A Ledger reconheceu em 10 de outubro que, em um caso de roubo de fundos de usuários, havia um “implante de hardware não autorizado” nos dispositivos afetados. Em 11 de outubro, informou ainda que todos os casos confirmados de roubo de criptomoedas envolveram dispositivos vendidos pela revendedora CryptoBilis e que o número de dispositivos afetados era “limitado”. Isso já é um problema no nível da cadeia de suprimentos, não um caso de usuários clicando no link errado de phishing.
Fatos conhecidos: a Ledger não revelou o modelo exato dos dispositivos com implantes, como eles funcionavam nem qual foi seu papel no roubo de criptomoedas. A CryptoBilis era revendedora autorizada da Ledger na Malásia, na Indonésia e nas Filipinas, e agora suspendeu as vendas de todo o seu estoque de carteiras de hardware — uma medida mais ampla do que a solicitação da Ledger, em 9 de outubro, para suspender as vendas apenas dos próprios dispositivos. A Ledger enfatizou que seu firmware, seus sistemas, serviços e canais de venda direta não foram comprometidos. Quanto ao valor das perdas, a Ledger não confirmou nenhum número. As estimativas de empresas de análise on-chain variam de 72 milhões a 92,9 milhões de dólares, envolvendo 311 carteiras distribuídas entre $BTC , $ETH , TRON e BNB Chain.
O que realmente vale a pena discutir não é se “as carteiras de hardware ainda são seguras”, mas onde depositamos nossa confiança. O modelo de segurança completo de uma carteira de hardware parte do pressuposto de que “ninguém mexeu no dispositivo depois que ele saiu da fábrica”. Esse pressuposto depende da gestão do estoque e da cadeia de distribuição — justamente o elo menos visível e mais fácil de comprometer. Há relatos de que pequenas placas de circuito foram instaladas sob a tela dos dispositivos e de que as 24 palavras de recuperação foram enviadas de volta por uma rede celular, mas a Ledger não confirmou nenhum desses detalhes; por enquanto, trate-os apenas como pistas.
Uma recomendação prática para quem comprou dispositivos da CryptoBilis: não configure um dispositivo que ainda esteja lacrado. Se você já o configurou e transferiu criptomoedas, não restaure a mesma frase de recuperação em um dispositivo novo — isso recriaria as mesmas chaves privadas e contas. Em vez disso, gere uma nova frase de recuperação e faça a migração. Qualquer “atendente” que pedir suas 24 palavras de recuperação é um golpista.
Minha pergunta é: se até uma “revendedora autorizada” pode apresentar problemas, você ainda compraria uma carteira fria por canais de terceiros ou preferiria pagar um pouco mais para receber diretamente da loja oficial?
#Ledger confirma implante de hardware não autorizado em dispositivos de usuários
Fatos conhecidos: a Ledger não revelou o modelo exato dos dispositivos com implantes, como eles funcionavam nem qual foi seu papel no roubo de criptomoedas. A CryptoBilis era revendedora autorizada da Ledger na Malásia, na Indonésia e nas Filipinas, e agora suspendeu as vendas de todo o seu estoque de carteiras de hardware — uma medida mais ampla do que a solicitação da Ledger, em 9 de outubro, para suspender as vendas apenas dos próprios dispositivos. A Ledger enfatizou que seu firmware, seus sistemas, serviços e canais de venda direta não foram comprometidos. Quanto ao valor das perdas, a Ledger não confirmou nenhum número. As estimativas de empresas de análise on-chain variam de 72 milhões a 92,9 milhões de dólares, envolvendo 311 carteiras distribuídas entre $BTC , $ETH , TRON e BNB Chain.
O que realmente vale a pena discutir não é se “as carteiras de hardware ainda são seguras”, mas onde depositamos nossa confiança. O modelo de segurança completo de uma carteira de hardware parte do pressuposto de que “ninguém mexeu no dispositivo depois que ele saiu da fábrica”. Esse pressuposto depende da gestão do estoque e da cadeia de distribuição — justamente o elo menos visível e mais fácil de comprometer. Há relatos de que pequenas placas de circuito foram instaladas sob a tela dos dispositivos e de que as 24 palavras de recuperação foram enviadas de volta por uma rede celular, mas a Ledger não confirmou nenhum desses detalhes; por enquanto, trate-os apenas como pistas.
Uma recomendação prática para quem comprou dispositivos da CryptoBilis: não configure um dispositivo que ainda esteja lacrado. Se você já o configurou e transferiu criptomoedas, não restaure a mesma frase de recuperação em um dispositivo novo — isso recriaria as mesmas chaves privadas e contas. Em vez disso, gere uma nova frase de recuperação e faça a migração. Qualquer “atendente” que pedir suas 24 palavras de recuperação é um golpista.
Minha pergunta é: se até uma “revendedora autorizada” pode apresentar problemas, você ainda compraria uma carteira fria por canais de terceiros ou preferiria pagar um pouco mais para receber diretamente da loja oficial?
#Ledger confirma implante de hardware não autorizado em dispositivos de usuários