Na semana passada, soube-se que a IA havia começado a sondar toda a pilha do Bitcoin. Nesta semana, os danos foram confirmados: o BTCPay Server revelou que a vulnerabilidade explorada resultou em perdas financeiras reais; a rede Lightning de Cuba, que prioriza a privacidade, foi desativada por tempo indeterminado devido a ataques contínuos; e os próprios dados de uma equipe vermelha voluntária mostraram que a pilha de código aberto está mais exposta do que se supunha. E, mesmo assim, a camada de pagamentos continuou funcionando — a Wallet of Satoshi passou a oferecer autocustódia, o Blink adicionou o recebimento sem custódia ao seu plug-in BTCPay e as compras diárias em sats se expandiram por toda a África. A segurança é agora uma disciplina permanente, na velocidade das máquinas, e esta foi a semana em que isso se tornou inegável.
A vulnerabilidade era real, e a resposta agora é definitiva: o BTCPay Server (@BtcpayServer) confirmou que uma vulnerabilidade crítica — presente em todas as versões anteriores — foi ativamente explorada e que fundos foram roubados. A falha permitia que um invasor não autenticado obtivesse as credenciais .macaroon do LND e transferisse fundos; ela é específica para implantações do LND (carteiras na cadeia e carteiras ativas não são afetadas). Os operadores devem atualizar imediatamente para o BTCPay 2.4.2 e o LND 0.21.1. Desde então, o BTCPay lançou a versão candidata v2.4.3-rc4, que reforça a segurança — dando crédito à Bitcoin Red Team, ao ProjectLoupe e à MagicGrants — e afirma que o trabalho de segurança agora tem prioridade sobre novos recursos. A lição da semana passada continua válida: hospede você mesmo, aplique patches rapidamente e mantenha os fundos excedentes em armazenamento frio.
Essa mesma pressão levou um canal a ser totalmente desativado. O lnp2pBot de Cuba, uma plataforma de câmbio P2P Lightning sem custódia, suspendeu todas as atividades por tempo indeterminado após meses de trabalho de segurança e, segundo seus operadores, devido à falta de recursos para continuar enfrentando atacantes assistidos por IA. Fundamentalmente, eles afirmaram que os pagamentos pendentes seriam resolvidos e as perdas absorvidas, para que nenhum usuário ficasse prejudicado. Não se tratou de uma proibição governamental — foi um desgaste. Cuba_BTC (@Cuba_BTC) afirmou que o serviço havia permitido que centenas de famílias enviassem ajuda direta a outras pessoas para suprir necessidades básicas, incluindo medicamentos, sem precisar fornecer dados pessoais. Quando uma ferramenta de privacidade tão útil pode ser desgastada por ataques e custos, a resiliência e o financiamento tornam-se questões centrais para a adoção, e não meras notas de rodapé.
Em destaque: A carteira de Satoshi coloca o Lightning POS sob pressão para migrar
Uma das carteiras mais utilizadas da Lightning está mudando sua natureza. A Wallet of Satoshi (@walletofsatoshi) anunciou uma carteira reformulada e de custódia própria — os usuários mantêm suas próprias chaves, e a WoS afirma que não pode mais acessar, movimentar ou congelar fundos. A antiga carteira de custódia está sendo descontinuada em etapas regionais: a criação de novas faturas já está desativada nos EUA, na UE, na Austrália e na Nova Zelândia, com o restante do mundo previsto para o final de setembro.
Para os comerciantes, isso é um prazo, não um detalhe. Os pagamentos pelo WoS Point of Sale serão interrompidos quando cada região fizer a transição (no final de setembro para a maior parte do mundo), embora a carteira antiga ainda possa enviar saldos até 30 de junho de 2027. O novo modelo coloca uma frase de recuperação de 12 palavras nas mãos do usuário — e é por isso que a Blink (@blinkbtc) lembrou a todos que a frase de backup é a única informação capaz de esvaziar uma carteira e nunca deve ser digitada em nenhum site ou janela de “suporte”. A autocustódia é o caminho certo; a janela de migração é o trabalho a ser feito.
1) Adoção por comerciantes e empresas
Por trás das manchetes sobre segurança, os gastos diários com satélites continuaram transformando pedidos em faturas.
- Pequenos gastos, recibos reais: uma compra no restaurante fast-food T-Junction, em Randfontein, foi realizada via Lightning usando um endereço Blink; em Calabar, o almoço foi pago via Lightning no Chef Green Signature; em Livingstone, foram comprados produtos com Bitcoin na Andrews Grocery e no City Market. O traço comum é um endereço Blink Lightning aliado a uma listagem no BTC Map — e a lista cada vez maior de setores (fast food, mantimentos, produtos agrícolas, cuidados pessoais) é o verdadeiro sinal, mesmo que nenhuma dessas postagens revele os valores em satoshis.
- República Dominicana — pagamento de contas de serviços domésticos: a Bitcoin Dominicana (@btcdominicana) informa que os usuários agora podem pagar contas de luz, água, internet, telefone e recargas a partir de uma carteira digital, enquanto a plataforma realiza o pagamento aos prestadores de serviços em pesos dominicanos — citando a EDENORTE, a EDESUR, a CAASD, a INAPA, a Claro e outras empresas. Trata-se de um anúncio de disponibilidade (o guia contém um link de afiliado), e não de uma métrica de uso divulgada; no entanto, uma categoria recorrente de contas domésticas é exatamente o tipo de uso repetitivo que as listas de aceitação, por si só, não conseguem comprovar.
