Dezesseis pesquisadores de segurança entraram em 390 bases de código aberto de bitcoin e, em pouco mais de um dia, encontraram quase 5.000 problemas. O resultado de um sprint de auditoria da Bitcoin Red Team, um grupo de voluntários que realizou uma das varreduras de segurança mais completas já vistas no ecossistema bitcoin.
Os números são impressionantes: 4.962 descobertas de segurança no total em 390 projetos, registradas em um período de 27,5 horas entre 4 e 5 de agosto de 2026. Desses, 85 foram classificados como críticos e 635 como de alta gravidade. Isso equivale a aproximadamente 2,31 descobertas por pesquisador por hora.
O que desencadeou a auditoria
O sprint foi uma resposta direta às vulnerabilidades recentemente descobertas na carteira de hardware COLDCARD, um dos dispositivos de armazenamento a frio mais confiáveis na cultura de auto-custódia do bitcoin.
O financiamento veio da OpenSats, uma organização sem fins lucrativos que apoia o desenvolvimento de código aberto do bitcoin, que contribuiu com quase US$ 40.000 para apoiar o esforço. O modelo de voluntários e as ferramentas baseadas em IA multiplicaram significativamente o valor de cada dólar.
Como a IA mudou a matemática
A equipe Red Team de bitcoin dependeu fortemente de ferramentas de análise impulsionadas por IA para escanear bases de código em uma velocidade que nenhuma revisão manual poderia igualar. A equipe obteve em média 180 descobertas por hora coletivamente.
A equipe Red supostamente planeja tornar open-source as ferramentas que utilizaram, o que pode estabelecer uma nova referência para como a comunidade de criptomoedas como um todo aborda auditorias de segurança.
Divulgação responsável, não exposição imprudente
A Bitcoin Red Team seguiu um processo rigoroso de divulgação responsável, reproduzindo problemas críticos localmente antes de informar os mantenedores do projeto privadamente.
Antes deste sprint, o grupo já havia realizado varreduras em aproximadamente 150 repositórios, resultando em mais de uma dúzia de divulgações privadas. A auditoria de agosto foi uma escalada drástica tanto em escopo quanto em urgência, impulsionada pelo impacto do COLDCARD.
O que isso significa para os investidores e para o ecossistema como um todo
O ecossistema bitcoin sempre se orgulhou de seu espírito de código aberto. Na prática, a maioria dos projetos não recebe revisão de segurança significativa a menos que sejam suficientemente conhecidos para atrair atenção ou bem financiados o suficiente para pagar por ela.
A existência de vulnerabilidades não significa que fundos tenham sido roubados ou que o bitcoin em si tenha sido comprometido. O protocolo principal do bitcoin não foi o alvo aqui. Os projetos auditados foram o ecossistema ao redor de ferramentas e aplicações que as pessoas usam para interagir com o bitcoin.
Os custos de correção recairão sobre os mantenedores individuais dos projetos, muitos dos quais são voluntários ou pequenas equipes.