A polícia de Singapura detectou componentes de hardware maliciosos em algumas carteiras de criptomoedas Ledger compradas em lojas no país.
Pelo menos dois casos foram relatados desde 10 de setembro, envolvendo prejuízos de cerca de S$ 3,5 milhões, ou aproximadamente US$ 2,7 milhões.
A SPF afirma que os componentes poderiam capturar frases de recuperação e chaves
A Força Policial de Singapura destacou os dispositivos em um comunicado divulgado na quarta-feira. As investigações iniciais constataram que alguns componentes poderiam ser usados para capturar frases de recuperação ou chaves privadas.
Assim, pessoas não autorizadas poderiam abrir as carteiras e transferir ativos sem o conhecimento ou consentimento dos proprietários. O comunicado não identificou nenhuma loja.
A polícia está em contato com a Ledger, que está investigando os casos afetados. A investigação própria da empresa continua.
O alerta da Polícia de Singapura sobre carteiras de hardware da Ledger adulteradas, publicado em seu site em 28 de outubro de 2026.
A polícia alertou os usuários para não inserir frases de recuperação nem realizar transações em dispositivos que suspeitem poder ter sido comprometidos.
A polícia também alertou contra fornecer chaves ou frases-semente a qualquer pessoa, incluindo pessoas que se fazem passar por fornecedores de carteiras, corretoras ou policiais.
As denúncias são de cerca de um mês antes do alerta da CryptoBilis de 9 de outubro
A primeira denúncia em Singapura foi registrada cerca de um mês antes da divulgação pública do incidente mais amplo, em 9 de outubro. Naquele dia, a Ledger pediu a suspensão das vendas e dos envios da CryptoBilis, revendedora autorizada na Indonésia, Malásia e Filipinas.
Na época, o Cryptopolitan noticiou que mais de US$ 86 milhões em Bitcoin, Ethereum e Tron teriam sido roubados das carteiras vendidas pela loja. A Ledger não confirmou o valor.
A Ledger afirmou em 10 de outubro que havia descoberto um implante de hardware não autorizado no dispositivo de um cliente. O chip, escondido dentro do estojo do Nano X, lia na tela a frase de recuperação de 24 palavras durante a configuração e a enviava por LTE usando um cartão SIM integrado.
A equipe de segurança Donjon da Ledger afirmou que o chip não afetava o Secure Element, o sistema operacional nem o processo de assinatura. Por isso, ele nunca acionou o teste de autenticidade “Genuine Check” da empresa.
Nos dias seguintes, vieram à tona duas denúncias em Singapura. O ex-CEO da Mt. Gox, Mark Karpelès, afirmou ter comprado no aeroporto de Singapura um Ledger Flex que tinha um implante espião.
Um proprietário afirmou que um dispositivo comprado na varejista local de informática Challenger havia sido adulterado e que, mais tarde, a Ledger enviou uma unidade substituta. Em 13 de outubro, a Ledger pediu a varejistas da Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong que suspendessem as vendas de seus produtos.
Em uma publicação de 28 de outubro, a Ledger afirmou que todas as perdas confirmadas ocorreram em dispositivos vendidos por um número limitado de revendedores. A empresa não confirmou nenhum esvaziamento de carteira relacionado a um dispositivo comprado fora do Sudeste Asiático e não vê indícios de que sua infraestrutura, seus sistemas ou seu canal de vendas direto tenham sido comprometidos.
“Os valores que circulam online vêm de terceiros e não foram totalmente verificados pela Ledger”, afirmou a empresa em 22 de outubro.
A solução mais duradoura da Ledger é o Atom, um dispositivo de US$ 849 apresentado pela empresa durante o evento Op3n, em Paris, em 15 de outubro. O Atom só será enviado a partir do verão de 2027, no mínimo, e suas proteções contra adulteração não serão adaptadas às unidades Nano, Flex e Stax que já estão em circulação.
As mentes mais brilhantes do mundo cripto já leem nossa newsletter. Quer participar? Junte-se a elas.