A Ledger suspendeu a venda de carteiras de hardware em 7 mercados asiáticos após a instalação de componentes não autorizados nos dispositivos, suspeitos de causar prejuízos de 86 milhões de dólares.
A Ledger pediu aos revendedores e distribuidores do Sudeste Asiático e de Hong Kong que suspendessem a venda das carteiras de hardware da empresa e retirassem os produtos das prateleiras enquanto investiga dispositivos nos quais foram instalados componentes não autorizados. A empresa divulgou a informação na rede social X na terça-feira. A suspensão das vendas se aplica a 7 mercados: Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
Segundo a Ledger, os casos confirmados até o momento se limitam ao Sudeste Asiático. A empresa não confirmou nenhum caso de perda de ativos relacionado a dispositivos comprados em outras regiões. Anteriormente, a Ledger informou que todos os casos de perdas confirmados envolviam dispositivos vendidos pela CryptoBilis, uma distribuidora da região.
A equipe de pesquisa de segurança Donjon, da Ledger, descobriu um componente implantado ilegalmente capaz de ler a frase de recuperação de 24 palavras exibida na tela durante a configuração inicial. Essas informações eram então transmitidas para o exterior por meio de uma conexão móvel LTE. Qualquer pessoa que tenha acesso à frase de recuperação pode restaurar a carteira e transferir todos os ativos para outro lugar. O investigador de transações on-chain Specter rastreou possíveis roubos que totalizam mais de US$ 86 milhões. No entanto, a Ledger afirmou que ainda não conseguiu confirmar esse valor.
A vulnerabilidade está na cadeia de distribuição
O caso mostra que os riscos para as carteiras de hardware não vêm apenas do software ou da infraestrutura do fabricante, mas também da etapa em que os dispositivos chegam às mãos dos usuários. A Ledger ainda está investigando para determinar quem adulterou os dispositivos e em que ponto da cadeia de distribuição isso aconteceu. A empresa afirma que, até o momento, não há indícios de que sua infraestrutura, seus sistemas, serviços ou canais de venda direta tenham sido comprometidos.
O impacto do caso chegou à Europa. Também na terça-feira, a rede varejista de eletrônicos MediaMarkt Saturn suspendeu a venda de produtos Ledger em suas lojas e canais online, com o consentimento da Ledger. A decisão foi tomada depois que um cliente na Alemanha relatou ter encontrado um componente implantado ilegalmente dentro de um dispositivo. A Ledger divulgou a informação em uma publicação separada no X. Até o momento, não foi registrada nenhuma perda de ativos nesse caso.
A concorrente da Ledger também reagiu rapidamente. Na terça-feira, a fabricante de carteiras de hardware Trezor anunciou que deixará de autorizar revendedores a partir de 1º de janeiro de 2027. A Trezor chamou a medida de “preventiva” e afirmou que, até o momento, não há evidências de que seus dispositivos tenham sido comprometidos.
Esse acontecimento levanta questões importantes sobre o modelo de distribuição de carteiras de hardware por meio de terceiros. Esse modelo ajuda os fabricantes a expandir rapidamente sua presença no mercado, mas também cria pontos vulneráveis adicionais que podem ser explorados por atacantes. Para os usuários dos mercados afetados, entre eles o Vietnã, a procedência do dispositivo está se tornando um fator de segurança tão importante quanto a própria tecnologia da carteira.