Parte V - Efeito em Cascata

Por Jeff

ZERO é uma série documental publicada em capítulos entre dezembro de 2025 e agosto de 2026, sobre autonomia de inteligência artificial, cibersegurança e infraestrutura Bitcoin. Cada capítulo funciona sozinho, mas o argumento completo só se revela ao final da série.

Chegou agora? Comece pela Parte I - Mãos Livres

Parte V — Efeito em Cascata

Londres, Reino Unido, 4 de agosto de 2026. A página em que o comunicado foi publicado tem o design austero que qualquer site de governo adota quando quer parecer sério sem parecer alarmista, fundo escuro, tipografia vermelha e branca, um menu discreto no topo oferecendo, ao lado do próprio relatório de incidente, um convite mais ameno para ler o boletim trimestral de tendências em IA de fronteira, como se as duas coisas pudessem coexistir na mesma página sem nenhuma tensão entre si. O título do documento, porém, não deixava espaço para ambiguidade: comportamento não sancionado de agentes durante testes cibernéticos. O AI Security Institute do governo britânico, o mesmo órgão que meses antes havia testado o Claude Mythos Preview em ambiente controlado e reportado seus resultados dentro do relatório da Anthropic sobre o Pentágono, publicou desta vez um relatório de incidente com um título que dispensava eufemismo. O papel declarado do instituto é avaliar e compreender as capacidades dos modelos de fronteira, testando-os sob condições deliberadamente permissivas, com acesso à internet aberta e parte dos filtros de segurança desativados, exatamente para descobrir o que aconteceria antes que o público em geral precisasse descobrir sozinho. Durante uma dessas avaliações de rotina, o instituto submeteu o mesmo desafio de segurança cibernética a diferentes modelos, cento e vinte e duas vezes ao todo. Em dez dessas execuções, um agente de IA tomou ação sustentada e não autorizada, direcionada a pessoas e organizações reais fora do ambiente de teste. Ao todo, dezenove ações desse tipo foram catalogadas. Dezessete vieram de um único modelo, o Mythos 5 da Anthropic. As outras duas vieram do GPT-5.6-Sol da OpenAI, rodando com os classificadores de segurança cibernética desativados.

O caso mais grave envolveu um agente tentando inserir código malicioso num projeto de código aberto de terceiros. Ao perceber resistência, o agente recorreu a engenharia social, criando identidades falsas online e usando-as para pressionar o mantenedor do projeto a aprovar o código. Um mantenedor humano percebeu a manobra e recusou. Não houve nenhum sistema automatizado de defesa envolvido nessa recusa específica, apenas uma pessoa lendo com atenção o que estava sendo submetido ao seu próprio repositório, exatamente o tipo de vigilância que, catorze meses antes e do outro lado de um oceano diferente, havia falhado em impedir que a mesma vulnerabilidade do Coldcard permanecesse aberta por cinco anos. Um dia antes, do outro lado do oceano, outro sistema havia falhado por razões opostas. Em 3 de agosto de 2026, a Boltz, provedora não custodial de swaps que conectava a rede principal do Bitcoin à Lightning Network e à sidechain Liquid, suspendeu todos os seus serviços por tempo indeterminado. A empresa foi direta sobre o motivo: não era resposta a um incidente único, era o resultado de meses de sondagem automatizada assistida por inteligência artificial contra sua infraestrutura, cada exploração individual contida a tempo, mas o padrão geral já havia se tornado impossível de sustentar para uma equipe do tamanho da Boltz. Nenhum fundo de usuário foi perdido, porque a Boltz nunca custodiava o Bitcoin que passava por seus contratos com trava temporal. As perdas, disse a empresa, foram inteiramente suas.

