TL;DR:
- O Bitcoin Core corrigiu silenciosamente a CVE-2024-52911, sua primeira vulnerabilidade de segurança de memória, antes de divulgá-la publicamente esta semana.
- A falha afetou todas as versões de 0.14.0 até a 28.x e permitiu que um minerador causasse a queda remota de nodes com blocos inválidos.
- Cerca de 43% dos nós ativos ainda estariam executando software anterior à versão 29.0, deixando-os expostos.
O Bitcoin Core corrigiu secretamente a primeira vulnerabilidade de segurança de memória na história do projeto, meses antes de divulgá-la publicamente. A falha, catalogada como CVE-2024-52911 e classificada como alta severidade, afetou todas as versões de software entre 0.14.0 e 28.x, criando a possibilidade de um minerador malicioso causar remotamente a interrupção de nodes de terceiros por meio de blocos inválidos especialmente criados.
O bug corresponde a uma vulnerabilidade *use-after-free* no mecanismo de validação de scripts. Durante a validação de bloco, dados pré-calculados armazenados em cache poderiam ser destruídos enquanto uma thread de validação em segundo plano ainda estava lendo-os. Dado o mecanismo subjacente, a exploração não apenas permitia um encerramento abrupto do node, mas também deixava aberta — embora improvável — a possibilidade de execução remota de código durante o estado anormal de memória resultante.
Bitcoin Core: Um patch silencioso que protegeu a rede
Cory Fields, pesquisador da MIT Digital Currency Initiative, descobriu a vulnerabilidade e privadamente a relatou em 2 de novembro de 2024. Quatro dias depois, o desenvolvedor do Bitcoin Core Pieter Wuille implementou uma correção sigilosa, intencionalmente intitulada “Improve parallel script validation error debug logging” para evitar alertar possíveis atacantes. A correção foi incorporada ao repositório em dezembro de 2024 e distribuída com o Bitcoin Core v29.0 em abril de 2025.
A divulgação pública ocorreu apenas após a linha da versão 28.x ter atingido o fim da vida útil em 19 de abril de 2026. O desenvolvedor Niklas Gögge observou que este é o primeiro problema de segurança de memória registrado em aproximadamente dois anos de histórico de avisos de segurança públicos do projeto, e reconheceu a divulgação responsável de Fields.
Por que não houve exploração?
O elemento dissuasivo incorporado no vetor de ataque também merece atenção: qualquer minerador que tentasse explorá-lo precisaria gastar poder de hash real em blocos inválidos sem nenhum recompensa — uma perda garantida que provavelmente explica por que a vulnerabilidade permaneceu inativa na prática.
As regras de consenso do bitcoin não foram afetadas em nenhum momento, pois o bug foi confinado ao tratamento de memória do software do node. No entanto, com base em estimativas do painel de Clark Moody, cerca de 43% dos nodes ativos ainda estariam executando versões anteriores à v29.0 e permaneceriam expostos.