Time do bem varre ecossistema Bitcoin com IA e acha 85 falhas críticas — o que aconteceu depois do roubo milionário na Coldcard

Como a ação respondeu ao roubo na Coldcard

A campanha foi uma reação direta ao exploit na carteira física Coldcard em julho de 2026 . Veja o resumo do hack:

• A vulnerabilidade: Um bug de firmware introduzido na versão 4.0.0 da Coldcard (março de 2021) fez o dispositivo ignorar seu gerador de números aleatórios dedicado durante a criação das sementes (seed phrases) . Isso tornou as sementes previsíveis — a segurança caiu de 128 bits para meros 40 bits .
• O ataque: A partir de 30 de julho de 2026, os invasores exploraram a falha para esvaziar milhares de carteiras. A primeira onda atingiu 1.196 endereços em apenas 41 minutos, levando 1.082,65 BTC (cerca de US$ 70 milhões na cotação da época) .
• Perdas totais: Ondas sucessivas levaram o prejuízo a mais de US$ 116 milhões em mais de 5.200 endereços, com algumas estimativas passando dos US$ 130 milhões . Pelo menos uma dúzia de hackers diferentes estiveram envolvidos .
• Resposta da Coinkite: A fabricante pediu que os usuários atualizassem o firmware e movessem os fundos, mas grande parte do estrago já estava feita .

Em reação, o Bitcoin Red Team lançou sua auditoria para encontrar bugs semelhantes em geradores de números aleatórios, práticas criptográficas frágeis e outras falhas sistêmicas antes que novos ataques acontecessem .

Principais descobertas e métodos

Achados

O volume — quase 5.000 relatórios em um dia — criou um enorme problema de triagem para os mantenedores dos projetos . Apenas um em cada cinco achados foi confirmado como reproduzível, mas o grupo argumentou que sinalizar casos limítrofes era justificável diante da gravidade do ataque à Coldcard .

Métodos

• A equipe usou modelos de IA de peso aberto para escanear os códigos em busca de padrões conhecidos de vulnerabilidade, fragilidades criptográficas e erros de lógica .
• Pesquisadores humanos guiavam a IA, validavam os resultados e registravam relatos de divulgação responsável .
• O grupo planeja disponibilizar como open-source sua plataforma de segurança com IA para que a comunidade possa continuar com as varreduras automatizadas .
• O foco foram carteiras, bibliotecas criptográficas e projetos de infraestrutura do Bitcoin — exatamente o tipo de código que, se falho, poderia levar a uma perda na escala da Coldcard .

Por que a OpenAI cortou o acesso do líder no meio do projeto

Rob Hamilton (CEO da AnchorWatch e colíder da campanha) estava inscrito no programa "Trust Cyber" da OpenAI, que dá a pesquisadores de segurança acesso subsidiado à API para pesquisas de vulnerabilidades . Em 8 ou 9 de agosto de 2026, depois que ele já havia integrado o programa ao seu fluxo de trabalho e registrado divulgações válidas, a OpenAI revogou seu acesso sem explicação .

• Hamilton afirmou publicamente que foi "impedido de fazer análises adicionais em um código para o qual já fiz divulgação responsável e recebi confirmação de que havia achados legítimos" .
• A revogação forçou o Bitcoin Red Team a migrar para modelos de IA menos restritivos, incluindo alternativas chinesas de peso aberto — uma mudança amplamente notada e criticada como um revés para a competitividade dos EUA em pesquisa de segurança com IA .
• A OpenAI não detalhou publicamente seus motivos. O FAQ do Programa de Acesso para Pesquisadores diz que os créditos são concedidos a critério da empresa e podem ser retirados, mas nenhuma violação de política específica por parte de Hamilton foi citada .