Este caso revelado de ataque físico à cadeia de fornecimento da Ledger soou o mais grave dos alarmes para todos os participantes on-chain que confiam na proteção oferecida pelas carteiras de hardware.
Uma loja na Malásia, que há anos ostentava o título de revendedora oficialmente autorizada, não enviava diretamente aos usuários os dispositivos originais recebidos da fábrica. Em vez disso, realizava um sequestro físico em uma etapa presencial da cadeia de distribuição. Usando uma técnica de microssoldagem extremamente precisa, hackers implantaram às escondidas um microchip espião na placa de circuito impresso de cada carteira de hardware Ledger.
Esse chip adicional funciona como um dispositivo de escuta física escondido nas sombras. No instante em que o usuário recebe um dispositivo lacrado e novo, cria uma frase-semente e gera uma chave privada como de costume, o chip intercepta e registra simultaneamente essas informações essenciais em segundo plano. Em seguida, por meio de um módulo sem fio pré-programado no chip ou de um protocolo de comunicação falsificado, os hackers enviam secretamente a chave privada para um servidor remoto.
Todo o processo dispensa qualquer capacidade avançada de exploração de vulnerabilidades de software por parte dos atacantes e não exige que os usuários sejam induzidos a assinar contratos maliciosos. Basta que a chave privada seja exposta no momento em que é gerada no dispositivo físico. Depois disso, mesmo que você desconecte o dispositivo da internet e o deixe guardado em um cofre, todos os seus ativos já terão se tornado apenas números em uma conta, prontos para serem retirados pelos atacantes a qualquer momento.
A maioria das pessoas compra carteiras de hardware para se proteger de ataques de phishing online e de vulnerabilidades em contratos inteligentes. Mas esse tipo de “ataque man-in-the-middle” à cadeia de fornecimento física atinge justamente o ponto cego mais vulnerável da segurança física.
O status de revendedor oficialmente autorizado, por si só, não garante a integridade física do dispositivo. Ele apenas comprova uma relação comercial e não consegue impedir alterações maliciosas feitas por qualquer intermediário na cadeia de distribuição.
A verdadeira custódia própria on-chain não pode depender cegamente da lógica de um único dispositivo de hardware. Carteiras de hardware são apenas ferramentas para evitar a exposição online de chaves privadas; elas não conseguem se defender contra implantes físicos feitos no nível da cadeia de fornecimento.
Apostar toda a segurança dos ativos em um único dispositivo físico é, por si só, perigoso. Para grandes quantias, uma arquitetura multisig (Multi-Sig) ou soluções de carteiras frias adquiridas por canais de fornecimento completamente distintos continuam sendo indispensáveis. Afinal, diante de interesses suficientemente grandes, quanto mais vezes um dispositivo físico muda de mãos durante o transporte, mais difícil se torna garantir que seus circuitos internos estejam absolutamente livres de alterações.
#Ledger确认用户设备遭植入未授权硬件
Uma loja na Malásia, que há anos ostentava o título de revendedora oficialmente autorizada, não enviava diretamente aos usuários os dispositivos originais recebidos da fábrica. Em vez disso, realizava um sequestro físico em uma etapa presencial da cadeia de distribuição. Usando uma técnica de microssoldagem extremamente precisa, hackers implantaram às escondidas um microchip espião na placa de circuito impresso de cada carteira de hardware Ledger.
Esse chip adicional funciona como um dispositivo de escuta física escondido nas sombras. No instante em que o usuário recebe um dispositivo lacrado e novo, cria uma frase-semente e gera uma chave privada como de costume, o chip intercepta e registra simultaneamente essas informações essenciais em segundo plano. Em seguida, por meio de um módulo sem fio pré-programado no chip ou de um protocolo de comunicação falsificado, os hackers enviam secretamente a chave privada para um servidor remoto.
Todo o processo dispensa qualquer capacidade avançada de exploração de vulnerabilidades de software por parte dos atacantes e não exige que os usuários sejam induzidos a assinar contratos maliciosos. Basta que a chave privada seja exposta no momento em que é gerada no dispositivo físico. Depois disso, mesmo que você desconecte o dispositivo da internet e o deixe guardado em um cofre, todos os seus ativos já terão se tornado apenas números em uma conta, prontos para serem retirados pelos atacantes a qualquer momento.
A maioria das pessoas compra carteiras de hardware para se proteger de ataques de phishing online e de vulnerabilidades em contratos inteligentes. Mas esse tipo de “ataque man-in-the-middle” à cadeia de fornecimento física atinge justamente o ponto cego mais vulnerável da segurança física.
O status de revendedor oficialmente autorizado, por si só, não garante a integridade física do dispositivo. Ele apenas comprova uma relação comercial e não consegue impedir alterações maliciosas feitas por qualquer intermediário na cadeia de distribuição.
A verdadeira custódia própria on-chain não pode depender cegamente da lógica de um único dispositivo de hardware. Carteiras de hardware são apenas ferramentas para evitar a exposição online de chaves privadas; elas não conseguem se defender contra implantes físicos feitos no nível da cadeia de fornecimento.
Apostar toda a segurança dos ativos em um único dispositivo físico é, por si só, perigoso. Para grandes quantias, uma arquitetura multisig (Multi-Sig) ou soluções de carteiras frias adquiridas por canais de fornecimento completamente distintos continuam sendo indispensáveis. Afinal, diante de interesses suficientemente grandes, quanto mais vezes um dispositivo físico muda de mãos durante o transporte, mais difícil se torna garantir que seus circuitos internos estejam absolutamente livres de alterações.
#Ledger确认用户设备遭植入未授权硬件