- Locais citados, ressalvas sinceras: vários registros do BTC Map desta semana eram mais antigos do que suas publicações ou apresentavam discrepâncias nos nomes — um lembrete de que o diretório é um ponto de partida, não uma prova de aceitação atual. Sinalizamos aqueles que não podemos confirmar de forma independente, em vez de contabilizá-los como novas conquistas.
2) Infraestrutura de pagamento
A parte defensiva da semana é tão importante quanto a inovação — e, ao mesmo tempo, ficou mais fácil hospedar Bitcoin por conta própria.
- O Blink adiciona o recebimento de BTCPay sem custódia: o plugin BTCPay do Blink (@blinkbtc) (v1.1.0) agora permite que um comerciante conecte um endereço Blink Lightning sem custódia, sem a necessidade de um nó ou chave de API, e receba pagamentos na mainnet. Trata-se de uma funcionalidade exclusivamente para recebimento — reembolsos, pagamentos e outros “Pull Payments” de saída não são suportados, e a liquidação é detectada por polling (geralmente em segundos, ocasionalmente em cerca de um minuto). É necessário o BTCPay 2.4.2 ou superior, o que se alinha à atualização de segurança obrigatória desta semana.
- A pilha se autoanalisou: Calle (@callebtc) relatou que a equipe voluntária Bitcoin Red Team — composta por 25 desenvolvedores ao longo de 108 horas — analisou 501 projetos e identificou 7.958 falhas, incluindo 1.280 classificadas como graves ou críticas, sendo que cerca de 29% já foram comunicadas aos projetos afetados. Ele também alertou que o código da Lightning parecia “mais problemático do que a média”. Essas são descobertas defensivas, não falhas de pagamento — mas elas quantificam exatamente por que o BTCPay, o Boltz e outros passaram o mês reforçando a segurança.
- Continuidade sob pressão: a Machankura (@Machankura8333) desativou temporariamente algumas rotas de recebimento enquanto aplicava uma correção e, em seguida, restabeleceu os pagamentos bidirecionais; provedores de serviço do BTCPay, como o LunaNode, restringiram o acesso até que as instâncias fossem atualizadas. Não se trata de marcos de crescimento — mas é uma prova de que os operadores estão tratando a disciplina na aplicação de correções como uma condição para permanecerem online.
3) Economia circular e evidências concretas
Os ciclos de adoção mais evidentes ainda vêm de comunidades que ganham e gastam no mesmo lugar.
- Mossel Bay — o primeiro pagamento em um restaurante: Bitcoin Ekasi (@BitcoinEkasi) descreveu um cliente pagando no Blaize & Barrel usando um servidor BTCPay auto-hospedado e um cartão Bolt — o mesmo modelo de “auto-hospedagem” defendido pela Security Week, funcionando no âmbito de uma única conta de restaurante.
- Quênia — ganhe e depois gaste: a Bitcoin Chama (@Bitcoinchama) continuou recompensando seus membros em sats e adicionando pontos de aceitação do Masimba, prolongando esse ciclo de “ganhar e gastar” semana após semana.
- A educação continua alimentando o funil: desde o bloco educacional do Bitcoin Karoo em De Rust até as oficinas de integração de novos comerciantes, o funil que vai do aprendizado ao consumo permanece cheio — o trabalho de base, sem glamour, que transforma uma inscrição em um hábito.
4) Regulamentação e políticas
A África do Sul deu o sinal político mais claro da semana — e gerou a primeira reação organizada do setor contra ele.
- África do Sul — um projeto de estrutura de relatórios transfronteiriços: Um projeto do Tesouro Nacional e do SARB (publicado em 3 de agosto, com prazo para comentários até 30 de setembro) exigiria que os pagamentos em criptomoedas no exterior fossem declarados por meio de provedores autorizados e comunicados ao FinSurv, órgão do SARB. O documento trata os movimentos de um provedor local, como a Luno ou a VALR, para uma rede offshore ou uma carteira de autocustódia como uma transação transfronteiriça, dentro dos limites máximos vigentes para transações cambiais (R2m para transações discricionárias individuais e R10m para capital estrangeiro). Vale ressaltar: trata-se de um projeto, que regula os fluxos transfronteiriços e abrange criptomoedas de maneira ampla, não especificamente o Bitcoin. Os Regulamentos de Gestão de Fluxos de Capital subjacentes ainda não são definitivos, e as transferências puramente domésticas entre provedores locais são descritas como não sujeitas a notificação.
- O setor reage: o CEO da MoneyBadger, Carel van Wyk (@MoneyBadgerPay) , classificou as restrições do projeto como “desproporcionais e mal justificadas”, alertando que elas poderiam impedir que empresas sul-africanas usassem criptomoedas para pagamentos internacionais legítimos e as levariam de volta ao sistema bancário convencional. Essa é a visão de uma parte interessada — mas é o sinal mais claro até agora de que o setor contestará o projeto antes do prazo final.
Uma vulnerabilidade confirmada, uma rede P2P desgastada até o fim, milhares de vulnerabilidades catalogadas e um gigante do setor de custódia entregando as chaves aos usuários — tudo isso em uma semana. O padrão observado nos dois últimos resumos é agora a realidade operacional: a segurança é contínua e ocorre na velocidade das máquinas, e os serviços que permanecerão de pé serão aqueles que se auto-hospedam, aplicam correções rapidamente e mantêm suas próprias chaves. E, em meio a tudo isso, alguém em Randfontein ainda comprou o almoço com sats. Até a próxima semana.