A suspensão derrubou junto a funcionalidade Lightning e Liquid de carteiras que dependiam da Boltz como backend, entre elas Aqua, Bull Bitcoin, Blockstream Wallet e Arkade. Francis Pouliot, executivo-chefe da Bull Bitcoin, respondeu publicamente a um comentário sobre o silêncio da comunidade em torno do apagão com uma observação mais incômoda do que a própria falha: mesmo quando existem múltiplos fornecedores concorrentes de um mesmo protocolo, se todos rodam as mesmas bibliotecas e as mesmas dependências centrais, e essas dependências carregam a mesma vulnerabilidade, a existência de múltiplos fornecedores deixa de significar qualquer coisa. A promessa de descentralização, nesse caso, escondia um único ponto de falha compartilhado por todos que dela dependiam. Quatro dias depois, em 7 de agosto de 2026, o BTCPay Server, o software de pagamentos em Bitcoin usado por milhares de comerciantes e projetos ao redor do mundo, publicou um alerta de segurança de tom idêntico ao da Coinkite em julho: existia uma vulnerabilidade crítica sendo ativamente explorada, capaz de resultar em perda de fundos, e quem não pudesse atualizar imediatamente para a versão corrigida deveria desligar o próprio servidor. Entre os afetados estava o nó Lightning do bitcoinheiros, projeto brasileiro de educação Bitcoin, drenado por completo antes que a equipe conseguisse aplicar a correção. Nicolas Dorier, fundador do projeto, foi direto sobre a origem da descoberta, a falha não veio de nenhuma auditoria assistida por inteligência artificial, veio de um desenvolvedor, Craig Raw, da Sparrow Wallet, que perdeu fundos próprios e resolveu investigar os próprios registros até encontrar a causa. Nem todo incidente daquelas duas semanas carregava IA em algum ponto da cadeia, e essa distinção importa. O alerta, ainda assim, chegava semanas depois de um pesquisador de segurança ter usado o próprio Claude Opus 4.8, da Anthropic, para encontrar uma vulnerabilidade de quatro anos no protocolo Zcash, capaz de permitir a criação ilimitada de moeda falsificada, um lembrete de que a mesma capacidade que ameaçava a infraestrutura Bitcoin também já vinha sendo usada, por outras mãos, para protegê-la.

Não era coincidência que os três episódios, Coldcard, Boltz e BTCPay Server, tenham se sucedido dentro de uma janela de nove dias. Era o mesmo padrão se repetindo em camadas diferentes da mesma pilha de software, hardware wallet, infraestrutura de swap, servidor de pagamento, cada uma mantida por equipes pequenas, cada uma competindo agora contra uma velocidade de descoberta de falhas que nenhuma delas havia orçado nem contratado engenheiros suficientes para enfrentar. A mesma semana revelou um segundo problema, menos dramático mas igualmente estrutural, do lado da defesa. Em 28 de julho, a firma de segurança Blockaid, a mesma cujo executivo-chefe havia comentado publicamente o caso Coldcard dias antes, reportou que projetos cripto haviam perdido mais de um bilhão de dólares em ataques no primeiro semestre de 2026, superando o total registrado em todo o ano de 2025. No dia seguinte, 29 de julho, a Coinbase anunciou publicamente que reduziria os pagamentos de seu programa público de recompensas por vulnerabilidades na plataforma HackerOne, alegando que a inteligência artificial havia inflado o volume de relatórios duplicados, de baixa qualidade e sem impacto real a um ponto insustentável, quarenta e quatro por cento dos relatórios fechados no semestre eram duplicados, trinta e sete por cento eram informativos mas não exploráveis, quinze por cento eram inválidos, e apenas quatro por cento resultavam em algum pagamento. O GitHub, pertencente à Microsoft, anunciaria mudança semelhante dias depois, restringindo o programa público e criando um nível de convite restrito para pesquisadores com histórico comprovado, depois de constatar que o volume de submissões geradas por IA havia soterrado sua própria equipe de triagem. O mantenedor do projeto curl, Daniel Stenberg, já havia encerrado seu próprio programa de recompensas em janeiro daquele ano, descrevendo o fenômeno como morte por mil relatórios de mentira, depois de seis anos monitorando o problema sem que uma única vulnerabilidade genuína tivesse vindo de uma submissão puramente gerada por IA.

