A Ledger revelou que um chip secreto embutido nas carteiras de hardware de sua revendedora CryptoBilis capturava as frases de recuperação de 24 palavras exibidas na tela e as transmitia pela rede celular ao invasor. Pesquisadores estimaram que o ataque tenha causado prejuízos entre US$ 84,2 milhões e US$ 93,2 milhões.
A empresa francesa revelou os detalhes do vetor de ataque pela primeira vez em uma atualização publicada em seu blog no X, na terça-feira, pela equipe de segurança, a Ledger Donjon. Esta é talvez a explicação mais detalhada de como os proprietários dos dispositivos comprometidos perderam o acesso às suas criptomoedas sem sequer tocar no software da Ledger.
Como o implante extraiu as chaves do ecrã
Segundo a Ledger, o chip adicional estava localizado no interior da caixa do dispositivo. Durante a configuração da carteira, quando o utilizador visualiza as 24 palavras que servem de cópia de segurança da conta, o microcontrolador do implante lê-as e converte-as em dados, que são transmitidos por LTE através de um cartão SIM integrado.
Um código de recuperação destes é basicamente uma conta. Com ele, pode restaurar a sua carteira noutro dispositivo de hardware sem ter de usar o dispositivo comprometido nem realizar quaisquer transações.
Atualização sobre os dispositivos Ledger na MediaMarkt Saturn 🔽
A 13 de outubro, a MediaMarkt Saturn suspendeu, em coordenação com a Ledger, a venda de dispositivos Ledger nas suas lojas e online enquanto a investigação prossegue, na sequência da denúncia de um cliente na Alemanha sobre um implante. Não foram comunicadas perdas de fundos.
Não temos qualquer indicação de que a infraestrutura, os sistemas ou os serviços da Ledger tenham sido comprometidos. O Suporte da Ledger está a analisar as denúncias dos utilizadores, e os especialistas em cibersegurança da Ledger, a Donjon, irão examinar os dispositivos que recebermos: https://t.co/QzukOZdEzq.
Se tiver dúvidas sobre um dispositivo que comprou, contacte o Suporte da Ledger através de https://t.co/QzukOZdEzq. A Ledger nunca lhe telefonará, enviará mensagens diretamente nem pedirá a sua frase de recuperação de 24 palavras.
Muitas das alegações e dos números que circulam na Internet não foram verificados. Os burlões tentam frequentemente tirar partido de incidentes como este. Para obter atualizações, consulte apenas os canais oficiais da Ledger e da MediaMarkt Saturn. Partilharemos mais informações à medida que a investigação prosseguir.
— Ledger (@Ledger) 13 de outubro de 2026
Segundo as denúncias, os dispositivos pirateados eram do modelo Ledger Nano X. Mark Karpelès, antigo CEO da Mt. Gox e atualmente na Karpeles Lab, partilhou uma imagem do implante escondido atrás do ecrã e observou que o cabo da antena deste último foi a pista. O laboratório de investigação Tibane Labs confirmou a descoberta e afirmou ter encontrado duas versões do implante, incluindo uma com um microcontrolador ST STM32G431KBU6, um eSIM de 2 × 2 mm e um módulo LTE.
Um ataque à cadeia de abastecimento, não uma falha de software
No entanto, a Ledger fez questão de esclarecer o que não foi afetado pelo ataque. O implante não danificou o Secure Element, o chip que garante a segurança das chaves privadas. Também não afetou o sistema operativo nem teve qualquer impacto nas transações e assinaturas, conforme indicado pela empresa na sua publicação no X.
A empresa classificou o incidente como um ataque físico à sua cadeia de abastecimento, e não como um ataque informático ao seu software ou aos seus processos internos. A Ledger, que afirma ter expedido mais de 8 milhões de dispositivos, salientou que o seu sistema “Genuine Check” não consegue detetar um implante se o Secure Element original permanecer intacto.
Estimativas das perdas causadas pelo roubo da Ledger ultrapassam os 86 milhões de dólares, enquanto a Tether bloqueia 10 milhões
A Ledger não divulgou dados sobre o número de vítimas nem sobre o valor envolvido. No entanto, empresas de análise on-chain fizeram as suas próprias investigações e chegaram a estimativas. Segundo as denúncias, as perdas, de cerca de 93,2 milhões de dólares, estão distribuídas por mais de 300 carteiras. Mas o investigador Specter estima que as perdas ultrapassem os 86 milhões de dólares, enquanto a Yfarmx eleva o valor para 103 milhões. A Tether está a congelar 10 milhões de dólares em USDT, a sua stablecoin, associados ao roubo.
A situação foi descoberta a 9 de outubro, quando a Ledger iniciou uma investigação sobre as alegadas perdas de fundos e pediu à CryptoBilis que deixasse de vender os seus dispositivos de assinatura. A 10 de outubro, a Ledger revelou que um dos dispositivos de utilizadores afetados continha um implante ilegal. Até agora, todas as perdas confirmadas envolvem uma unidade vendida pela CryptoBilis, revendedora autorizada na Indonésia, na Malásia e nas Filipinas.
Rivais cortam relações com a CryptoBilis
A CryptoBilis terá suspendido todas as vendas e entregas de carteiras de hardware de várias marcas nos três países e encerrado as suas lojas físicas, alargando uma medida anterior que abrangia apenas a marca Ledger. A empresa revendedora afirmou que estava a analisar a situação com a ajuda de especialistas externos.
A Trezor afirmou não ter encontrado indícios de adulteração dos seus dispositivos revendidos pela CryptoBilis, mas decidiu retirar a revendedora da sua lista de distribuidores autorizados. A OneKey afirmou que não foram comunicadas perdas relacionadas com este caso e também retirou a CryptoBilis da sua lista de revendedores autorizados. Além disso, ofereceu a substituição gratuita dos dispositivos OneKey comprados através da CryptoBilis entre 1 de março e 12 de outubro de 2026.
Denúncias para além da revendedora
“A Ledger afirmou estar a investigar denúncias de implantes em dispositivos não vendidos pela CryptoBilis, mas ainda não confirmou qualquer roubo num dispositivo comprado noutra loja”, noticiou a Cointelegraph. Além disso, segundo a Cointelegraph, um utilizador do X chamado Johannes publicou imagens de dois dispositivos Ledger que afirma ter comprado separadamente em lojas MediaMarkt na Europa e que, segundo ele, tinham ambos implantes.
A Ledger ainda não confirmou qualquer ligação entre as denúncias na Europa e o caso da CryptoBilis. Segundo a Ledger, o conselho para os utilizadores de produtos da CryptoBilis é muito claro: não inicialize um dispositivo de assinatura da CryptoBilis e, se já o tiver feito, transfira os fundos para outro dispositivo com uma nova frase de recuperação.
As mentes mais brilhantes do mundo das criptomoedas já leem a nossa newsletter. Quer juntar-se a elas?