Nestes anos todos no mundo cripto, nunca vi um jeito mais sinistro de roubar criptomoedas. O hacker nem precisa escrever código: já tem um cartão eSIM soldado dentro da carteira de hardware
O relato de uma vítima: em junho, comprei 80 bitcoins por US$ 65 mil, aproveitando a baixa; há uma semana transferi tudo para a Ledger e hoje liquidei tudo, ficando com saldo zero. Tinha US$ 1,38 milhão de lucro no papel; perdi até o valor investido
Nas últimas 24 horas, as perdas relacionadas rastreadas pela MistTrack já se aproximam de US$ 90 milhões. A Tether começou a congelar os USDT nos endereços envolvidos. Mark Karpelès, ex-CEO da Mt. Gox, desmontou pessoalmente uma Ledger comprada na Malásia e descobriu um hardware espião soldado na posição da almofada de proteção da tela, com comunicação LTE, antena, eSIM e microcontrolador. O adesivo era original e o filme termoencolhível estava intacto; sem desmontá-la, era impossível notar qualquer anomalia
/
❚ Como as criptomoedas são roubadas — mais simples do que você imagina
A segurança das carteiras de hardware se resume a uma palavra: isolamento
A chave privada fica no chip e não sai do dispositivo
A assinatura é feita no próprio dispositivo; quem se conecta à internet é o computador, não a carteira
Este ataque derrubou diretamente essa premissa. O microcontrolador implantado está conectado ao barramento SPI da Ledger e consegue ler os caracteres que serão exibidos na tela. Nas páginas de inicialização da frase-semente, as 24 palavras aparecem uma por uma. O módulo envia esses caracteres por LTE. Depois que o invasor obtém a frase-semente, o resto já não tem nada a ver com a força da sua senha ou com seus hábitos de uso: é só esperar o momento certo para esvaziar a carteira com um clique
Em termos simples: você acha que está lidando com um cofre isolado, mas escondido embaixo dele há um celular. Por fora, nada acontece; mas ele consegue ver tudo o que aparece na tela
❚ Histórico de segurança da Ledger
Quem está no mundo cripto há bastante tempo não se surpreende com problemas na Ledger. Vamos repassar os acontecimentos em ordem cronológica ⬇️
1/ 2018: vulnerabilidade descoberta em pesquisa inicial sobre hardware
Pesquisadores demonstraram que o Nano S podia ser adulterado antes de sair da fábrica e que era possível contornar o bootloader do MCU
Em geral, eram problemas de interesse de pesquisa, corrigidos oficialmente, com poucos prejuízos reais
2/ 2020: vazamento em massa de banco de dados de comércio eletrônico
Mais de 1 milhão de e-mails e mais de 270 mil nomes, telefones e endereços de clientes foram expostos
O hardware e as chaves privadas ficaram intactos, mas o incidente deu origem a anos de e-mails de phishing e mensagens falsas que se passavam por comunicados oficiais
3/ Dezembro de 2023: ataque à cadeia de suprimentos do Connect Kit
Um ex-funcionário caiu em um golpe de phishing, sua conta npm foi comprometida e uma versão maliciosa foi injetada em todos os DApps que dependiam dessa biblioteca
Roubaram entre US$ 480 mil e US$ 600 mil em duas horas
O hardware está intacto, mas foi a primeira vez que todos perceberam que as dependências do front-end também são uma porta de entrada para riscos
4/ Janeiro de 2026: novo vazamento de dados de pedidos da Global-e, empresa terceirizada
Problema antigo, que continua alimentando o ecossistema de phishing
5/ Abril de 2026: golpe com falso Ledger Live na App Store
Enganaram usuários para que digitassem a frase-semente de 24 palavras; em uma semana, mais de 50 pessoas foram roubadas em US$ 9,5 milhões
Este foi o maior prejuízo em um único incidente até agora
6/ Agosto de 2026: vulnerabilidade na assinatura do Ethereum LSB-023
Era possível contornar a assinatura clara, mas isso exigia a cooperação de um computador malicioso; não há evidências de exploração real
7/ Outubro de 2026: ataque à cadeia de suprimentos da CryptoBillis
As perdas rastreadas chegam a quase US$ 90 milhões, quase 10 vezes o recorde anterior
Há um padrão bem claro. Em todos os casos anteriores, ou só vazavam metadados, ou era preciso que o usuário fizesse alguma besteira por conta própria (instalar um app falso, digitar a frase-semente). Mas, desta vez, você nunca tirou a frase-semente de perto, o dispositivo nunca se conectou à internet e todo o processo ocorreu normalmente. Mesmo assim, o dinheiro sumiu
❚ Por que justamente o Sudeste Asiático?
A CryptoBillis é uma revendedora autorizada da Ledger no Sudeste Asiático. Em comparação com comprar no site oficial, comprar de um revendedor sai um pouco mais barato, chega mais rápido e dispensa o transporte internacional. No mercado cripto do Sudeste Asiático, essa é uma forma muito comum de comprar. Eu moro em Bangkok e tenho vários amigos que compraram por esse canal.
O lado mais sinistro dos ataques à cadeia de suprimentos é que
Não é preciso invadir a própria Ledger
Não é preciso que o usuário cometa nenhum erro
Basta comprometer um único elo da rede de revendedores para agir em massa
A Ledger já pediu à CryptoBillis que suspenda as vendas e os envios, e recomendou que os usuários que compraram por esse canal nos últimos 90 dias transfiram seus ativos o quanto antes. Mas nem a própria empresa consegue confirmar quantos dispositivos foram distribuídos nem se apenas esse revendedor foi afetado
❚ Recomendações práticas
Agora que expliquei como funciona, vamos ao que você pode fazer na prática
1/ Compre carteiras de hardware apenas diretamente no site oficial, nunca por terceiros
Incluindo links recomendados por grandes influenciadores, revendedores, Taobao, Xianyu e compras trazidas por amigos
Por essa economia, era melhor queimar o dispositivo de uma vez
2/ Ao receber o dispositivo, não use nenhum cartão com frase-semente que venha com ele; inicialize-o do zero
Faça a verificação rigorosamente pelo Genuine Check do site oficial da Ledger
Se necessário, envie o dispositivo de volta à empresa para uma inspeção física
3/ Divida os ativos de grande valor entre várias carteiras
Não guarde todo o seu patrimônio em uma única carteira
Use assinatura múltipla ou distribua os ativos entre vários endereços para aumentar o custo de uma falha em um único ponto
4/ Troque de carteira periodicamente
Estar tudo bem hoje não significa que estará tudo bem daqui a três anos
É como trocar a fechadura da conta
5/ Acompanhe o monitoramento em tempo real de organizações como MistTrack e SlowMist
Há um intervalo entre o ataque e seu rastreamento; trocar de carteira mais cedo pode salvar seus fundos
/
Em resumo: o mais assustador desta vez não é o valor perdido, mas o fato de ter mudado a premissa padrão sobre a segurança das carteiras de hardware
Antes, achávamos que, se não fizéssemos nenhuma besteira, nosso dinheiro estaria seguro. Agora precisamos acrescentar mais uma coisa: o produto que você comprou talvez nem seja aquilo que você pensa que é
Sinceramente, depois de escrever este artigo, até eu fiquei com vontade de guardar minha Ledger e trocar de marca. O mercado já está uma porcaria; ainda ter que levar um susto desses...
(Este artigo foi compilado com informações da MistTrack, de declarações públicas de Mark Karpelès e de comunicados históricos da Ledger. Não contém recomendações; verifique tudo por conta própria.)