Em 13 de outubro, a natureza do caso mudou.
No início, o problema envolvia um distribuidor do Sudeste Asiático, a CryptoBilis.
Agora, a Ledger exige que todos os revendedores e distribuidores de 7 mercados suspendam as vendas e retirem os produtos de circulação:
Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
Na atualização de 13 de outubro, a Ledger Donjon (equipe oficial de pesquisa em segurança) confirmou o modelo específico do implante: ST STM32G431KBU6 (processador ARM Cortex-M4, 128 KB de memória flash) + módulo LTE + eSIM, escondidos dentro da carcaça do dispositivo. O implante intercepta os dados quando o dispositivo exibe a frase de recuperação durante a inicialização e os envia em tempo real pela rede 4G.
A Genuine Check (verificação oficial de autenticidade da Ledger) não consegue detectar esse implante, pois verifica apenas o elemento seguro — o implante não tocou nesse componente; apenas ficou ao lado dele, "ouvindo".
As perdas são estimadas atualmente em US$ 92,9 milhões, envolvendo 311 carteiras.
Mas o que merece ainda mais atenção é a Europa:
Mark Karpelès (ex-CEO da Mt. Gox) encontrou um modelo atualizado do implante em um Ledger Flex que comprou no aeroporto de Singapura. Um usuário alemão disse que comprou um Ledger em cada uma de duas lojas diferentes da MediaMarkt e que ambos tinham um implante. Em seguida, a MediaMarktSaturn anunciou a retirada dos produtos Ledger de suas lojas em todo o mundo.
A posição oficial da Ledger: os casos confirmados de roubo de ativos continuam limitados a dispositivos comprados da CryptoBilis; ainda não foi comprovado que dispositivos de outras regiões tenham causado perdas de ativos. No entanto, a empresa está investigando relatos relacionados à Europa.
A Trezor e a OneKey encerraram o relacionamento com a CryptoBilis.
A questão agora já não é "houve um problema com a CryptoBilis", mas sim "em que etapa da cadeia de fornecimento o implante foi inserido e qual foi o alcance dessa etapa".
Se você comprou uma carteira de hardware nos últimos 120 dias por qualquer canal que não fosse o site oficial da Ledger, no Sudeste Asiático ou em Hong Kong:
Se ainda não foi inicializada — não a ligue.
Se já foi usada — transfira seus ativos para um dispositivo novo, inicializado com uma frase de recuperação totalmente nova. Trate a frase de recuperação atual como "comprometida".
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售
No início, o problema envolvia um distribuidor do Sudeste Asiático, a CryptoBilis.
Agora, a Ledger exige que todos os revendedores e distribuidores de 7 mercados suspendam as vendas e retirem os produtos de circulação:
Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
Na atualização de 13 de outubro, a Ledger Donjon (equipe oficial de pesquisa em segurança) confirmou o modelo específico do implante: ST STM32G431KBU6 (processador ARM Cortex-M4, 128 KB de memória flash) + módulo LTE + eSIM, escondidos dentro da carcaça do dispositivo. O implante intercepta os dados quando o dispositivo exibe a frase de recuperação durante a inicialização e os envia em tempo real pela rede 4G.
A Genuine Check (verificação oficial de autenticidade da Ledger) não consegue detectar esse implante, pois verifica apenas o elemento seguro — o implante não tocou nesse componente; apenas ficou ao lado dele, "ouvindo".
As perdas são estimadas atualmente em US$ 92,9 milhões, envolvendo 311 carteiras.
Mas o que merece ainda mais atenção é a Europa:
Mark Karpelès (ex-CEO da Mt. Gox) encontrou um modelo atualizado do implante em um Ledger Flex que comprou no aeroporto de Singapura. Um usuário alemão disse que comprou um Ledger em cada uma de duas lojas diferentes da MediaMarkt e que ambos tinham um implante. Em seguida, a MediaMarktSaturn anunciou a retirada dos produtos Ledger de suas lojas em todo o mundo.
A posição oficial da Ledger: os casos confirmados de roubo de ativos continuam limitados a dispositivos comprados da CryptoBilis; ainda não foi comprovado que dispositivos de outras regiões tenham causado perdas de ativos. No entanto, a empresa está investigando relatos relacionados à Europa.
A Trezor e a OneKey encerraram o relacionamento com a CryptoBilis.
A questão agora já não é "houve um problema com a CryptoBilis", mas sim "em que etapa da cadeia de fornecimento o implante foi inserido e qual foi o alcance dessa etapa".
Se você comprou uma carteira de hardware nos últimos 120 dias por qualquer canal que não fosse o site oficial da Ledger, no Sudeste Asiático ou em Hong Kong:
Se ainda não foi inicializada — não a ligue.
Se já foi usada — transfira seus ativos para um dispositivo novo, inicializado com uma frase de recuperação totalmente nova. Trate a frase de recuperação atual como "comprometida".
$BTC
#Ledger
#ledger要求东南亚及香港经销商暂停销售