Ledger vs. Trezor: A busca pela carteira cripto ideal

​Ledger e Trezor têm sido as carteiras de criptomoedas mais populares por muitos anos. Mas nenhuma das marcas é perfeita, e vulnerabilidades foram encontradas em ambas mais de uma vez. Quanto mais incidentes desse tipo aparecem, mais frequentemente surge a pergunta: qual carteira pode realmente ser considerada confiável?

Trezor: Ataques através de chips, site e redes sociais

Outro motivo para discutir a segurança da Trezor surgiu após um relatório da Donjon, a equipe de pesquisa da Ledger. Seus especialistas encontraram uma vulnerabilidade no chip TROPIC1 usado na carteira Trezor Safe 7. O ataque exigia acesso físico ao chip, equipamentos de laboratório e exposição precisa a laser. A Trezor afirmou que os fundos dos usuários estão seguros porque o TROPIC1 é apenas uma das três camadas de proteção do dispositivo.

Loading...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Este não foi o primeiro episódio semelhante. Em março de 2025, a Ledger Donjon relatou uma vulnerabilidade na Trezor Safe 3. Tratava-se de um ataque em caso de roubo físico da carteira: o problema estava ligado ao microcontrolador que trabalha em conjunto com o chip protegido. A Trezor disse na época que a Safe 5 não foi afetada pelo problema e que os pesquisadores não conseguiram extrair chaves privadas ou códigos PIN do dispositivo testado.

Também ocorreram ataques não ao dispositivo em si, mas aos usuários da Trezor. Em 2024, a empresa alertou sobre uma campanha de phishing: invasores usaram o formulário de contato no site oficial e enviaram e-mails que pareciam respostas de suporte. A Trezor ressaltou que não houve vazamento de endereços de e-mail, mas lembrou aos usuários a regra principal: a empresa nunca solicita o backup da carteira ou a seed phrase.

Em janeiro de 2024, houve relatos de acesso não autorizado a um portal de suporte de terceiros. Em março de 2024, um invasor comprometeu a conta X da empresa e postou pré-vendas falsas na rede Solana. Esses casos não significaram que as carteiras de hardware em si foram hackeadas diretamente, mas mostraram que os invasores podem visar não apenas o dispositivo, mas também os canais de comunicação entre a marca e os usuários.

Ledger: Uma carteira protegida, um ecossistema vulnerável

Ledger também está longe de ser perfeita. A marca conta com chips protegidos projetados para isolar as chaves privadas dentro do dispositivo. No entanto, os últimos anos mostraram que os invasores podem visar mais do que a própria carteira. Aplicativos, parceiros, bibliotecas para serviços descentralizados e usuários que recebem e-mails falsos de golpistas podem se tornar vulneráveis.

Em janeiro de 2026, a Ledger enfrentou um vazamento de dados pessoais de clientes por meio de seu parceiro de pagamentos Global-e. De acordo com o investigador de blockchain ZachXBT, uma vulnerabilidade no provedor terceirizado expôs as informações de contato dos usuários da Ledger. Em uma carta aos clientes afetados, a Global-e disse que detectou atividade suspeita em parte de sua rede. A empresa confirmou o acesso não autorizado a alguns dados, incluindo nomes e informações de contato de clientes.

Loading...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Em 2024, os proprietários de Ledger foram atingidos por um ataque de phishing em massa. Golpistas enviaram e-mails em nome da empresa e alegaram que houve uma violação de dados. Os usuários foram solicitados a "verificar" sua seed phrase em um site falso. A página parecia um serviço oficial da Ledger, mas foi criada para roubar dados. Se uma pessoa inserisse uma frase incorreta, o site mostrava um erro e pedia para tentar novamente até que os golpistas recebessem a combinação correta.

Em novembro de 2024, um aplicativo Ledger Live falso foi encontrado na Microsoft Store. Os usuários o baixaram pensando que estavam instalando a interface oficial para trabalhar com sua carteira. De acordo com relatos da mídia, o aplicativo falso permitiu que invasores roubassem US$ 768.000.

Outro episódio sério aconteceu em dezembro de 2023. Naquela época, a biblioteca Ledger Connect Kit usada por aplicativos descentralizados foi comprometida. A Ledger disse que a causa foi um ataque de phishing contra um ex-funcionário: o invasor ganhou a capacidade de carregar um arquivo malicioso em um gerenciador de pacotes JavaScript. De acordo com o CEO da Ledger, Pascal Gauthier, a empresa, juntamente com a WalletConnect, corrigiu o exploit cerca de 40 minutos após sua descoberta e substituiu a biblioteca comprometida.

Não existe carteira perfeita

As histórias da Trezor e da Ledger mostram que as vulnerabilidades podem ser muito diferentes. Em um caso, pesquisadores testam um chip com laser. Em outro, golpistas enviam e-mails, criam sites falsos ou carregam um aplicativo falso em uma loja. Às vezes o problema está dentro do dispositivo, às vezes nos serviços ao seu redor e, às vezes, na confiança do usuário em uma marca familiar.

Existem outras carteiras de hardware no mercado também, como dispositivos da Coinkite, BitBox, Keystone ou Tangem. Algumas focam apenas no Bitcoin, enquanto outras dependem de cartões, códigos QR, código aberto ou nenhuma conexão com um computador. Mas nenhuma dessas abordagens remove todos os riscos de uma vez. Quanto mais complexo o dispositivo e mais amplo seu ecossistema, mais lugares existem onde um elo fraco pode aparecer.

Nesta situação, a carteira cripto ideal deve proteger não apenas as chaves privadas dentro do dispositivo. Ela deve mostrar ao usuário exatamente o que ele está assinando, evitar a coleta de dados pessoais desnecessários, ter um sistema de atualização claro, passar por auditorias independentes e ser resistente a ataques físicos. Mas mesmo isso não é suficiente se o proprietário inserir sua seed phrase em um site falso ou baixar um aplicativo falso.

É por isso que a confiabilidade da carteira não pode ser reduzida a uma marca ou a um chip. A Ledger está mais fortemente associada à proteção de hardware e a um chip protegido fechado. A Trezor está associada à abertura e verificabilidade. Outros fabricantes oferecem seus próprios compromissos. Na realidade, a carteira mais segura não é aquela em que vulnerabilidades nunca foram encontradas, mas aquela onde os riscos são compreendidos antecipadamente, corrigidos rapidamente e não transformam um erro do usuário na perda de todos os fundos.