Por trás de oito milhões de unidades vendidas, alguém colocou numa carteira de hardware um chip capaz de enviar mensagens por conta própria 🦖
🚨 行情变了群里说
Na terça-feira, a equipa de investigação de segurança da Ledger, Donjon, confirmou que alguns dispositivos de assinatura vendidos pelo revendedor CryptoBilis, do Sudeste Asiático, escondiam um módulo de hardware não autorizado. O módulo monitorava especificamente o ecrã do dispositivo e, assim que a frase de recuperação aparecia, copiava as 24 palavras e enviava os dados em tempo real através da rede LTE, usando um eSIM integrado ⚠️
O mais absurdo deste esquema é que não mexe no chip de segurança, não altera o sistema nem modifica as assinaturas das transações. Na tua mão, o dispositivo parece estar perfeitamente normal, mas alguém já levou as tuas moedas.
Os números mostram que este módulo é um componente independente, com alimentação própria, que só precisa de acesso ao ecrã. Até ao momento, foi confirmado oficialmente um dispositivo afetado. O investigador on-chain Specter rastreou mais de 86 milhões de dólares em valores alegadamente roubados. Outra publicação especializada em segurança elevou a estimativa para 103 milhões de dólares, abrangendo Ethereum, Tron e Bitcoin. Já a própria Ledger afirma ter vendido mais de oito milhões de carteiras de hardware em dez anos 📉
A cronologia é curta: na sexta-feira, 9 de outubro, um utilizador comunicou uma perda; no sábado, a empresa confirmou que um dispositivo tinha sido adulterado; e só na terça-feira divulgou o método usado. A cadeia europeia MediaMarkt já retirou os produtos Ledger das lojas, o revendedor CryptoBilis suspendeu todas as vendas, e até a Trezor e a OneKey se apressaram a distanciar-se da empresa.
Na minha opinião, não se trata de um ataque informático ao software, mas de uma falha na cadeia de abastecimento. O maior argumento de venda das carteiras de hardware é que as chaves privadas nunca se ligam à internet. Mas, se o dispositivo já foi aberto antes de chegar às tuas mãos, essa promessa não passa de conversa fiada. Visto por outro ângulo, isto também explica por que motivo cada vez mais instituições preferem entregar o dinheiro a um custodiante. Podes ser capaz de proteger as tuas chaves privadas, mas isso não significa que consigas proteger a etapa da entrega.
O que vale a pena acompanhar é que especialistas de segurança já apontaram que, se os controlos contra adulteração na fábrica e a responsabilização ao longo da distribuição forem reforçados, o custo deste tipo de ataque aumentará bastante. Portanto, o que realmente deve preocupar-nos não é uma empresa específica, mas todos os canais de distribuição de hardware sem responsabilização de ponta a ponta.
Vamos conversar nos comentários: ainda te atreves a ler em voz alta a frase de recuperação da tua carteira de hardware?
Todos os dias, ajudo-te a acompanhar os temas mais quentes da segurança cripto — não apenas a saber o que aconteceu, mas também a compreender a lógica e as oportunidades por trás das notícias 👀🚀
🚨 行情变了群里说
Na terça-feira, a equipa de investigação de segurança da Ledger, Donjon, confirmou que alguns dispositivos de assinatura vendidos pelo revendedor CryptoBilis, do Sudeste Asiático, escondiam um módulo de hardware não autorizado. O módulo monitorava especificamente o ecrã do dispositivo e, assim que a frase de recuperação aparecia, copiava as 24 palavras e enviava os dados em tempo real através da rede LTE, usando um eSIM integrado ⚠️
O mais absurdo deste esquema é que não mexe no chip de segurança, não altera o sistema nem modifica as assinaturas das transações. Na tua mão, o dispositivo parece estar perfeitamente normal, mas alguém já levou as tuas moedas.
Os números mostram que este módulo é um componente independente, com alimentação própria, que só precisa de acesso ao ecrã. Até ao momento, foi confirmado oficialmente um dispositivo afetado. O investigador on-chain Specter rastreou mais de 86 milhões de dólares em valores alegadamente roubados. Outra publicação especializada em segurança elevou a estimativa para 103 milhões de dólares, abrangendo Ethereum, Tron e Bitcoin. Já a própria Ledger afirma ter vendido mais de oito milhões de carteiras de hardware em dez anos 📉
A cronologia é curta: na sexta-feira, 9 de outubro, um utilizador comunicou uma perda; no sábado, a empresa confirmou que um dispositivo tinha sido adulterado; e só na terça-feira divulgou o método usado. A cadeia europeia MediaMarkt já retirou os produtos Ledger das lojas, o revendedor CryptoBilis suspendeu todas as vendas, e até a Trezor e a OneKey se apressaram a distanciar-se da empresa.
Na minha opinião, não se trata de um ataque informático ao software, mas de uma falha na cadeia de abastecimento. O maior argumento de venda das carteiras de hardware é que as chaves privadas nunca se ligam à internet. Mas, se o dispositivo já foi aberto antes de chegar às tuas mãos, essa promessa não passa de conversa fiada. Visto por outro ângulo, isto também explica por que motivo cada vez mais instituições preferem entregar o dinheiro a um custodiante. Podes ser capaz de proteger as tuas chaves privadas, mas isso não significa que consigas proteger a etapa da entrega.
O que vale a pena acompanhar é que especialistas de segurança já apontaram que, se os controlos contra adulteração na fábrica e a responsabilização ao longo da distribuição forem reforçados, o custo deste tipo de ataque aumentará bastante. Portanto, o que realmente deve preocupar-nos não é uma empresa específica, mas todos os canais de distribuição de hardware sem responsabilização de ponta a ponta.
Vamos conversar nos comentários: ainda te atreves a ler em voz alta a frase de recuperação da tua carteira de hardware?
Todos os dias, ajudo-te a acompanhar os temas mais quentes da segurança cripto — não apenas a saber o que aconteceu, mas também a compreender a lógica e as oportunidades por trás das notícias 👀🚀