O caso de roubo de carteiras de hardware Ledger ganhou uma nova atualização ontem: o rastreamento on-chain identificou 335 endereços, com cerca de US$ 102 milhões.
O mais revoltante é que esses dispositivos foram comprados por canais legítimos. A carcaça era original, a embalagem era verdadeira e eles passaram pela verificação oficial de autenticidade. O problema estava dentro da carcaça: alguém instalou um chip de aproximadamente 2 mm, conectado ao cabo de dados da tela, junto com um módulo de rede móvel.
Quando você inicializa a carteira e copia aquelas 24 palavras exibidas na tela, o chip fotografa o conteúdo e o envia diretamente pela rede móvel. O processo não toca no chip de segurança nem altera o firmware, então não é detectado no nível do software.
As vítimas não fizeram nada de errado: não compartilharam a frase de recuperação, não aprovaram nenhuma assinatura, mas mesmo assim ficaram sem os ativos.
As estimativas das empresas de análise on-chain variam bastante: a Bitquery aponta US$ 102 milhões, a Specter, mais de US$ 86 milhões, e os 152 endereços identificados pela Arkham somam cerca de US$ 71,6 milhões. A Ledger não confirmou nenhum valor; apenas disse que se trata de um crime organizado direcionado à cadeia de distribuição.
Na minha opinião, as carteiras de hardware resolvem o problema de «manter a chave privada offline», mas não garantem que «a caixa que você tem em mãos seja original». A primeira coisa a fazer depois da compra deveria ser conferir o lacre, em vez de simplesmente conectar o dispositivo e começar a usar.
Se você usa uma carteira de hardware, compra diretamente no site oficial ou por meio de terceiros?
#BTC #钱包安全 #cripto
O mais revoltante é que esses dispositivos foram comprados por canais legítimos. A carcaça era original, a embalagem era verdadeira e eles passaram pela verificação oficial de autenticidade. O problema estava dentro da carcaça: alguém instalou um chip de aproximadamente 2 mm, conectado ao cabo de dados da tela, junto com um módulo de rede móvel.
Quando você inicializa a carteira e copia aquelas 24 palavras exibidas na tela, o chip fotografa o conteúdo e o envia diretamente pela rede móvel. O processo não toca no chip de segurança nem altera o firmware, então não é detectado no nível do software.
As vítimas não fizeram nada de errado: não compartilharam a frase de recuperação, não aprovaram nenhuma assinatura, mas mesmo assim ficaram sem os ativos.
As estimativas das empresas de análise on-chain variam bastante: a Bitquery aponta US$ 102 milhões, a Specter, mais de US$ 86 milhões, e os 152 endereços identificados pela Arkham somam cerca de US$ 71,6 milhões. A Ledger não confirmou nenhum valor; apenas disse que se trata de um crime organizado direcionado à cadeia de distribuição.
Na minha opinião, as carteiras de hardware resolvem o problema de «manter a chave privada offline», mas não garantem que «a caixa que você tem em mãos seja original». A primeira coisa a fazer depois da compra deveria ser conferir o lacre, em vez de simplesmente conectar o dispositivo e começar a usar.
Se você usa uma carteira de hardware, compra diretamente no site oficial ou por meio de terceiros?
#BTC #钱包安全 #cripto