Escândalo do chip espião da Ledger: carteiras de hardware ainda protegem criptos cold?

​A Ledger confirmou um implante de hardware não autorizado em um dispositivo de cliente, vinculado a mais de US$ 86 milhões em perdas com criptomoedas. Isso expõe uma grave vulnerabilidade na cadeia de suprimentos de carteiras de hardware. Investigações adicionais sobre a revendedora do Sudeste Asiático CryptoBilis indicarão os riscos de adulteração física e formas de restaurar o status das carteiras cold como o método mais seguro para armazenamento de criptomoedas.

Implante confirmado e a dimensão das perdas

A confirmação da Ledger sobre um implante de hardware não autorizado expôs vários problemas ocultos em suas carteiras. Os principais riscos são observados entre compradores que adquiriram dispositivos por meio da revendedora do Sudeste Asiático CryptoBilis. A Ledger afirma que seus sistemas não apresentam vulnerabilidades. Analistas de blockchain da Bitquery contabilizaram aproximadamente US$ 93,2 milhões retirados de 315 carteiras nas redes Tron, Bitcoin, Ethereum, BNB Chain, Polygon e Solana. A Tether congelou cerca de US$ 10 milhões em USDT relacionados. A Ledger ainda não confirmou esses números. 

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

Em 10 de outubro, o Suporte da Ledger publicou uma atualização sobre a situação, afirmando: 

“A Ledger pode confirmar que o dispositivo de um dos usuários afetados continha um implante de hardware não autorizado.” 

A empresa está cooperando com as autoridades e o coletivo de segurança SEAL 911. Ela solicitou à CryptoBilis que interrompa todas as vendas de carteiras de hardware. 

“Não temos qualquer indicação de que a infraestrutura de segurança, os sistemas ou os serviços da Ledger tenham sido comprometidos”, acrescentou o comunicado. 

Anatomia do módulo espião

Pesquisadores descrevem uma modificação física sofisticada que não exigiu um exploit de software nem a violação de um elemento seguro. O ex-CEO da Mt. Gox, Mark Karpelès, examinou uma Ledger Nano X comprada na Malásia e encontrou uma pequena placa de circuito. 

“Minha Ledger com implante espião veio da Malásia e tinha embalagem termorretrátil impecável”, escreveu ele. “Mesmo ao abri-la, inicialmente você não vê o implante, que está inteligentemente escondido onde deveria ficar o acolchoamento da tela.”

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O implante normalmente inclui um microcontrolador, um módulo celular ou LTE, um eSIM e uma antena. Quando o dispositivo gera sua frase de recuperação de 24 palavras durante a configuração inicial, o módulo pode reconstruir as palavras a partir do fluxo de pixels e transmiti-las pela rede celular. Como o elemento seguro permanece genuíno, o “Genuine Check” da Ledger continua sendo aprovado. Portanto, um usuário comum quase não tem chance de reconhecer o problema.

Um problema de canal, não uma falha de fábrica

A Ledger afirmou que o incidente se limita a dispositivos vendidos pela CryptoBilis, uma revendedora autorizada que atua na Indonésia, Malásia e Filipinas. Atualmente, não há casos que indiquem problemas com dispositivos comprados diretamente na loja da própria Ledger. A empresa observa que nenhuma cadeia de suprimentos global está imune à interceptação depois que os produtos saem da fábrica. Os ex-coproprietários da CryptoBilis afirmaram que a empresa mudou de dono no início de 2026 e, por isso, alegam não serem responsáveis por esses desvios.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O padrão de atividade on-chain mostra várias carteiras autorizando o mesmo gastador em questão de segundos. Isso prova que os casos são exemplos de acesso coordenado a chaves privadas, e não tentativas individuais de phishing. Ainda assim, a Ledger não vinculou todos os endereços esvaziados a um implante confirmado, enquanto a investigação interna continua.

Análise de especialistas e alertas anteriores

Analistas de hardware determinaram que o módulo monitora passivamente o tráfego não criptografado da tela sem atacar o elemento seguro. Iterações posteriores, segundo Karpelès e a Tibane Labs, reduziram a fiação visível. Isso preservou a bateria original para passar por inspeções superficiais. Os especialistas apresentaram novos tutoriais em vídeo para que os usuários verifiquem seus dispositivos.

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O diretor de segurança da informação da SlowMist afirmou que esse tipo de módulo poderia registrar frases de recuperação. No entanto, uma compreensão completa das principais causas subjacentes exige investigação. O escândalo também levou a novas tentativas de phishing: sites e aplicativos falsos da Ledger apareceram nos resultados de busca. Representantes da Ledger lembraram que a empresa nunca solicitará a frase de 24 palavras de um usuário.

Implicações para o armazenamento cold

As carteiras de hardware são tradicionalmente vistas como o padrão-ouro da autocustódia, porque as chaves privadas não saem do dispositivo. No entanto, este escândalo revela um novo tipo de risco que pode ocorrer na camada de distribuição. A Ledger afirma estar “trabalhando em soluções adicionais e aprimoradas contra adulteração” e aconselha os usuários a comprar apenas por canais oficiais e inspecionar visualmente as carteiras antes da configuração. 

Ver publicação no X Carregando...

O tweet foi excluído pelo autor.

Mas guardámos tudo 🙂.

O trabalho forense indicará a dimensão total das perdas, pois há uma alta probabilidade de que muitos casos ainda não tenham sido documentados. Portanto, recomendamos tratar qualquer dispositivo do canal afetado como potencialmente comprometido. Se os fundos puderem estar em risco, gere uma nova frase-semente em uma carteira confiável (nova).