web3: O time Red de bitcoin registrou 7958 problemas após escanear com Kimi K3

O ecossistema open source do Bitcoin está entrando em ciclos de auditoria de segurança mais rápidos. A equipe Bitcoin Red Team informou que, após revisar 501 projetos durante cerca de 108 horas, foram registrados um total de 7.958 problemas, dos quais 1.280 foram classificados como de alto risco ou gravidade severa. No entanto, esses números não correspondem necessariamente a vulnerabilidades confirmadas e exploráveis; muitos dos resultados ainda precisam ser reproduzidos e verificados por mantenedores e pesquisadores.

Alguns resultados já foram reproduzidos e reportados

De acordo com os dados divulgados, cerca de 24,7% dos problemas já passaram por validação reproduzível, e 29,4% foram submetidos aos mantenedores dos projetos. O desenvolvedor pseudônimo Calle, participante da ação, afirmou que a equipe já concluiu uma varredura básica em praticamente todo o ecossistema open source do Bitcoin, de modo que vulnerabilidades mais fáceis de serem identificadas já foram amplamente analisadas.

A principal ferramenta desta operação foi o Kimi K3 da Moonshot AI. Calle acredita que modelos avançados já conseguem revisar rapidamente códigos open source acumulados ao longo de anos, fazendo com que softwares mais antigos estejam sob uma análise de segurança mais rigorosa. No entanto, o texto também enfatiza que isso não significa que o Bitcoin Core ou todos os projetos de Bitcoin foram comprometidos.

Kimi K3 utilizado em auditoria de código em larga escala

Testes independentes mostram que o Kimi K3 possui certa capacidade em tarefas de cibersegurança. Uma avaliação conjunta do UK AI Security Institute e do CAISI dos Estados Unidos relatou que esse modelo teve desempenho superior ao GLM-5.2 em testes de desenvolvimento de exploits, mas ainda fica atrás dos modelos americanos proprietários mais avançados. No ExploitBench, o Kimi K3 obteve uma pontuação de 32%, sem executar código arbitrário em nenhuma das 41 amostras testadas.

O Bitcoin Red Team já havia identificado anteriormente 4.962 potenciais problemas em 390 projetos de Bitcoin, dos quais 720 foram classificados na época como de alto risco ou gravidade severa. As estatísticas mais recentes apontam para uma ampliação significativa no escopo e no número de problemas detectados em relação à primeira rodada.

BTCPay Server já corrigiu uma vulnerabilidade crítica

Esta operação não se limitou apenas a varreduras automáticas. O BTCPay Server confirmou em nota no GitHub oficial que corrigiu uma vulnerabilidade crítica com base em relatórios do pesquisador do Bitcoin Red Team Bruno Garcia, Ben Carman e pesquisadores independentes. A versão 2.4.2 solucionou um problema de bypass na autenticação de dois fatores que afetava a Greenfield Basic Authentication, e essa vulnerabilidade já havia sido explorada.

O BTCPay Server também afirmou que atacantes conseguiram obter credenciais LND admin macaroon em implantações afetadas, utilizando isso para acessar as carteiras Lightning Network conectadas. A equipe do projeto informou que ainda está analisando relatórios adicionais enviados pelo Bitcoin Red Team, Project Loupe, Magic Grants e pesquisadores independentes, além de reforçar os processos de varredura e auditoria.

Essas correções indicam que parte dos riscos apontados nos relatórios do Red Team já foi confirmada e resolvida pelos mantenedores. No entanto, isso não significa que todos os 7.958 registros sejam válidos. Auditorias assistidas por IA ainda podem gerar falsos positivos, relatórios duplicados ou ajustes de classificação de risco após avaliação manual.

A velocidade de resposta dos mantenedores pode ganhar ainda mais destaque

Calle acredita que, à medida que a IA reduz significativamente o custo de descoberta e teste de vulnerabilidades, projetos que permanecem sem manutenção durante muito tempo precisam ser vistos com mais cautela. A velocidade de resposta dos mantenedores aos relatórios de vulnerabilidade pode se tornar um reflexo cada vez mais direto da saúde do projeto. No futuro, os mantenedores talvez precisem operar seus próprios fluxos contínuos de auditoria com IA, em vez de depender apenas de análises externas ocasionais.

O ecossistema do Bitcoin também caminha nessa direção. A OpenSats já lançou um canal rápido de financiamento para o Red Team, parcialmente destinado a subsidiar os custos de LLM para pesquisadores. Mais de 40 empresas de Bitcoin e ativos digitais solicitaram que os principais laboratórios de IA forneçam acesso controlado aos modelos mais avançados para auditores open source qualificados, incluindo ambientes seguros, recursos computacionais adequados e canais diretos de comunicação com equipes de segurança em IA.

Para os usuários comuns, o risco mais direto ainda recai sobre carteiras, infraestrutura de Lightning Network, softwares de pagamento e bases de código antigas, e não sobre o próprio protocolo de consenso do Bitcoin.