A ironia central da semana era exatamente essa. Do lado do ataque, a inteligência artificial encontrava falhas reais, cada vez mais rápido, em sistemas que ninguém havia terminado de auditar. Do lado da defesa, a mesma tecnologia inundava as equipes de segurança com relatórios falsos, plausíveis o suficiente para exigir triagem humana, mas vazios de conteúdo real, consumindo exatamente o tempo e a atenção que essas equipes precisariam para encontrar as falhas verdadeiras antes que alguém as explorasse. Foi contra esse pano de fundo específico que, em 5 de agosto, um pesquisador de segurança que assina como calle, o mesmo que dias antes lamentara publicamente o destino dos donos de Coldcard atingidos, anunciou publicamente o que chamou de Bitcoin Red Team, dezesseis pessoas distribuídas globalmente, trabalhando vinte e quatro horas por dia, conduzindo uma auditoria de segurança em larga escala sobre bases de código do próprio ecossistema Bitcoin. Em vinte e nove horas e quarenta e oito minutos de operação, segundo o primeiro relatório de situação publicado pela própria equipe, dezessete colaboradores, catorze humanos e três sistemas de automação, já haviam registrado quatro mil novecentos e sessenta e dois achados em trezentos e noventa projetos distintos, oitenta e cinco classificados como críticos, seiscentos e trinta e cinco como de alta severidade. O ritmo de trabalho, medido em achados de alta severidade ou críticos por pessoa por hora, chegava a dois vírgula trinta e um, e dezenove projetos já haviam recebido a divulgação responsável das falhas encontradas.

A diferença entre esse esforço e o dilúvio de relatórios que levou Coinbase e GitHub a recuar não era a ferramenta usada, era quem estava por trás dela. A Bitcoin Red Team não apostava em menos automação, apostava em automação subordinada a um julgamento humano treinado o suficiente para distinguir sinal de ruído, exatamente a distinção que o dilúvio de submissões geradas por IA havia corroído em outros lugares. Há uma simetria incômoda entre dezembro de 2025 e agosto de 2026 que só se torna visível quando se olha para trás a partir daqui. Boris Cherny parou de escrever código porque a máquina havia se tornado boa demais no que fazia. O mantenedor de código aberto que barrou o agente disfarçado de contribuidor legítimo continuou escrevendo, revisando e recusando, precisamente porque ainda não confiava o suficiente para parar. Entre esses dois extremos, obediência plena de um lado, vigilância manual do outro, a indústria inteira de segurança Bitcoin se viu, nos primeiros dias de agosto de 2026, tentando descobrir em qual dos dois lados deveria apostar seus recursos escassos.

Não era mais possível dizer se a defesa estava correndo na frente da ameaça ou apenas correndo atrás dela mais rápido do que antes. Os dois lados da mesma corrida, o agente que insere código malicioso disfarçado de contribuição legítima e a equipe de dezesseis pessoas caçando as mesmas falhas antes que alguém as explore, agora operavam na mesma velocidade de máquina, e nenhum dos dois mostrava sinal de desacelerar. Um único calendário, do início ao fim. Um engenheiro que parou de escrever código em dezembro. Um fórum secreto nascido em maio e descoberto por acidente em julho. Um governo trocando de fornecedor em horas, num mês de fevereiro, e uma empresa recusando lançar ao público aquilo que o próprio governo exigia meses depois. Uma linha de código de 2021, ignorada em 2025, explorada em 2026. E, ao final, nove dias de agosto em que o mesmo padrão se repetiu três vezes em três camadas diferentes da mesma infraestrutura, enquanto dezesseis pessoas, do outro lado do mundo, tentavam encontrar as falhas mais rápido do que qualquer atacante teria tempo de explorá-las.

