Na declaração de 11 de outubro, a fabricante de carteiras de hardware Ledger restringiu o âmbito do problema: todos os casos confirmados de roubo envolvem dispositivos vendidos pela revendedora autorizada CryptoBilis, do Sudeste Asiático. Não foram encontrados indícios de invasão nos sistemas da própria empresa nem nos produtos vendidos diretamente por ela.
A sequência dos acontecimentos merece atenção. Em 9 de outubro, a Ledger pediu à revendedora que suspendesse todos os envios; no dia 10, confirmou que pelo menos um dispositivo continha um implante de hardware não autorizado; no dia 11, restringiu o problema a um único canal de distribuição. Karpeles, ex-responsável pela Mt. Gox, desmontou uma Ledger Nano X de origem malaia, com a embalagem aparentemente intacta. Sob o revestimento do ecrã, encontrou uma placa de circuito adicional com um componente celular, capaz de registar a frase de recuperação exibida no ecrã durante a configuração inicial. O dispositivo parecia normal e a verificação do firmware foi aprovada como de costume.
As estimativas on-chain situam as perdas entre 70 e 93 milhões de dólares. A Ledger não confirmou nenhum valor específico; parte dos fundos já foi congelada, e $BTC e $ETH estão entre os ativos afetados.
As medidas a tomar são simples: se comprou um dispositivo através desse canal nos últimos três meses e ainda não o ativou, não o utilize; se já o utilizou, transfira os ativos para um dispositivo novo e gere uma nova frase de recuperação. A empresa reitera que nunca pedirá as 24 palavras.
Na cadeia de abastecimento, cada intermediário adicional é mais uma mão invisível.
A sequência dos acontecimentos merece atenção. Em 9 de outubro, a Ledger pediu à revendedora que suspendesse todos os envios; no dia 10, confirmou que pelo menos um dispositivo continha um implante de hardware não autorizado; no dia 11, restringiu o problema a um único canal de distribuição. Karpeles, ex-responsável pela Mt. Gox, desmontou uma Ledger Nano X de origem malaia, com a embalagem aparentemente intacta. Sob o revestimento do ecrã, encontrou uma placa de circuito adicional com um componente celular, capaz de registar a frase de recuperação exibida no ecrã durante a configuração inicial. O dispositivo parecia normal e a verificação do firmware foi aprovada como de costume.
As estimativas on-chain situam as perdas entre 70 e 93 milhões de dólares. A Ledger não confirmou nenhum valor específico; parte dos fundos já foi congelada, e $BTC e $ETH estão entre os ativos afetados.
As medidas a tomar são simples: se comprou um dispositivo através desse canal nos últimos três meses e ainda não o ativou, não o utilize; se já o utilizou, transfira os ativos para um dispositivo novo e gere uma nova frase de recuperação. A empresa reitera que nunca pedirá as 24 palavras.
Na cadeia de abastecimento, cada intermediário adicional é mais uma mão invisível.