A Ledger suspendeu as vendas de sua revendedora no Sudeste Asiático, a CryptoBilis, depois que carteiras pertencentes a clientes que compraram dispositivos por esse canal foram esvaziadas em um valor estimado entre US$ 72 milhões e quase US$ 90 milhões.

A fabricante de carteiras de hardware afirmou que está investigando as perdas e pediu à CryptoBilis que suspenda todas as vendas e remessas de dispositivos Ledger até a conclusão da investigação. A Ledger aconselhou os usuários que compraram da revendedora nos últimos 90 dias a não configurar dispositivos ainda não utilizados e a transferir seus ativos para um novo dispositivo Ledger com uma nova frase-semente caso o dispositivo já esteja em uso. A empresa afirmou que manterá os clientes informados à medida que a investigação avançar.

As estimativas das perdas on-chain variam. O analista Specter rastreou dez endereços de coleta e contabilizou entradas provenientes de centenas de carteiras de vítimas nas redes Ethereum, TRON e Bitcoin, estimando as perdas totais em mais de US$ 86 milhões, enquanto a contagem ainda aumentava. O analista tanuki42 estimou o valor em mais de US$ 72 milhões, e a MistTrack calculou quase US$ 90 milhões. A Ledger não confirmou nenhum valor em dólares.

A CryptoBilis afirma ser revendedora autorizada de produtos Ledger na Malásia e vende dispositivos na Indonésia, na Malásia e nas Filipinas. A empresa não respondeu a um pedido de comentário.

A suspeita é de adulteração na cadeia de suprimentos, e não de uma falha no software da Ledger. O fundador da Binance, Changpeng Zhao, afirmou que as informações disponíveis apontam para um ataque à cadeia de suprimentos de um único fornecedor, e que provavelmente um pequeno número de pessoas comprou dispositivos falsificados ou adulterados. A pesquisadora de segurança Taylor Monahan, por sua vez, insistiu que não há nenhuma vulnerabilidade zero-day nos produtos da Ledger e alertou que a transferência apressada de fundos expõe os usuários a um risco de phishing maior do que o próprio incidente.

Parte dos fundos roubados já foi movimentada. O rastreamento on-chain mostra que o suposto invasor lavou cerca de 430 ETH, no valor aproximado de US$ 1,07 milhão, por meio do mixer Tornado Cash. Carteiras rastreadas pela Arkham e vinculadas aos roubos ainda guardam cerca de US$ 70,6 milhões. A Tether congelou USDT em endereços ligados aos roubos, após o que o invasor começou a trocar USDT por USDD, uma stablecoin baseada na Tron que a Tether não pode congelar.

A Ledger recusou-se a comentar mais. A investigação está em andamento.