Morri de rir: hoje tinha um monte de gente na praça gritando “o Bitcoin tem uma porta dos fundos”. Entrei para conferir e — olha só — a vulnerabilidade era real, mas a fechadura já tinha sido trocada em outubro do ano passado.
O próprio Bitcoin Core acabou de divulgar: CVE-2025-62860. Em certas configurações, nós que usam Tor confundiam o tráfego Tor recebido de fora com uma conexão local própria e o tratavam como “confiável”, contornando as proteções contra spam. Milhares de nós foram afetados. Parece assustador, né?
Mas aí vem a reviravolta: nós com a configuração padrão não foram afetados, nenhuma moeda foi perdida e não houve nenhum caso de ataque. Os três bugs foram corrigidos nas versões 28.3, 29.2 e 30.0, todas lançadas em outubro de 2025. Ou seja: a fechadura foi trocada no ano passado, mas só agora avisaram que a porta não ficava bem fechada.
De um lado, os caça-cliques: “porta dos fundos”, “a privacidade foi comprometida”, “corram!”, como se quisessem que você vendesse agora mesmo. Do outro, os tranquilos: já foi corrigido, transparência é uma coisa boa, qual é o motivo para entrar em pânico?
Estou com o segundo grupo, mas tem um porém: passaram 13 meses entre a correção e a divulgação. Corrigir antes de falar é responsável, mas, durante esses 13 meses, os nós que rodavam versões antigas ficaram expostos sem saber, como se estivessem correndo nus por um ano. Transparência é bom, mas demorar para ser transparente também é um problema.
Então, meu veredito: está tudo bem com as moedas, não deixe as manchetes assustarem você a ponto de sair do mercado; mas, da próxima vez, será que não dá para avisar antes de passar um ano? Os nós são de todos, não o diário do grupo de desenvolvimento.
De que lado você está? Acha que “corrigir e só divulgar um ano depois” é responsável ou que deveriam ter avisado antes?
#BTC
O próprio Bitcoin Core acabou de divulgar: CVE-2025-62860. Em certas configurações, nós que usam Tor confundiam o tráfego Tor recebido de fora com uma conexão local própria e o tratavam como “confiável”, contornando as proteções contra spam. Milhares de nós foram afetados. Parece assustador, né?
Mas aí vem a reviravolta: nós com a configuração padrão não foram afetados, nenhuma moeda foi perdida e não houve nenhum caso de ataque. Os três bugs foram corrigidos nas versões 28.3, 29.2 e 30.0, todas lançadas em outubro de 2025. Ou seja: a fechadura foi trocada no ano passado, mas só agora avisaram que a porta não ficava bem fechada.
De um lado, os caça-cliques: “porta dos fundos”, “a privacidade foi comprometida”, “corram!”, como se quisessem que você vendesse agora mesmo. Do outro, os tranquilos: já foi corrigido, transparência é uma coisa boa, qual é o motivo para entrar em pânico?
Estou com o segundo grupo, mas tem um porém: passaram 13 meses entre a correção e a divulgação. Corrigir antes de falar é responsável, mas, durante esses 13 meses, os nós que rodavam versões antigas ficaram expostos sem saber, como se estivessem correndo nus por um ano. Transparência é bom, mas demorar para ser transparente também é um problema.
Então, meu veredito: está tudo bem com as moedas, não deixe as manchetes assustarem você a ponto de sair do mercado; mas, da próxima vez, será que não dá para avisar antes de passar um ano? Os nós são de todos, não o diário do grupo de desenvolvimento.
De que lado você está? Acha que “corrigir e só divulgar um ano depois” é responsável ou que deveriam ter avisado antes?
#BTC
