A fabricante de carteiras de hardware Ledger afirma ter encontrado evidências de que pelo menos um dispositivo afetado, comprado por meio da revendedora do Sudeste Asiático CryptoBilis, continha um implante de hardware não autorizado. A descoberta ocorre enquanto a Ledger continua investigando relatos de perdas de criptomoedas ligadas a dispositivos específicos distribuídos pela revendedora.
Em uma publicação de domingo no X, a Ledger confirmou que está entrando em contato com os usuários afetados e pediu que qualquer pessoa com informações relevantes participe de seu programa de recompensas. A empresa também forneceu orientações provisórias para clientes que compraram hardware da Ledger por meio da revendedora.
Principais conclusões
A Ledger confirmou que um dispositivo comprometido continha um implante de hardware não autorizado.
A Ledger afirma que a sua infraestrutura e os seus serviços não foram comprometidos e que a investigação continua em curso.
A CryptoBilis suspendeu a venda de todo o stock de hardware da Ledger até à conclusão da investigação.
A Ledger recomenda que os utilizadores não inicializem dispositivos cuja configuração ainda não tenham concluído e que, caso já o tenham feito, transfiram os fundos para um novo dispositivo e uma nova frase-semente.
A Ledger não confirmou publicamente quantos clientes foram afetados nem o valor total das perdas.
A Ledger relata a presença de um implante não autorizado num dispositivo afetado
A confirmação da Ledger diz respeito a relatos de perda de fundos em dispositivos comprados à CryptoBilis. De acordo com a publicação da Ledger no X (através da sua conta de apoio), a empresa está a contactar os utilizadores no âmbito da investigação em curso.
O investigador Specter, mencionado na atualização da Ledger, estimou que as perdas em Bitcoin, Ethereum e Tron poderão ultrapassar os 86 milhões de dólares. No entanto, a Ledger não confirmou o alcance das perdas nem quantas pessoas foram afetadas.
Para ajudar a investigação, a Ledger afirmou que está a convidar pessoas com informações relevantes para contactarem o seu programa de recompensas através do endereço bounty@ledger.fr.
Medidas de precaução para compradores da CryptoBilis
As orientações imediatas da Ledger aos clientes centram-se na redução do risco de novos comprometimentos.
Aos utilizadores que compraram um dispositivo Ledger à CryptoBilis, mas ainda não iniciaram a configuração, a Ledger recomenda que não iniciem o processo de configuração do dispositivo, caso ainda não o tenham concluído.
Aos utilizadores que já configuraram o dispositivo Ledger, a Ledger recomendou que transfiram os ativos para um novo dispositivo de assinatura Ledger, gerado com uma nova frase-semente. O objetivo é garantir que qualquer exposição associada ao dispositivo afetado não continue a pôr os fundos em risco.
Revendedor suspende vendas enquanto a Ledger investiga
Na mesma atualização no X, a CryptoBilis confirmou que suspendeu a venda de todo o stock de carteiras de hardware associado ao período ou lote em causa, enquanto aguarda o resultado da investigação. A Ledger afirmou que está em contacto ativo com a CryptoBilis para discutir os próximos passos.
Uma reportagem anterior da Cointelegraph indicou que a CryptoBilis constava da lista da Ledger de revendedores autorizados na Indonésia, na Malásia e nas Filipinas. Na atualização, a Ledger não explicou como ocorreu a adulteração nem se esteve ligada a alguma etapa específica da cadeia de abastecimento para além do stock do revendedor.
A Ledger afirma que os seus sistemas não foram violados
Embora a Ledger esteja a lidar com relatos que envolvem dispositivos comprometidos, salienta que o ecossistema em geral não foi alvo do ataque.
Numa declaração enviada à Cointelegraph, a Ledger afirmou que o incidente parecia estar limitado a um único revendedor e ao seu mercado, acrescentando que “a infraestrutura, os sistemas e os serviços da Ledger não foram comprometidos”. A empresa reiterou que a investigação continua em curso.
Para os clientes que precisem de ajuda, a Ledger orientou os utilizadores a contactar o apoio ao cliente através dos canais oficiais em http://support.ledger.com.
Os leitores devem acompanhar novas atualizações da Ledger e da CryptoBilis para saber que dispositivos foram afetados e que medidas de correção serão oferecidas. As principais questões em aberto continuam a ser a dimensão do problema e a forma exata como o implante de hardware não autorizado foi introduzido nos dispositivos vendidos através do revendedor.
Este artigo foi publicado originalmente com o título Ledger Says Unauthorized Hardware Implant Found, Losses Could Top $86M no Crypto Breaking News — a sua fonte de confiança para notícias sobre cripto, Bitcoin e atualizações sobre blockchain.