A Bitcoin Core divulgou tres vulnerabilidades de seguranca identificadas com a ajuda de analise por inteligencia artificial do seu codigo-fonte, o que levou a correcoes e a uma revisao da forma como o projeto gere futuras divulgacoes de falhas.
A mais grave das tres permitia que atacantes remotos fizessem colapsar nos a correr em Windows, macOS ou BSD. Maquinas ligadas podiam transmitir volumes de dados suficientemente grandes para esgotar a memoria do no afetado, forcando-o a sair de funcionamento. Os programadores confirmaram a falha a 23 de outubro e lancaram as respetivas atualizacoes de seguranca a 27 de outubro.
Uma segunda falha permitia que nos ligados simulassem uma versao desatualizada do protocolo e depois bloqueassem comunicacoes posteriores, fazendo com que as mensagens se acumulassem na memoria da maquina visada. Segundo o aviso de seguranca, isto podia aumentar o consumo de memoria em 2 megabytes por cada ligacao recebida e em 5 megabytes por hora por cada ligacao efetuada, degradando gradualmente o desempenho de um no.
A terceira falha dizia respeito ao modo como os dados sao armazenados durante reorganizacoes da blockchain. Os mineiros podiam construir blocos especialmente concebidos que provocavam um transbordo dos ficheiros relevantes. Em sistemas Windows e em arquiteturas de 32 bits, isto podia levar a falha total do no, e o aviso referiu que o problema nao podia ser resolvido apenas reiniciando o software. Determinados sistemas de 32 bits e nos que dependem de suportes de armazenamento FAT32 mais antigos permanecem vulneraveis mesmo apos a atualizacao.
Estas duas ultimas falhas foram identificadas atraves de uma analise automatizada por IA do codigo da Bitcoin Core, em vez de atraves de uma revisao manual convencional. Todos os resultados desse processo foram posteriormente verificados por um programador humano antes de serem confirmados e corrigidos.
Uma politica de divulgacao mais rapida
As divulgacoes seguem-se a uma alteracao a politica de seguranca da Bitcoin Core datada de 22 de outubro. Anteriormente, os programadores por vezes guardavam vulnerabilidades de gravidade media durante ate um ano, dando aos operadores de nos tempo para atualizar antes de os detalhes tecnicos se tornarem publicos. Essa abordagem esta agora a ser revista: uma vez que os modelos de linguagem de grande escala conseguem localizar este tipo de falha mais facilmente do que antes, os programadores afirmam que as vulnerabilidades de seguranca facilmente detetaveis serao corrigidas e documentadas publicamente com maior rapidez no futuro.
O projeto ja sinalizou que vem ai mais divulgacoes. Os programadores anunciaram planos para divulgar mais tres vulnerabilidades de gravidade media e alta nas proximas duas semanas. Essas falhas, segundo o projeto, ja foram resolvidas na Bitcoin Core 30.0, o que significa que os operadores que utilizam a versao atual nao estao expostos a elas.
O episodio ilustra uma mudanca mais ampla que afeta os projetos de infraestrutura de codigo aberto: a analise de codigo assistida por IA pode revelar falhas latentes mais depressa do que as auditorias tradicionais, mas tambem reduz a janela temporal em que os responsaveis pela manutencao podem corrigir discretamente os problemas antes de estes se tornarem tambem mais faceis de encontrar por atacantes. Para uma rede cujo software sustenta a custodia e a transferencia de bitcoin em todo o mundo, o compromisso entre transparencia e exposicao parece estar a ser resolvido, por agora, pelos programadores da Bitcoin Core a favor da rapidez.
