Em 9 de outubro, o cofre mais confiável do mundo cripto foi arrombado. O sistema criptográfico da Ledger permaneceu intacto, e ninguém clicou em links de phishing. O problema aconteceu numa etapa anterior. Alguém viu sua frase de recuperação antes mesmo de o dispositivo chegar às suas mãos.
Vamos começar pelo que aconteceu. Em 9 de outubro, o investigador on-chain Specter notou uma enxurrada de relatos de usuários da Ledger roubados no X e no Reddit. Ao seguir os rastros on-chain, descobriu que mais de 300 carteiras tinham sido esvaziadas em várias redes, incluindo Bitcoin, Ethereum e TRON. Pesquisadores independentes estimaram as perdas entre 86 milhões e 93 milhões de dólares. Em seguida, a Ledger publicou dois comunicados confirmando que, em todos os casos verificados, os dispositivos tinham sido adquiridos do mesmo revendedor do Sudeste Asiático, a CryptoBilis, e que um implante de hardware não autorizado foi de fato encontrado em um dos dispositivos afetados.
Mark Karpelès, ex-CEO da Mt. Gox, abriu um dispositivo aparentemente intacto e descobriu como o implante funcionava. Escondido sob o revestimento da tela havia um pequeno módulo: um microcontrolador conectado à linha de dados SPI da tela, um módulo LTE com eSIM e uma antena. Quando você liga o aparelho para gerar a frase de recuperação, as palavras aparecem uma a uma na tela para que você as anote. O módulo fica conectado à linha de dados da tela, escutando tudo às escondidas, registra as 24 palavras e depois as envia aos invasores pela rede móvel. Daí em diante, é simples: eles usam a frase de recuperação para esvaziar a carteira.
O mais revoltante é que o dispositivo passa na verificação de autenticidade da Ledger. O elemento seguro é genuíno, a frase de recuperação é genuína, e a assinatura também. O elemento seguro pode garantir que a chave privada não seja extraída, mas não pode impedir que alguém fotografe a tela. A chave privada nunca saiu do dispositivo, mas a frase de recuperação foi copiada naqueles poucos segundos em que ficou visível.
O que dá ainda mais calafrios é que esse esquema já passou por três gerações. A primeira ainda era montada manualmente com fios soldados, e até a bateria precisava ser trocada por uma menor. Na segunda geração, passaram a usar uma placa de circuito flexível. A terceira e mais recente é a mais assustadora: ao abrir o aparelho, a bateria e a placa-mãe originais continuam lá; há apenas uma fina antena preta a mais na borda superior da carcaça. Isso não é obra de uma pessoa trabalhando à mão, mas uma cadeia de ataque à cadeia de suprimentos, com pesquisa e desenvolvimento, iterações e capacidade de organização.
O que isso significa para nós, pequenos investidores? Vou explicar em três pontos. Primeiro: compre carteiras de hardware apenas no site oficial. Não importa se o revendedor parece confiável ou se o preço é algumas dezenas de yuans mais baixo: não arrisque. Todos os dispositivos afetados desta vez vieram de revendedores; nenhum comprado diretamente no site oficial foi comprometido. Segundo: quando receber o produto, não tenha pressa para usá-lo. Confira o lacre da embalagem, sinta o peso e verifique se há algum objeto estranho no aparelho. Se algo parecer errado, entre em contato diretamente com o suporte oficial. Para ser sincero, a antena da terceira geração está tão bem escondida que talvez não seja possível detectá-la só pelo tato. Por isso, o mais seguro continua sendo seguir a primeira recomendação: comprar apenas no site oficial. A orientação da Ledger desta vez é não inicializar dispositivos que ainda não foram ativados e, para os que já estão em uso, gerar uma nova frase de recuperação. Terceiro: a Ledger nunca vai ligar nem mandar mensagem privada pedindo suas 24 palavras. Quem pedir isso é golpista. Depois deste incidente, certamente vão surgir tentativas de phishing de pessoas se passando pelo suporte oficial.
E houve ainda um desdobramento com um humor bem sombrio. Em 16 de outubro, a Chainalysis revelou que um golpista que aplicava fraudes de tarefas guardava o dinheiro roubado numa Ledger com esse tipo de implante. O resultado: os invasores levaram 60 bitcoins de uma só vez, cerca de 4,9 milhões de dólares. Um golpista foi roubado por outros golpistas; na blockchain, ninguém tem imunidade.
Minha opinião cabe numa frase: carteiras de hardware protegem contra hackers, mas não contra a sua vontade de economizar. Cada centavo poupado na compra de uma carteira é um risco para tudo o que você tem.
Onde você comprou sua carteira de hardware, no site oficial ou com um revendedor? Conte nos comentários. Quero ver quantos, como eu, já recorreram a terceiros por conveniência.
