A Ledger confirmou que uma carteira de hardware pertencente a uma das vítimas de uma grande onda de roubos no Sudeste Asiático continha um implante de hardware não autorizado.
Pesquisadores on-chain estimam que mais de US$ 86 milhões foram retirados de centenas de carteiras. A Ledger afirma que todos os casos confirmados até agora envolvem dispositivos vendidos por um único revendedor, a CryptoBilis, e que seus próprios sistemas e canais de venda direta não foram afetados.
O que aconteceu
Em 9 de outubro, clientes que compraram dispositivos Ledger por meio da CryptoBilis começaram a relatar transações não autorizadas. A CryptoBilis é uma revendedora oficial da Ledger que atende à Indonésia, à Malásia e às Filipinas. O pesquisador on-chain tanuki42 foi o primeiro a sinalizar que mais de US$ 72 milhões estavam sendo transferidos para um grupo de endereços suspeitos de roubo.
Mais tarde, outro investigador, Specter, rastreou fundos em Bitcoin, Ethereum e Tron e estimou que as perdas suspeitas ultrapassavam os 86 milhões de dólares. Mais tarde, a MistTrack e a Arkham Intelligence estimaram um valor próximo dos 90 milhões de dólares, e alguns meios de comunicação citam estimativas de até cerca de 93 milhões de dólares, distribuídos por mais de 300 carteiras.
A Ledger não verificou nenhum destes totais, e ainda não está claro se todos os roubos incluídos nas estimativas estão ligados a clientes da CryptoBilis.
O custo para uma vítima
A Lookonchain descreveu um dos casos mais dolorosos. Há quatro meses, o investidor comprou 80 BTC, então avaliados em cerca de 5,2 milhões de dólares, por aproximadamente 65 000 dólares cada, e tinha um lucro de cerca de 1,38 milhões de dólares. Há uma semana, comprou uma Ledger à CryptoBilis e depositou nela os 80 BTC. Agora, segundo a Lookonchain, perdeu tudo.
A resposta da Ledger
A Ledger agiu a 9 de outubro, pedindo à CryptoBilis que suspendesse todas as vendas e expedições enquanto investigava o caso. Aconselhou quem tivesse comprado uma Ledger a esta revendedora nos últimos 90 dias a não iniciar a configuração, caso ainda não o tivesse feito.
A 10 de outubro, a Ledger divulgou uma atualização mais grave:
“A Ledger pode confirmar que um dos dispositivos de um utilizador afetado continha um implante de hardware não autorizado. A Ledger está a contactar os utilizadores afetados no âmbito da investigação em curso. Se tiver informações relacionadas com a investigação, contacte o programa de recompensas da Ledger: bounty@ledger.fr.”
Numa atualização divulgada após 72 horas, a Ledger afirmou que está a colaborar com as autoridades competentes e que o número de dispositivos afetados é limitado. Acrescentou:
“Até à data, todos os casos confirmados relacionados com o incidente de esvaziamento divulgado em 9 de outubro de 2026 envolvem dispositivos vendidos através da revendedora CryptoBilis, no Sudeste Asiático. Os nossos sistemas e canais de venda direta não foram afetados.”
A CryptoBilis suspendeu as vendas de todo o seu inventário de carteiras de hardware enquanto decorre a análise.
O que os investigadores encontraram no interior
Antes da confirmação da Ledger, os investigadores já estavam a examinar dispositivos adulterados. A Tibane Labs publicou um documento técnico que descreve um dispositivo com um microcontrolador e hardware de comunicação celular ligados às linhas de dados internas do ecrã. De acordo com notícias sobre segurança, investigadores — entre eles Joe Grand, da Grand Idea Studio, e a equipa da Tibane Labs — fizeram engenharia inversa a dispositivos comprometidos e identificaram três versões do implante.
Segundo o mecanismo descrito, o implante captura a frase de recuperação durante a configuração do dispositivo. Uma frase de recuperação consiste em 12 ou 24 palavras que dão acesso à carteira, pelo que qualquer pessoa que a obtenha pode esvaziar a carteira a partir de qualquer lugar. Isso explicaria por que razão as vítimas perderam fundos sem nunca terem autorizado uma transação.
Uma ressalva importante: a Ledger não confirmou que o implante tenha causado os roubos, e o mecanismo exato ainda está a ser investigado. A técnica de ataque foi comunicada por investigadores, mas não foi confirmada pela Ledger.
Uma questão sobre a CryptoBilis
Uma declaração partilhada com o investigador Mark Karpelès e publicada pela Tibane Labs afirmou que a CryptoBilis concluiu uma transição de gestão em março e que os autores já não controlam os sistemas nem as bases de dados de clientes da empresa. A declaração não esclarece quem adulterou os dispositivos nem quando, e essa questão continua em aberto.
Porque este é um tipo de ataque diferente
A maioria dos roubos de criptomoedas este ano envolveu ataques a plataformas de câmbio, explorações de contratos inteligentes ou phishing. Este ataque visa o próprio hardware, antes mesmo de o utilizador lhe tocar. É um ataque à cadeia de abastecimento: o produto é alterado algures entre a fábrica e a sua casa, e é por isso que pode enganar até os utilizadores mais cuidadosos, mesmo que façam tudo corretamente do seu lado.
O ataque também visa a categoria de autocustódia em que as pessoas mais confiam. As carteiras de hardware são promovidas como a forma mais segura de guardar criptomoedas, porque as chaves privadas permanecem offline. Um dispositivo adulterado põe essa promessa em causa quando é comprado a uma fonte não verificada ou alterada.
O que os utilizadores da Ledger devem fazer
Seguindo as orientações da Ledger e as práticas de segurança habituais:
– Se comprou à CryptoBilis nos últimos 90 dias e ainda não configurou o dispositivo: não o ligue nem o inicialize. – Se já utiliza um dispositivo comprado à CryptoBilis: substitua tanto o dispositivo como a frase de recuperação e transfira os seus fundos para uma nova carteira criada num dispositivo de confiança. – Para todos os outros: compre carteiras de hardware diretamente ao fabricante ou através de um canal oficialmente verificado, nunca utilize um dispositivo que chegue pré-inicializado ou com uma frase de recuperação já anotada e certifique-se de que os selos da embalagem estão intactos. – Se tiver informações sobre o caso: a Ledger pede que contacte o seu programa de recompensas através de bounty@ledger.fr.
O que acontece a seguir
A investigação está em curso e a Ledger diz que está a colaborar com as autoridades policiais. Continuam por esclarecer questões importantes: quantos dispositivos foram adulterados, em que ponto da cadeia de abastecimento os implantes foram introduzidos e se o total final das perdas corresponderá às estimativas atuais de 86 a 93 milhões de dólares ou as ultrapassará. Esperam-se novas conclusões técnicas da Tibane Labs e de outros investigadores, um possível relatório forense da Ledger e um escrutínio mais rigoroso da forma como os fabricantes de carteiras de hardware avaliam e monitorizam os seus revendedores.