A Tether congelou US$ 10 milhões de sua criptomoeda USDT depois que um furto drenou até US$ 93 milhões em ativos de carteiras de hardware Ledger vendidas pela CryptoBilis, enquanto a investigação sobre o fluxo de dinheiro continua e a Ledger afirma que o problema está isolado.
Informações confirmadas fornecidas pela Ledger até agora
A fabricante francesa de carteiras de criptomoedas ainda não comentou as perdas. A Ledger disse que todos os casos identificados pela empresa envolvem dispositivos vendidos pela CryptoBilis, um revendedor terceirizado que operava na Malásia, Indonésia e Filipinas. A empresa também ressaltou que não havia sinais de comprometimento dos sistemas, serviços e vendas diretas da Ledger.
Uma descoberta acrescentou um elemento de adulteração física ao caso das vulnerabilidades relacionadas ao software. Em 10 de outubro, a empresa declarou que um dos usuários afetados possuía um dispositivo no qual havia sido instalado um implante físico não autorizado, o que se tornou a primeira evidência de comprometimento físico de carteiras Ledger neste caso.
A mensagem da empresa para os compradores é muito clara. Se você comprou um dispositivo da CryptoBilis nos últimos 90 dias e ainda não o configurou, não mexa nele. Se estiver usando o dispositivo agora, transfira suas moedas para outro dispositivo com uma nova frase de recuperação.
Como os investigadores calcularam as perdas
Esses números são atribuídos a analistas de blockchain, e não à Ledger. A Bitquery estimou que o ataque envolveu o desvio de US$ 93,2 milhões de 315 carteiras em seis blockchains diferentes, principalmente em moedas USDT e TRON. A plataforma de segurança YFarmX estimou um valor maior, afirmando que o ataque retirou US$ 94,5 milhões de 521 carteiras em sete blockchains diferentes. Ambas as estimativas foram baseadas em dados públicos das blockchains.
De acordo com a análise da Bitquery, a maior parte do dinheiro roubado é atribuída à TRON, cerca de US$ 70,5 milhões, além de outros US$ 16,8 milhões em Bitcoin e US$ 3,7 milhões em Ethereum, e quantias bem menores na BNB Chain, Polygon e Solana. A operação teria sido planejada durante meses: os endereços envolvidos no roubo foram criados em 25 de setembro e fizeram dezenas de transferências de teste até o início de outubro.
A principal transferência ocorreu em 9 de outubro, quando, segundo a Bitquery, os invasores alteraram as permissões de 30 carteiras na TRON antes de transferir cerca de 203,8 BTC de 111 carteiras de Bitcoin em um único bloco, uma hora depois. Esse tipo de operação só pode ser realizado se o invasor tiver as chaves necessárias.
Isso é importante porque os emissores de stablecoins podem colocar na lista de bloqueio as moedas usadas em atividades ilegais. A Bitquery, que verificou o congelamento feito pela Tether, informou que ainda havia cerca de US$ 81 milhões em tokens rastreáveis na blockchain em 11 de outubro, mas parte dos fundos passou por serviços de mistura, como Tornado Cash e Zcash.
Reação negativa em relação a um revendedor autorizado
No entanto, a caracterização da situação pela Ledger como um problema da CryptoBilis não foi bem recebida. O revendedor tinha um selo oficial da Ledger em seu site, o que torna a Ledger responsável por essa situação, pois “não é um incidente da CryptoBilis, é um incidente da Ledger”. O usuário do X MyCryptoParadise disse à empresa para “assumir a responsabilidade por essa confusão”.
Há ainda outro lado dessa história, ligado ao histórico do revendedor. Segundo Arravind Prabu, um dos cofundadores, a CryptoBilis foi adquirida em março de 2026, e toda a equipe transferiu todos os acessos aos sistemas durante a aquisição, conforme citado pela Learning Crypto.
De acordo com os registros divulgados pela empresa, o único novo investidor foi registrado na China. Até agora, não foram estabelecidas ligações entre os roubos e a mudança de propriedade, e a investigação não encontrou adulteração por parte dos novos investidores.
A CryptoBilis suspendeu as vendas e entregas de todas as marcas que comercializa e fechou suas lojas físicas nos três países.
O implante desmontado por Mark Karpelès
Talvez a descrição mais definitiva do hardware tenha sido feita pelo fundador da Mt. Gox, Mark Karpelès. Karpelès desmontou um Ledger Nano X comprado na Malásia e, como noticiado pela Learning Crypto, descobriu componentes adicionais escondidos sob a tela: um modem celular, um eSIM e um pequeno chip que permitiria interceptar o que era exibido na tela.
Ao configurar a carteira, as palavras de recuperação são exibidas nessa tela. Um componente capaz de interceptar os dados exibidos permitiria que as palavras fossem enviadas pela rede móvel e, assim, que a carteira fosse recriada em outro lugar e o dinheiro roubado. Ainda é preciso provar se todos os dispositivos continham esses componentes.
Vale ressaltar que este caso é diferente de outro roubo ocorrido em março, que aconteceu em abril, quando golpistas usaram o aplicativo Ledger Live na App Store da Apple para roubar pelo menos US$ 9,5 milhões.
Se você está lendo isto, já está um passo à frente. Continue assim com a nossa newsletter.