identifica quase 5.000 possíveis bugs de bitcoin
A urgência tornou-se aparente durante uma grande revisão de segurança assistida por IA no início deste ano.
Em aproximadamente 30 horas, uma equipe voluntária de Bitcoin Red Team composta por 16 desenvolvedores examinou 390 projetos de software relacionados ao bitcoin.
Os pesquisadores relataram 4.962 possíveis problemas de segurança, incluindo 85 inicialmente classificados como críticos e 635 como alta gravidade.
O Coinpaper anteriormente documentou os resultados da Equipe Vermelha do Bitcoin, que demonstraram como a análise automatizada pode gerar um grande número de relatórios de vulnerabilidades em um período notavelmente curto.
No entanto, os números exigem uma distinção importante.
Esses foram achados em centenas de projetos relacionados ao bitcoin, não vulnerabilidades confirmadas no Bitcoin Core em si. Muitos exigiam verificação adicional, e as classificações eram preliminares.
Algumas vulnerabilidades identificadas por meio do esforço de segurança mais amplo foram, no entanto, graves.
Em agosto, o processador de pagamentos BTCPay Server enfrentou uma vulnerabilidade ativamente explorada que expôs credenciais associadas a nodes da Lightning Network.
O incidente forçou uma resposta de segurança de emergência, incluindo restrições ao acesso remoto ao Lightning.
Outro provedor de infraestrutura de bitcoin, o Boltz, desativou temporariamente os serviços de troca após relatar ataques automatizados envolvendo técnicas assistidas por IA.
Atualizações mais rápidas de segurança do bitcoin poderiam introduzir novos riscos?
As regras revisadas de divulgação podem ajudar os operadores de node a receber correções importantes mais cedo, mas lançamentos acelerados criam seus próprios desafios.
Poinsot reconheceu que patches distribuídos rapidamente podem receber menos testes antes de chegarem aos usuários.
Desenvolvedores também debateram se algumas advertências de segurança deveriam permanecer privadas até que proteções adicionais estivessem disponíveis.
A abordagem final prefere publicar um aviso junto com uma correção acelerada para vulnerabilidades consideradas fáceis de serem descobertas novamente, em vez de emitir avisos sem uma atualização disponível.
As preocupações se estendem além do software que executa nodes de bitcoin.
Uma vulnerabilidade separada no hardware-wallet Coldcard resultou em grandes roubos de bitcoin no início deste ano, provocando nova atenção para wallet security.
Esse incidente não envolveu uma vulnerabilidade no Bitcoin Core, mas demonstrou como fraquezas na infraestrutura circundante podem colocar em risco ativos de criptomoedas, mesmo quando a blockchain subjacente continua operando normalmente.
A análise de carteira de hardware do Coinpaper também explica por que a geração segura de chaves e a atualização do firmware permanecem proteções essenciais.