#硬件钱包 #Ledger #防骗 #供应链攻击
—— web3韭菜小凯
Aviso legal: este artigo é apenas uma partilha de estudos pessoais e não constitui qualquer recomendação de investimento. O mercado envolve riscos; invista com cautela.
Vamos começar pelo que aconteceu. Em 9 de outubro, o investigador on-chain Specter notou uma enxurrada de relatos de usuários da Ledger roubados no X e no Reddit. Ao seguir os rastros on-chain, descobriu que mais de 300 carteiras tinham sido esvaziadas em várias redes, incluindo Bitcoin, Ethereum e TRON. Pesquisadores independentes estimaram as perdas entre 86 milhões e 93 milhões de dólares. Em seguida, a Ledger publicou dois comunicados confirmando que, em todos os casos verificados, os dispositivos tinham sido adquiridos do mesmo revendedor do Sudeste Asiático, a CryptoBilis, e que um implante de hardware não autorizado foi de fato encontrado em um dos dispositivos afetados.
Mark Karpelès, ex-CEO da Mt. Gox, abriu um dispositivo aparentemente intacto e descobriu como o implante funcionava. Escondido sob o revestimento da tela havia um pequeno módulo: um microcontrolador conectado à linha de dados SPI da tela, um módulo LTE com eSIM e uma antena. Quando você liga o aparelho para gerar a frase de recuperação, as palavras aparecem uma a uma na tela para que você as anote. O módulo fica conectado à linha de dados da tela, escutando tudo às escondidas, registra as 24 palavras e depois as envia aos invasores pela rede móvel. Daí em diante, é simples: eles usam a frase de recuperação para esvaziar a carteira.
O mais revoltante é que o dispositivo passa na verificação de autenticidade da Ledger. O elemento seguro é genuíno, a frase de recuperação é genuína, e a assinatura também. O elemento seguro pode garantir que a chave privada não seja extraída, mas não pode impedir que alguém fotografe a tela. A chave privada nunca saiu do dispositivo, mas a frase de recuperação foi copiada naqueles poucos segundos em que ficou visível.
O que dá ainda mais calafrios é que esse esquema já passou por três gerações. A primeira ainda era montada manualmente com fios soldados, e até a bateria precisava ser trocada por uma menor. Na segunda geração, passaram a usar uma placa de circuito flexível. A terceira e mais recente é a mais assustadora: ao abrir o aparelho, a bateria e a placa-mãe originais continuam lá; há apenas uma fina antena preta a mais na borda superior da carcaça. Isso não é obra de uma pessoa trabalhando à mão, mas uma cadeia de ataque à cadeia de suprimentos, com pesquisa e desenvolvimento, iterações e capacidade de organização.
O que isso significa para nós, pequenos investidores? Vou explicar em três pontos. Primeiro: compre carteiras de hardware apenas no site oficial. Não importa se o revendedor parece confiável ou se o preço é algumas dezenas de yuans mais baixo: não arrisque. Todos os dispositivos afetados desta vez vieram de revendedores; nenhum comprado diretamente no site oficial foi comprometido. Segundo: quando receber o produto, não tenha pressa para usá-lo. Confira o lacre da embalagem, sinta o peso e verifique se há algum objeto estranho no aparelho. Se algo parecer errado, entre em contato diretamente com o suporte oficial. Para ser sincero, a antena da terceira geração está tão bem escondida que talvez não seja possível detectá-la só pelo tato. Por isso, o mais seguro continua sendo seguir a primeira recomendação: comprar apenas no site oficial. A orientação da Ledger desta vez é não inicializar dispositivos que ainda não foram ativados e, para os que já estão em uso, gerar uma nova frase de recuperação. Terceiro: a Ledger nunca vai ligar nem mandar mensagem privada pedindo suas 24 palavras. Quem pedir isso é golpista. Depois deste incidente, certamente vão surgir tentativas de phishing de pessoas se passando pelo suporte oficial.
E houve ainda um desdobramento com um humor bem sombrio. Em 16 de outubro, a Chainalysis revelou que um golpista que aplicava fraudes de tarefas guardava o dinheiro roubado numa Ledger com esse tipo de implante. O resultado: os invasores levaram 60 bitcoins de uma só vez, cerca de 4,9 milhões de dólares. Um golpista foi roubado por outros golpistas; na blockchain, ninguém tem imunidade.
Minha opinião cabe numa frase: carteiras de hardware protegem contra hackers, mas não contra a sua vontade de economizar. Cada centavo poupado na compra de uma carteira é um risco para tudo o que você tem.
Onde você comprou sua carteira de hardware, no site oficial ou com um revendedor? Conte nos comentários. Quero ver quantos, como eu, já recorreram a terceiros por conveniência.
#硬件钱包 #Ledger #防骗 #供应链攻击
—— web3韭菜小凯
Aviso legal: este artigo é apenas uma partilha de estudos pessoais e não constitui qualquer recomendação de investimento. O mercado envolve riscos; invista com cautela.