A polícia de Singapura detetou componentes de hardware maliciosos em algumas carteiras de criptomoedas Ledger compradas em lojas na cidade-Estado. Foram comunicados pelo menos dois casos desde 10 de setembro, envolvendo perdas de cerca de 3,5 milhões de dólares de Singapura (S$), ou aproximadamente 2,7 milhões de dólares. A Força Policial de Singapura alertou para os dispositivos num comunicado divulgado na quarta-feira.
As investigações iniciais concluíram que alguns componentes poderiam ser usados para capturar frases de recuperação ou chaves privadas. Depois, pessoas não autorizadas poderiam abrir as carteiras e transferir ativos sem o conhecimento ou consentimento dos proprietários. O comunicado não identificou nenhuma loja. A polícia está em contacto com a Ledger, que está a investigar os casos afetados. A investigação policial continua. A polícia alertou os utilizadores para não introduzirem frases de recuperação nem efetuarem transações em dispositivos que suspeitem poder ter sido comprometidos.
Polícia de Singapura alerta contra a partilha de chaves e frases-semente
A polícia de Singapura também alertou contra a partilha de chaves ou frases-semente com qualquer pessoa, incluindo indivíduos que se façam passar por fornecedores de carteiras, corretoras ou agentes da polícia. O primeiro relatório de Singapura foi apresentado cerca de um mês antes da divulgação pública do incidente mais amplo, em 9 de outubro. Nesse dia, a Ledger pediu a suspensão das vendas e dos envios da CryptoBilis, uma revendedora autorizada na Indonésia, na Malásia e nas Filipinas.
Na altura, a Cryptopolitan noticiou que alegadamente tinham sido roubados mais de 86 milhões de dólares em Bitcoin, Ethereum e Tron das carteiras vendidas pela loja. A Ledger não confirmou o montante. A 10 de outubro, a Ledger afirmou ter detetado um implante de hardware não autorizado no dispositivo de um cliente. O chip, escondido no interior da caixa do Nano X, lia no ecrã a frase de recuperação de 24 palavras durante a configuração e enviava-a através de um cartão SIM integrado, usando LTE.
A equipa de segurança Donjon da Ledger afirmou que o chip não afetava o Secure Element, o sistema operativo nem o processo de assinatura. Por isso, nunca acionou o teste de autenticidade «Genuine Check» da empresa. Nos dias seguintes, vieram a público duas alegações em Singapura. O antigo diretor executivo da Mt. Gox, Mark Karpelès, afirmou ter comprado no aeroporto de Singapura um Ledger Flex com um implante espião. Um proprietário disse que um dispositivo comprado na loja local de informática Challenger tinha sido adulterado e que, mais tarde, a Ledger lhe enviou uma unidade de substituição.
A 13 de outubro, a Ledger pediu a retalhistas na Indonésia, em Singapura, na Tailândia, nas Filipinas, no Vietname, na Malásia e em Hong Kong que suspendessem as vendas dos seus produtos. Numa publicação de 28 de outubro, a Ledger afirmou que todas as perdas confirmadas estavam associadas a dispositivos vendidos através de um número limitado de revendedores. A empresa não confirmou qualquer perda de fundos relacionada com um dispositivo comprado fora do Sudeste Asiático e não vê indícios de que a sua infraestrutura, os seus sistemas ou o seu canal de vendas diretas tenham sido comprometidos.
«Os valores que circulam na Internet provêm de terceiros e a Ledger não os verificou integralmente», afirmou a empresa a 22 de outubro. A solução mais duradoura da Ledger é o Atom, um dispositivo de 849 dólares que a empresa apresentou no seu evento Op3n, em Paris, a 15 de outubro. O Atom só será lançado, no mínimo, no verão de 2027, e as suas proteções contra adulteração não serão instaladas retroativamente nos dispositivos Nano, Flex e Stax já em circulação.
A publicação «Polícia de Singapura alerta residentes para carteiras Ledger comprometidas» foi publicada originalmente na Coinfea.