Em 4 de novembro de 2026, comunicamos em privado à equipe de um protocolo em operação uma grave vulnerabilidade de privacidade. Enviamos o hash do relatório às 17:28 UTC e o relatório completo às 17:46 UTC, e a equipe confirmou o recebimento no mesmo dia. SHA-256 do relatório: e236d1a2ee5c7856f92449cc60ddd63b01fcde84d4f9aff1ffc6bf92da670371. Também propusemos uma correção, e a equipe afirma que planeja implementá-la. Seguimos o prazo padrão de 90 dias para divulgação coordenada; portanto, em ou até 2 de fevereiro de 2027, publicaremos uma breve declaração sem detalhes técnicos, independentemente de a vulnerabilidade ter sido corrigida ou não. A equipe receberá o texto primeiro. Não estamos solicitando recompensa e não impusemos nenhuma condição. SHA-256 do modelo da declaração, fixado hoje: 16b9bdd71f47c11bf36bf5e758d5e940408a9c307dbb399e760932692e4d0532. Apenas a linha de status entre colchetes será preenchida, e publicaremos o arquivo do modelo junto com a declaração para que qualquer pessoa possa conferir o hash. O relatório em si permanecerá privado; seu hash destina-se à equipe e a qualquer revisor independente.