Ledger confirma: havia de facto um implante de hardware não autorizado no dispositivo de um utilizador afetado. O que importa é isto: não é FUD; foi a própria fabricante que o admitiu, e a origem aponta para a cadeia de abastecimento, não para uma invasão do firmware.
Factos confirmados: o incidente veio a público a 9 de outubro. Os dispositivos envolvidos são rastreáveis até à CryptoBilis, uma distribuidora do Sudeste Asiático que suspendeu todas as vendas e envios de carteiras de hardware. A Ledger afirma não haver indícios de que a sua própria infraestrutura, os seus sistemas ou serviços tenham sido comprometidos; está a colaborar com as autoridades e agradeceu à SEAL_911 pela ajuda na investigação. Os valores das perdas variam: investigadores on-chain apontam para mais de 86 milhões de dólares, a MistTrack estima quase 90 milhões e a Bitquery calcula cerca de 92,9 milhões, envolvendo 311 carteiras. A Ledger ainda não confirmou estes valores, e os investigadores também não provaram que o implante tenha sido a causa direta dos roubos. Há relatos de que a peça modificada poderá ser uma placa de circuito minúscula sob o ecrã, possivelmente usada para ler o que aparece nele, mas isso também não foi confirmado oficialmente.
O que realmente dói é isto: a promessa de uma carteira de hardware é «confio neste dispositivo físico, não na rede». Mas, ao comprá-la a terceiros, estás a confiar numa cadeia de abastecimento inteira que nem sequer consegues ver. O firmware pode ser verificado por assinatura; aquela pequena placa soldada debaixo do ecrã, não.
Três medidas práticas. Primeiro: se compraste uma Ledger à CryptoBilis nos últimos 90 dias e ainda não a inicializaste, não a ligues; contacta diretamente o apoio oficial. Segundo: se já a inicializaste, a opção mais segura é criar uma nova carteira com uma nova frase de recuperação num dispositivo novo e transferir os ativos — trocar apenas de dispositivo, sem mudar a frase de recuperação, não adianta. Terceiro: a maior ameaça neste momento são os ataques de phishing. Há sites falsos à caça das tuas 24 palavras; a empresa nunca te vai pedir a frase de recuperação. E, já agora, esta situação é motivo para reconsiderar a concentração de todos os ativos num único dispositivo e numa única frase de recuperação — incluindo os $BTC e os teus $ETH .
Em que situação deixarias de confiar num dispositivo de autocustódia: num caso como este, envolvendo a cadeia de abastecimento, ou só a palavra «hardware» já te dá tranquilidade?
#Ledger confirma que o dispositivo de um utilizador foi afetado por hardware não autorizado
Factos confirmados: o incidente veio a público a 9 de outubro. Os dispositivos envolvidos são rastreáveis até à CryptoBilis, uma distribuidora do Sudeste Asiático que suspendeu todas as vendas e envios de carteiras de hardware. A Ledger afirma não haver indícios de que a sua própria infraestrutura, os seus sistemas ou serviços tenham sido comprometidos; está a colaborar com as autoridades e agradeceu à SEAL_911 pela ajuda na investigação. Os valores das perdas variam: investigadores on-chain apontam para mais de 86 milhões de dólares, a MistTrack estima quase 90 milhões e a Bitquery calcula cerca de 92,9 milhões, envolvendo 311 carteiras. A Ledger ainda não confirmou estes valores, e os investigadores também não provaram que o implante tenha sido a causa direta dos roubos. Há relatos de que a peça modificada poderá ser uma placa de circuito minúscula sob o ecrã, possivelmente usada para ler o que aparece nele, mas isso também não foi confirmado oficialmente.
O que realmente dói é isto: a promessa de uma carteira de hardware é «confio neste dispositivo físico, não na rede». Mas, ao comprá-la a terceiros, estás a confiar numa cadeia de abastecimento inteira que nem sequer consegues ver. O firmware pode ser verificado por assinatura; aquela pequena placa soldada debaixo do ecrã, não.
Três medidas práticas. Primeiro: se compraste uma Ledger à CryptoBilis nos últimos 90 dias e ainda não a inicializaste, não a ligues; contacta diretamente o apoio oficial. Segundo: se já a inicializaste, a opção mais segura é criar uma nova carteira com uma nova frase de recuperação num dispositivo novo e transferir os ativos — trocar apenas de dispositivo, sem mudar a frase de recuperação, não adianta. Terceiro: a maior ameaça neste momento são os ataques de phishing. Há sites falsos à caça das tuas 24 palavras; a empresa nunca te vai pedir a frase de recuperação. E, já agora, esta situação é motivo para reconsiderar a concentração de todos os ativos num único dispositivo e numa única frase de recuperação — incluindo os $BTC e os teus $ETH .
Em que situação deixarias de confiar num dispositivo de autocustódia: num caso como este, envolvendo a cadeia de abastecimento, ou só a palavra «hardware» já te dá tranquilidade?
#Ledger confirma que o dispositivo de um utilizador foi afetado por hardware não autorizado