Atenção, usuários de carteiras de hardware Ledger:
A conta oficial de suporte da Ledger confirmou em 9 de outubro que está investigando relatos de usuários do Sudeste Asiático cujos fundos foram transferidos sem autorização. Os casos envolvem a CryptoBilis, revendedora autorizada na Indonésia, Malásia e Filipinas.
Como medida preventiva, a Ledger pediu à revendedora que suspendesse as vendas e os envios. Se você comprou um dispositivo por esse canal nos últimos 90 dias: se ainda não o inicializou, não o configure por enquanto; se já o configurou e transferiu ativos para ele, considere transferir os ativos para um dispositivo novo, com uma frase de recuperação gerada novamente.
O analista on-chain Specter afirmou ter rastreado centenas de endereços esvaziados em Bitcoin, Ethereum e Tron, com prejuízos estimados em mais de 86 milhões de dólares. Esse valor ainda não foi verificado de forma independente, e a Ledger ainda não divulgou a causa definitiva.
Por enquanto, o caso parece mais um problema na cadeia de abastecimento do que uma vulnerabilidade no firmware que afete toda a rede: os dispositivos podem ter sido trocados ou adulterados com componentes implantados na etapa da revenda, e os invasores talvez já tivessem acesso às frases de recuperação. A recomendação oficial de gerar uma nova frase também aponta para “as frases de recuperação desses dispositivos não são confiáveis”, e não para “os chips de todos os Ledger genuínos foram invadidos remotamente”.
Mark Karpelès, ex-responsável pela Mt. Gox, pediu publicamente que as vítimas enviassem fotos do interior dos dispositivos, para verificar se há componentes adicionais implantados na placa-mãe. Isso ainda é uma pista de investigação, não uma conclusão.
Se você não comprou seu dispositivo da CryptoBilis, este comunicado não exige que todos os usuários transfiram seus ativos. O maior risco com carteiras de hardware continua sendo comprar um dispositivo adulterado. Compre apenas no site oficial da Ledger; ao receber o dispositivo, verifique sua autenticidade pelos meios oficiais. Gere a frase de recuperação apenas na tela do dispositivo, nunca tire fotos, não a envie pela internet nem a compartilhe com ninguém.
A Ledger não envia mensagens privadas, não telefona e nunca pede as 24 palavras. Quem usar este incidente como pretexto para “ajudar você a verificar sua carteira” é golpista.
A conta oficial de suporte da Ledger confirmou em 9 de outubro que está investigando relatos de usuários do Sudeste Asiático cujos fundos foram transferidos sem autorização. Os casos envolvem a CryptoBilis, revendedora autorizada na Indonésia, Malásia e Filipinas.
Como medida preventiva, a Ledger pediu à revendedora que suspendesse as vendas e os envios. Se você comprou um dispositivo por esse canal nos últimos 90 dias: se ainda não o inicializou, não o configure por enquanto; se já o configurou e transferiu ativos para ele, considere transferir os ativos para um dispositivo novo, com uma frase de recuperação gerada novamente.
O analista on-chain Specter afirmou ter rastreado centenas de endereços esvaziados em Bitcoin, Ethereum e Tron, com prejuízos estimados em mais de 86 milhões de dólares. Esse valor ainda não foi verificado de forma independente, e a Ledger ainda não divulgou a causa definitiva.
Por enquanto, o caso parece mais um problema na cadeia de abastecimento do que uma vulnerabilidade no firmware que afete toda a rede: os dispositivos podem ter sido trocados ou adulterados com componentes implantados na etapa da revenda, e os invasores talvez já tivessem acesso às frases de recuperação. A recomendação oficial de gerar uma nova frase também aponta para “as frases de recuperação desses dispositivos não são confiáveis”, e não para “os chips de todos os Ledger genuínos foram invadidos remotamente”.
Mark Karpelès, ex-responsável pela Mt. Gox, pediu publicamente que as vítimas enviassem fotos do interior dos dispositivos, para verificar se há componentes adicionais implantados na placa-mãe. Isso ainda é uma pista de investigação, não uma conclusão.
Se você não comprou seu dispositivo da CryptoBilis, este comunicado não exige que todos os usuários transfiram seus ativos. O maior risco com carteiras de hardware continua sendo comprar um dispositivo adulterado. Compre apenas no site oficial da Ledger; ao receber o dispositivo, verifique sua autenticidade pelos meios oficiais. Gere a frase de recuperação apenas na tela do dispositivo, nunca tire fotos, não a envie pela internet nem a compartilhe com ninguém.
A Ledger não envia mensagens privadas, não telefona e nunca pede as 24 palavras. Quem usar este incidente como pretexto para “ajudar você a verificar sua carteira” é golpista.