A segurança de parte da infraestrutura que mantém a rede Bitcoin distribuída passou por uma atualização importante em 28 de outubro de 2026. O projeto Bitcoin Core publicou correções para duas vulnerabilidades capazes de provocar crescimento não limitado do uso de memória em determinados nós. Os problemas foram classificados como de severidade média e receberam correções nas versões 29.5, 30.4 e 31.2. A versão 32.1 também foi liberada com os mesmos reparos.
O caso chama atenção porque os efeitos não estão relacionados a uma mudança nas regras de emissão do Bitcoin ou a uma alteração no consenso da rede. O foco está na camada de software responsável por conectar os participantes, receber dados, retransmitir informações e validar a atividade do protocolo. Para operadores de nós, empresas de infraestrutura e desenvolvedores, o episódio reforça que a estabilidade da rede depende tanto dos mecanismos criptográficos quanto da manutenção contínua das implementações utilizadas.
Primeira falha explorava pares de rede pausados
De acordo com o aviso de segurança do Bitcoin Core sobre a CVE-2026-117349, o software mantém anúncios em fila para os pares conectados, inclusive quando uma conexão é pausada por estar lendo os dados lentamente. O comportamento normalmente funciona como um mecanismo de controle de fluxo, mas havia uma exceção envolvendo pares antigos que não ofereciam suporte ao BIP31.
Esses pares poderiam permanecer pausados indefinidamente, permitindo que a fila de mensagens continuasse crescendo. Um participante malicioso poderia simular esse comportamento e atrasar de forma estratégica a leitura dos dados enviados pelo nó. Segundo o projeto, o consumo poderia aumentar em até 2 megabytes por hora para cada par de entrada e 5 megabytes por hora para cada par de saída, criando uma pressão gradual sobre a memória disponível.
A vulnerabilidade afetava principalmente nós que retransmitem anúncios de transações. O aviso informa que configurações executadas com a opção -blocksonly são muito menos impactadas, porque os anúncios de transações representam a maior parte das mensagens que poderiam ficar acumuladas. Ainda assim, o problema foi corrigido nas versões de manutenção destinadas às linhas 29.x, 30.x, 31.x e 32.x.
Problema de conexão atingia Windows, macOS e BSD
A segunda vulnerabilidade, identificada como CVE-2026-117350, tinha alcance diferente. Conforme o comunicado do Bitcoin Core sobre o processamento de dados TCP urgentes, a falha estava presente no caminho de código usado para monitorar conexões em plataformas que não utilizam Linux.
Em sistemas Linux, o Bitcoin Core utiliza o mecanismo poll() para acompanhar eventos de rede. Em outras plataformas, o programa usa uma implementação baseada em select(). Nessa segunda rota, dados TCP urgentes, também chamados de dados fora de banda, poderiam provocar uma nova leitura mesmo quando o recebimento de informações já havia sido temporariamente pausado.
Na prática, um par malicioso poderia explorar esse comportamento para burlar o limite de dados processados por conexão e fazer a fila crescer sem controle. O projeto afirma que a situação poderia levar um nó a ficar sem memória e interromper sua operação. A falha atingia nós executados em Windows, macOS e sistemas BSD, enquanto usuários de Linux não eram afetados por esse problema específico.
Atualizações são de manutenção, não mudança de consenso
A publicação das correções ocorreu por meio de versões de manutenção. O ciclo de vida oficial do Bitcoin Core explica que esses lançamentos são voltados à correção de bugs, incluindo problemas de segurança, sem introduzir normalmente grandes funcionalidades novas. Esse modelo permite aplicar o mesmo reparo em diferentes linhas do software e reduzir o tamanho das alterações necessárias para a atualização.
A página de lançamento do Bitcoin Core 31.2 registra que a versão reúne correções de bugs, melhorias de desempenho e atualizações de tradução. Entre as mudanças técnicas estão justamente os ajustes relacionados ao tratamento de pares pausados e ao monitoramento de eventos excepcionais em conexões de rede.
O projeto informou que os problemas foram identificados por análises automatizadas e posteriormente validados pela equipe de segurança. A divulgação pública ocorreu em 28 de outubro de 2026, depois que os reparos foram incorporados às linhas mantidas. Para quem administra um nó, o principal efeito esperado da atualização é reduzir o risco de indisponibilidade provocado pelo esgotamento de memória, sem alterar o funcionamento monetário do Bitcoin.
