Desta vez, o problema não estava nos servidores da Ledger, mas sim no facto de os dispositivos terem sido adulterados antes de chegarem às mãos dos utilizadores.
Uma investigação divulgada a 9 de outubro revelou que um utilizador que comprou um Ledger através da distribuidora do Sudeste Asiático CryptoBilis relatou o roubo dos seus ativos. Investigadores independentes estimam que o valor envolvido poderá ultrapassar os 93 milhões de dólares. Depois de desmontar o dispositivo, descobriram que pelo menos uma unidade continha um módulo de hardware não autorizado: no momento da inicialização, quando o ecrã apresentava a frase de recuperação de 24 palavras, o módulo conseguia capturá-la e enviá-la diretamente aos atacantes através de LTE (eSIM). A 13 de outubro, a Ledger pediu no X aos distribuidores de sete mercados — Indonésia, Singapura, Tailândia, Filipinas, Vietname, Malásia e Hong Kong, na China — que suspendessem as vendas e retirassem os produtos de circulação. O âmbito da medida foi claramente alargado em relação à ocasião anterior, em que apenas uma distribuidora tinha sido identificada.
Por que razão este caso merece uma análise mais aprofundada? Porque todo o modelo de confiança das carteiras de hardware assenta na premissa de que «as chaves privadas nunca saem do chip». Mas, desta vez, o que foi contornado não foi a criptografia, e sim a cadeia de abastecimento: foi instalado hardware de terceiros entre o ecrã e o chip de segurança. Nem a assinatura do firmware nem a verificação de código aberto conseguem impedir isso — afinal, o módulo está fisicamente dentro do dispositivo e até se faz passar por um produto de fábrica. A Ledger salientou que a sua infraestrutura, os seus sistemas e os seus canais de venda direta não foram comprometidos; o problema ocorreu apenas na revenda por terceiros em regiões específicas. Até ao momento, não foram confirmados casos de roubo envolvendo compradores de outras regiões.
A minha avaliação é esta: o perímetro de segurança de uma carteira de hardware nunca esteve no chip, mas sim no passo de «onde é que a obtiveste?». As carteiras frias transferem a superfície de ataque da Internet para a logística e as prateleiras do comércio, precisamente a camada mais difícil de auditar — afinal, todos os ativos de uma pessoa, incluindo $BTC e os principais criptoativos, muitas vezes estão guardados naquele pequeno invólucro metálico que cabe na palma da mão. Há duas questões a acompanhar: em que ponto da cadeia de distribuição ocorreu a adulteração e quem a realizou; e se a análise dos dispositivos recolhidos pelo Ledger Donjon revelará mais lotes afetados.
No fim, a questão volta a cada pessoa que detém criptoativos: preferes poupar umas dezenas de yuans e receber o produto mais depressa, comprando-o a um distribuidor local, ou preferes esperar pelo envio direto do site oficial e verificar pessoalmente cada elemento da embalagem inviolável?
#Ledger exige que distribuidores do Sudeste Asiático e de Hong Kong suspendam as vendas
Uma investigação divulgada a 9 de outubro revelou que um utilizador que comprou um Ledger através da distribuidora do Sudeste Asiático CryptoBilis relatou o roubo dos seus ativos. Investigadores independentes estimam que o valor envolvido poderá ultrapassar os 93 milhões de dólares. Depois de desmontar o dispositivo, descobriram que pelo menos uma unidade continha um módulo de hardware não autorizado: no momento da inicialização, quando o ecrã apresentava a frase de recuperação de 24 palavras, o módulo conseguia capturá-la e enviá-la diretamente aos atacantes através de LTE (eSIM). A 13 de outubro, a Ledger pediu no X aos distribuidores de sete mercados — Indonésia, Singapura, Tailândia, Filipinas, Vietname, Malásia e Hong Kong, na China — que suspendessem as vendas e retirassem os produtos de circulação. O âmbito da medida foi claramente alargado em relação à ocasião anterior, em que apenas uma distribuidora tinha sido identificada.
Por que razão este caso merece uma análise mais aprofundada? Porque todo o modelo de confiança das carteiras de hardware assenta na premissa de que «as chaves privadas nunca saem do chip». Mas, desta vez, o que foi contornado não foi a criptografia, e sim a cadeia de abastecimento: foi instalado hardware de terceiros entre o ecrã e o chip de segurança. Nem a assinatura do firmware nem a verificação de código aberto conseguem impedir isso — afinal, o módulo está fisicamente dentro do dispositivo e até se faz passar por um produto de fábrica. A Ledger salientou que a sua infraestrutura, os seus sistemas e os seus canais de venda direta não foram comprometidos; o problema ocorreu apenas na revenda por terceiros em regiões específicas. Até ao momento, não foram confirmados casos de roubo envolvendo compradores de outras regiões.
A minha avaliação é esta: o perímetro de segurança de uma carteira de hardware nunca esteve no chip, mas sim no passo de «onde é que a obtiveste?». As carteiras frias transferem a superfície de ataque da Internet para a logística e as prateleiras do comércio, precisamente a camada mais difícil de auditar — afinal, todos os ativos de uma pessoa, incluindo $BTC e os principais criptoativos, muitas vezes estão guardados naquele pequeno invólucro metálico que cabe na palma da mão. Há duas questões a acompanhar: em que ponto da cadeia de distribuição ocorreu a adulteração e quem a realizou; e se a análise dos dispositivos recolhidos pelo Ledger Donjon revelará mais lotes afetados.
No fim, a questão volta a cada pessoa que detém criptoativos: preferes poupar umas dezenas de yuans e receber o produto mais depressa, comprando-o a um distribuidor local, ou preferes esperar pelo envio direto do site oficial e verificar pessoalmente cada elemento da embalagem inviolável?
#Ledger exige que distribuidores do Sudeste Asiático e de Hong Kong suspendam as vendas
