Livro sobre fuzzing chega com 90 bugs achados por brasileiro do Bitcoin Core

Bruno Garcia, engenheiro de software e pesquisador que atua na segurança do Bitcoin Core, lança em 18 de novembro o livro Fuzzing: Conceitos e Prática — obra escrita em português que organiza, em teoria e prática, uma técnica de teste automatizado capaz de expor falhas que revisões humanas costumam deixar passar. O dado que dimensiona o assunto vem do projeto que ele próprio criou: o bitcoinfuzz já acumula mais de 90 bugs encontrados em implementações de Bitcoin e de Lightning Network.

O lançamento está marcado para as 19h30, na Casa21, espaço de colaboração e pesquisa em código aberto mantido pela Vinteum em São Paulo, com noite de autógrafos. A entrada é gratuita, condicionada a inscrição e aprovação pela plataforma Luma. Exemplares serão comercializados no local e também por loja online.

A técnica que troca a intuição pelo volume de dados

Na prática, fuzzing é um modo de testar software em que o desenvolvedor deixa de tentar adivinhar cada cenário de uso. O programa recebe um fluxo massivo de dados — milhões de entradas, produzidas de forma aleatória ou guiada por algoritmos — e cada reação inesperada é registrada como suspeita. Esse método é aplicado na caça a vulnerabilidades e a problemas de confiabilidade em navegadores, sistemas operacionais, bibliotecas de criptografia e outras camadas da infraestrutura digital.

O livro percorre do fundamento ao estado da arte. Apresenta ferramentas conhecidas do setor, entre elas libFuzzer e AFL++, traz exemplos de código em linguagens diferentes e discute como julgar se uma bateria de testes realmente entrega valor, como isolar falhas de lógica e como empregar modelos de linguagem para escrever casos de teste com mais velocidade.

O tema chega em momento sensível. Com assistentes de inteligência artificial assumindo parte da escrita de código, a produtividade sobe, mas também cresce a chance de defeitos chegarem à produção sem revisão profunda. Testar de forma sistemática virou o contrapeso natural desse avanço, e é justamente aí que a obra se posiciona.

Differential fuzzing: comparar versões para achar a inconsistência

Entre as abordagens mais avançadas tratadas no livro está o differential fuzzing, que coloca duas implementações independentes do mesmo protocolo lado a lado e confronta as respostas de cada uma. Quando os resultados divergem, aparece a pista de uma inconsistência que testes tradicionais dificilmente capturariam.

Essa é a lógica do bitcoinfuzz, projeto de Garcia que aplica o método a softwares distintos de Bitcoin e de Lightning Network. O saldo divulgado pelo autor é de mais de 90 falhas identificadas — número que só aparece com teste comparativo em escala.

Da USP ao conselho da Btrust

Garcia é mestre e doutorando em computação pela Universidade de São Paulo (USP), onde pesquisa teste de software com foco em fuzzing e teste de mutação. Há cerca de cinco anos dedica-se integralmente ao Bitcoin Core e a outros projetos de código aberto. Hoje responde pela área de engenharia da Vinteum, entidade brasileira sem fins lucrativos que capacita e financia programadores da infraestrutura aberta do Bitcoin, e integra o conselho da Btrust.

O autor justifica a empreitada pela intenção de organizar o conhecimento acumulado na área e pela escassez de material sobre o tema em português, inclusive no nível introdutório.

O que isso significa para quem investe

Segurança de software é componente do risco em criptoativos. Carteiras, corretoras, custodiantes e nós da rede rodam implementações que precisam resistir a entradas malformadas; uma falha explorável pode virar indisponibilidade de saques, prejuízo operacional ou perda de confiança do mercado. Para o investidor com exposição a cripto por meio de fundos e veículos negociados no exterior, a qualidade do código que sustenta essa infraestrutura é uma variável de risco que não aparece nos relatórios trimestrais.

Há também o efeito de formação de base. Documentação técnica em português reduz a barreira de entrada de desenvolvedores locais e amplia o número de pessoas capazes de auditar sistemas abertos — algo relevante para um mercado em que a transparência do código é parte do argumento de confiança.

Ficha do lançamento

Serviço

O evento reúne desenvolvedores, pesquisadores, estudantes e interessados em engenharia de software e segurança da informação. As inscrições são feitas pela plataforma Luma, neste link, e a compra antecipada do livro está disponível na loja da editora.