Um ano depois da crise do Bambu Connect, a Bambu Lab faz balanço de segurança: sete certificações, 100 pesquisadores e prêmio de US$ 52 mil por falha — e nem uma palavra sobre o que começou tudo

A Bambu Lab publicou nesta quarta (2/9) o balanço de um ano do seu programa de segurança: sete certificações e conformidades — entre elas ISO/IEC 27001 e 27701, a norma europeia de IoT ETSI EN 303 645 e a lei britânica PSTI —, um programa de recompensa por falhas que já reuniu mais de 100 pesquisadores e pagou até US$ 52 mil por uma única vulnerabilidade, e um Trust Center com página pública de correções. O post não menciona, em nenhum momento, o episódio que deu origem a tudo isso: a atualização de firmware de janeiro de 2025 que trancou o controle das impressoras dentro do software da própria Bambu e provocou a maior revolta da história da marca.

Para quem tem uma Bambu na bancada — e no Brasil isso é muita gente —, o balanço interessa por dois motivos opostos. O primeiro é que os números são bons e verificáveis. O segundo é que a omissão também diz alguma coisa.

O que a Bambu Lab apresentou

Segundo o post, nos últimos doze meses a empresa:

• obteve as certificações ISO/IEC 27001 (gestão de segurança da informação) e ISO/IEC 27701 (privacidade), além do selo TRUSTe Enterprise Privacy;
• passou a atender a ETSI EN 303 645, a norma europeia de segurança para dispositivos conectados de consumo, e às exigências da Diretiva de Equipamentos de Rádio (RED) da União Europeia, da lei de segurança cibernética da Austrália e da PSTI do Reino Unido — que, entre outras coisas, proíbe senha padrão em produto conectado;
• manteve o programa de bug bounty com “mais de 100 especialistas em segurança” e prêmio máximo de US$ 52 mil por vulnerabilidade, com um “Hall da Fama” para quem reporta;
• abriu o Trust Center (outubro de 2025), uma página pública de atualizações de segurança e um canal dedicado, [email protected], com o processo de tratamento de vulnerabilidades redesenhado “do relato à correção”.

A frase que resume a postura da empresa: “revisões externas nos permitem ver problemas que simplesmente não conseguiríamos identificar de dentro da companhia”.

O que o post não traz: quantos relatos o programa recebeu, quantos foram corrigidos, quanto foi pago no total e qual foi a falha que valeu os US$ 52 mil.

O que o post não conta

Em 16 de janeiro de 2025 a Bambu anunciou o “Sistema de Controle de Autorização”: uma atualização de firmware que passou a exigir software oficial da marca para iniciar impressão, atualizar firmware, acessar a câmera, vincular a impressora e mexer em movimento, temperatura e calibração — inclusive em rede local. A justificativa foi segurança: a empresa disse detectar “picos de até 30 milhões de requisições não autorizadas por dia” contra seus servidores. O efeito prático foi cortar o acesso direto de fatiadores de terceiros, como o OrcaSlicer, e de qualquer automação caseira, substituindo-o por um intermediário chamado Bambu Connect.

A reação durou semanas: a comunidade acusou a empresa de usar “segurança” para fechar o ecossistema, um tópico do fórum oficial passou de 900 respostas, e a confusão sobre se o OrcaSlicer colaborava ou não com a Bambu obrigou a empresa a atualizar o comunicado duas vezes em cinco dias. A saída veio depois, na forma do Modo Desenvolvedor: uma opção, ligada a partir do modo “somente LAN” da impressora, que reabre MQTT, FTP e vídeo ao vivo para quem aceitar o aviso de risco — a wiki oficial o descreve como “controle total sobre a impressora e sobre a segurança de rede dela”.

É essa história que o balanço de um ano não menciona. As certificações listadas são, em boa parte, a resposta institucional àquela crise; apresentá-las sem o contexto é escolha de comunicação, não erro — mas o leitor merece as duas metades.

O que muda para quem tem uma Bambu no Brasil

Na prática, pouco no dia a dia e bastante no longo prazo. As normas europeia e britânica obrigam a empresa a manter suporte de segurança por um período declarado e a ter canal de relato de falhas — o que vale para a impressora comprada aqui, porque o firmware é o mesmo. O bug bounty com prêmio de cinco dígitos é um incentivo real para que falhas sejam reportadas à Bambu em vez de vendidas ou publicadas sem aviso. E o Modo Desenvolvedor continua existindo para quem quer OrcaSlicer, OctoPrint ou automação própria sem passar pela nuvem.

O que não mudou: por padrão, a impressora nova sai de fábrica no modo fechado. Quem quer o controle antigo precisa ir atrás dele — e assumir o risco por escrito.

Nota de apuração: certificações, números do bug bounty, Trust Center, canal de contato e a citação vêm do post oficial da Bambu Lab de 2/9/2026, lido integralmente e traduzido por nós; os fatos de janeiro de 2025 (operações restritas, os 30 milhões de requisições, Bambu Connect e as atualizações do comunicado em 17 e 20/1) são do post original da empresa, também oficial; a descrição do Modo Desenvolvedor é da wiki oficial. O tamanho do tópico do fórum e a confusão com o OrcaSlicer são de cobertura da época (Tom’s Hardware, Hackaday) e do próprio fórum da Bambu. A afirmação de que as certificações são resposta à crise é análise desta redação, não declaração da empresa — que, no post, não relaciona uma coisa à outra. A imagem é arte oficial do post. Não há link comissionado nesta matéria.