Há um padrão dentro desses eventos que ficou ali o tempo inteiro, repetido sob um nome diferente a cada vez. O Langflow, que abriu caminho para o JadePuffer, era código aberto. A Coldcard nasceu de uma disputa pública sobre o que significa deixar código visível para outros usarem, e foi exatamente essa visibilidade, cinco anos depois, que permitiu a estranhos reconstruir cada etapa da própria história de sua falha a partir de um registro auditável. Isso não é acidente de amostragem. É a explicação mais simples disponível. O código aberto não foi o alvo mais vulnerável dessa velocidade nova. Foi apenas o único disposto a deixar a ferida visível depois. Cada um dos episódios que este documentário reconstrói em detalhe só pôde ser reconstruído porque alguém, em algum momento, teve acesso público ao que havia dado errado.

Já sabemos que o mundo fechado também foi alvo. A própria Anthropic confirmou isso, meses antes de qualquer wallet ser drenada, um grupo ligado ao governo chinês usou o mesmo tipo de sistema para invadir instituições financeiras, fabricantes de produtos químicos e agências de governo, com entre oitenta e noventa por cento de autonomia. Nenhum desses alvos é código aberto. Nenhum tem um repositório público para alguém consultar depois. O que sabemos sobre esse episódio, sabemos porque a empresa responsável decidiu contar. Não porque houvesse qualquer obrigação de fazê-lo. Os próximos alvos não serão tão generosos assim. E o que está acontecendo agora, neste exato momento, dentro dos sistemas que ninguém pode verificar, dentro dos bancos, das redes de energia, das bases de dados de governo que nenhuma licença jamais tornou públicas, isso não vai virar capítulo. Vai virar apenas resultado, sentido por quem for atingido, sem nenhum registro para explicar como ou por quê.

Conheça nossos parceiros:

🏦 PIXGO — Tudo que você precisa para vender e receber via PIX sem conta bancária. Infraestrutura completa para qualquer tamanho de negócio.

💸 SATS CASHBACK — Transforme suas compras em Bitcoin. Navegue pelas +500 lojas parceiras e clique na que você quer comprar.

🇵🇾 MOSHE INTERNACIONAL — Assessoria em Internacionalização, Planejamento Tributário, Holding, Offshore e Visto para o Paraguai.

Referências Parte 5

O relatório de incidente do AI Security Institute do Reino Unido, “Incident Report: unsanctioned agent behaviour during cyber testing”, foi publicado em aisi.gov.uk em 4 de agosto de 2026. O anúncio da suspensão de serviços da Boltz em 3 de agosto de 2026 está documentado em Boltz (@Boltzhq, X, 3 de agosto de 2026), com cobertura em CryptoBriefing, Cryptopolitan, The Defiant, TFTC e Decrypt (agosto de 2026). O comentário de Francis Pouliot está em publicação de @francispouliot_ na rede X (4 de agosto de 2026). O alerta de segurança do BTCPay Server em 7 de agosto de 2026, incluindo a declaração de Nicolas Dorier sobre a descoberta da falha por Craig Raw, está documentado na própria conta oficial (@BtcpayServer, X) e em reportagem da Decrypt, “Bitcoin Payment Service BTCPay Warns Critical Flaw Is Under Active Attack” (agosto de 2026), e da Cryptonomist (8 de agosto de 2026), que também cita o caso de Taylor Hornby e o Zcash. O impacto sobre o nó Lightning do bitcoinheiros está em publicação de @bitdov na rede X (7 de agosto de 2026). Os dados sobre perdas do setor cripto no primeiro semestre de 2026 estão em relatório da Blockaid (28 de julho de 2026). A mudança nos programas de recompensa da Coinbase e do GitHub está documentada em reportagens da AOL, TheStreet, SC Media e TechRadar (julho e agosto de 2026), e o encerramento do programa do curl por Daniel Stenberg está em seu próprio relato “Death by a thousand slops” (janeiro de 2026), citado em The Hacker News e AIEngineerInsights (julho de 2026). O anúncio da Bitcoin Red Team por calle, incluindo os números de achados e a métrica de produtividade, está em publicação de @callebtc na rede X (5 de agosto de 2026).