A Ethereum Foundation divulgou uma vulnerabilidade de rede de alta gravidade que poderia ter permitido que atacantes derrubassem remotamente nós de consenso da Ethereum vulneráveis com uma única mensagem criada. Mais significativamente, a falha foi identificada por meio de uma rede coordenada de agentes de segurança com IA, marcando um importante marco na forma como vulnerabilidades na infraestrutura de blockchain são descobertas.
Anunciada em 9 de julho pela equipe de Segurança de Protocolo da Ethereum Foundation, a vulnerabilidade—registrada como CVE-2026-34219—destaca tanto a importância de proteger a camada de rede da Ethereum quanto o crescente papel da inteligência artificial nas pesquisas de segurança de protocolos.
Uma única mensagem de rede poderia causar a queda de um nó
A vulnerabilidade existe no libp2p-gossipsub, o protocolo de mensagens ponto a ponto responsável por distribuir blocos, atestações e outros dados de consenso entre os nós do Ethereum.
De acordo com a divulgação, um peer sem autenticação poderia enviar uma mensagem de controle PRUNE especialmente preparada contendo um valor de backoff próximo ao máximo. No ciclo de heartbeat seguinte, a aritmética Instant + Duration não verificada poderia estourar (overflow), fazendo o nó afetado entrar em pânico e encerrar imediatamente.
Como o ataque não exigia autenticação, não envolvia interação do usuário e não requer quaisquer privilégios especiais, um agente malicioso poderia se reconectar repetidamente e provocar a falha novamente, criando um ataque de negação de serviço de baixo custo contra infraestrutura vulnerável.
O problema foi resolvido no libp2p-gossipsub v0.49.4, e operadores que usam versões anteriores foram orientados a atualizar imediatamente.
O risco se estendeu além do Ethereum
Embora a vulnerabilidade afete diretamente clientes de consenso do Ethereum que dependem da implementação libp2p em Rust, o problema subjacente é mais amplo do que o Ethereum em si.
Bases de dados de segurança incluindo SentinelOne, a National Vulnerability Database (NVD) e a Snyk indicam que qualquer aplicação de produção que use versões vulneráveis do crate Rust libp2p-gossipsub poderia estar exposta.
A NVD atribuiu à CVE-2026-34219 uma pontuação CVSS v3.1 de 8.2 (Alta), refletindo a gravidade de uma falha explorável remotamente que não exige credenciais nem participação do usuário.
Agentes de IA trabalharam juntos em vez de operar sozinhos
Talvez o aspecto mais notável da divulgação seja como a vulnerabilidade foi encontrada.
Nikos Baxevanis, da equipe de Protocolo de Segurança da Ethereum Foundation, explicou que os pesquisadores implantaram múltiplos agentes de IA simultaneamente nos sistemas de software do Ethereum, bibliotecas criptográficas e código do protocolo.
Em vez de depender de um coordenador central, os agentes de IA colaboraram por meio de um repositório Git compartilhado — um fluxo de trabalho inspirado na pesquisa de compiladores baseada em frotas da Anthropic.
Cada agente assumiu responsabilidades especializadas conforme surgiam novas informações. Alguns se concentraram em identificar superfícies de ataque potenciais, outros rastrearam caminhos de execução, geraram exploits de prova de conceito, monitoraram a cobertura de testes ou verificaram independentemente cada problema reportado.
Essa abordagem distribuída permitiu que a equipe explorasse, substancialmente, porções maiores do código-base do Ethereum do que apenas a análise manual tradicional.
A verificação se tornou o passo mais importante
A Ethereum Foundation enfatizou que descobrir potenciais bugs era apenas parte do processo.
Cada candidata a vulnerabilidade precisava atender a um requisito estrito de reprodutibilidade antes de ser aceita. Os pesquisadores exigiam uma prova totalmente auto contida capaz de reproduzir a falha no código de produção real, sem depender de suposições ocultas ou de condições internas de depuração.
Como Baxevanis explicou, o maior desafio não foi gerar candidatos a vulnerabilidade, mas determinar quais achados representavam problemas reais de segurança.
Muitos relatórios gerados por IA se mostraram duplicados, falsos positivos ou condições teóricas que jamais ocorreriam sob o comportamento real de redes. A validação rigorosa por humanos acabou se tornando o fator decisivo para separar descobertas confiáveis de saídas enganosas.
Questões recorrentes sugerem endurecimento contínuo
A mais recente divulgação também segue outra vulnerabilidade de rede recentemente corrigida.
Registros externos de CVE mostram que a CVE-2026-33040, abordada no libp2p-gossipsub v0.49.3, envolvia um mecanismo semelhante de PRUNE/backoff overflow e tinha uma pontuação CVSS de 8.7.
A ocorrência de duas vulnerabilidades consecutivas de alta severidade afetando o mesmo subsistema sugere que desenvolvedores estão fortalecendo sistematicamente o tratamento de backoff do libp2p, em vez de corrigir defeitos isolados.
Para engenheiros de protocolo, esse padrão pode incentivar análises adicionais de segurança da arquitetura das mensagens de controle do gossipsub, à medida que a camada de rede do Ethereum continua evoluindo.
Implicações para o modelo de segurança do Ethereum
A inteligência artificial já se tornou comum na auditoria de contratos inteligentes, mas essa divulgação ilustra seu papel crescente na proteção das camadas inferiores da infraestrutura de blockchain.
O software central de rede, implementações de consenso, bibliotecas criptográficas e componentes de protocolo são significativamente mais complexos do que contratos inteligentes individuais. Aplicar com sucesso análises assistidas por IA a esses sistemas pode melhorar a descoberta de vulnerabilidades, permitindo que pesquisadores humanos foquem em validar e priorizar riscos de segurança reais.
A Ethereum Foundation resumiu essa mudança ao observar que o principal gargalo se afastou de identificar bugs possíveis para estabelecer confiança nos resultados — uma transição que coloca maior importância na revisão de especialistas e em evidências reproduzíveis.
O processo de segurança continua evoluindo
A descoberta da CVE-2026-34219 demonstra tanto a complexidade da infraestrutura moderna de blockchain quanto as ferramentas em mudança usadas para protegê-la.
Embora a vulnerabilidade agora tenha sido corrigida no libp2p-gossipsub v0.49.4, a importância mais ampla está na metodologia por trás de sua descoberta. Sistemas coordenados de IA, apoiados por verificação humana rigorosa, estão se tornando uma parte cada vez mais importante da segurança de protocolos à medida que redes blockchain continuam expandindo em escala e complexidade.
Para o Ethereum, o incidente reflete um esforço contínuo para fortalecer não apenas o próprio software, mas também os processos usados para identificar e eliminar vulnerabilidades críticas antes que possam ser exploradas.
Fontes de dados originais: Equipe de Protocolo de Segurança da Ethereum Foundation, Nikos Baxevanis, National Vulnerability Database (NVD), base de dados de vulnerabilidades da SentinelOne, Advisory da Snyk, CVE-2026-34219, CVE-2026-33040 e informações de lançamento do libp2p-gossipsub.
O post foi publicado inicialmente em CryptosNewss.com
