Vulnerabilidade crítica que ameaçou rede por 2 anos é eliminada de código do Bitcoin

Na terça-feira, 18 de setembro, ocorreu um lançamento não programado do cliente Bitcoin Core, versão 0.16.3, destinado a eliminar uma vulnerabilidade crítica que possibilitava um ataque DOS à rede.

Bitcoin Core 0.16.3 was released: https://t.co/SsbsJsqSTo
Upgrade recommended due to vulnerability fix

— Bitcoin Core Project (@bitcoincoreorg) 18 de setembro de 2018

Como dizem os comentários dos desenvolvedores do Bitcoin Core, a vulnerabilidade foi relatada por um usuário que preferiu permanecer anônimo. A exploração do bug, denominado CVE-2018-1744, permitiu que um invasor interrompesse quase 90% dos nós – apenas 12,5 BTC seriam necessários para realizar o ataque, que é igual ao tamanho da recompensa atualmente recebida pelos mineradores por cada bloco extraído. Integrado ao Bitcoin Core e projetado para acelerar a distribuição de blocos, o mecanismo Fast Relay Bitcoin Relay Engine (FIBER) poderia piorar a situação nesse caso.

A lista de discussão Optech explica que o CVE-2018-17144 apareceu na versão Bitcoin Core 0.14.0, lançada em novembro de 2016, e afetou todas as subsequentes versões até 0.16.2. Sua exploração permitia interromper a rede ao tentar validar um bloco contendo uma transação que tentasse gastar a mesma entrada duas vezes. Tal bloco seria inválido e só poderia ser criado por mineradores dispostos a perder uma recompensa de 12,5 BTC (cerca de US$80 mil na taxa atual).

Operadores de nós são aconselhados a se atualizar para a nova versão do Bitcoin Core ou para a nova versão do BitcoinABC para a rede do Bitcoin Cash. O cliente Bitcoin Unlimited não foi afetado pela vulnerabilidade. O lançamento da correção necessária foi relatado pelos desenvolvedores do Litecoin.

Os desenvolvedores também enfatizaram o fato de que a vulnerabilidade identificada poderia ter consequências muito negativas para a Lightning Network, que ainda está em fase experimental de uma rede para transações rápidas e baratas.

Vale notar que esta vulnerabilidade foi o resultado do chamado fator humano, e é da responsabilidade dos desenvolvedores que aprovaram a relevante mudança do código. Entre eles estavam pessoas como Gregory Maxwell, Wladimir van der Laan e Matt Corallo.

No entanto, como disse Chris Pasia, o desenvolvedor do OpenBazaar não cabe criticar os autores, e sim os “idiotas-minimalistas” que consideram os desenvolvedores do Bitcoin Core quase deuses.

Bugs happen. This is a fact of life. I’m not criticizing them for having a bug. I’m criticizing the idiot minimalists who insist Core developers are God-like individuals and certainly The Best Devs in the World™

— Chris Pacia (@ChrisPacia) 18 de setembro de 2018

Ainda não foram feitas declarações pelos desenvolvedores do Bitcoin Core sobre qualquer análise do incidente ou se um relatório público sobre as causas do incidente será feito e como evitar a recorrência de tais casos no futuro.

Lembramos que anteriormente escrevemos sobre o próximo lançamento do Bitcoin Core 0.17.0.