Quase 100 milhões de dólares foram transferidos. O primeiro boletim de ocorrência foi registrado quase um mês antes de o caso vir a público 🦖
A polícia de Singapura divulgou um comunicado em 28 de outubro: pelo menos duas carteiras de hardware Ledger foram adulteradas, com perdas totais de cerca de 3,5 milhões de dólares de Singapura, o equivalente a 2,7 milhões de dólares americanos.
📢 ⏰ 消息群里第一时间说
O primeiro boletim de ocorrência foi registrado em 10 de setembro, mas o caso só se tornou conhecido do público em 9 de outubro.
A investigação preliminar da polícia apontou que o problema estava no hardware, não em um site de phishing.
Algumas Ledger vendidas em lojas de Singapura tinham componentes maliciosos instalados.
Ou seja, você comprava um dispositivo com aparência de novo, mas alguém já havia mexido nele antes de chegar às suas mãos.
A cronologia deixa tudo mais claro:
10 de setembro: primeiro boletim de ocorrência registrado em Singapura.
9 de outubro: o problema na cadeia de suprimentos da CryptoBilis veio a público. A empresa é uma revendedora autorizada da Ledger na Indonésia, Malásia e Filipinas.
13 de outubro: a Ledger pediu a suspensão das vendas em sete mercados: Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
28 de outubro: a polícia de Singapura finalmente emitiu um alerta aos consumidores.
Quase três semanas se passaram entre a divulgação do caso e o alerta oficial.
Mark Karpeles, ex-chefe da Mt. Gox, disse que havia um implante espião dentro de uma Ledger Flex que comprou no aeroporto de Singapura.
Outro usuário disse que seu dispositivo, comprado na varejista local de informática Challenger, também havia sido adulterado. Depois, a Ledger o substituiu por um novo.
Segundo um levantamento da Cointelegraph, os ativos transferidos de carteiras que receberam componentes espiões somam quase 100 milhões de dólares 💸
Na minha opinião, o ponto principal não é uma marca específica.
É o ponto cego desse negócio de carteiras de hardware: as chaves privadas ficam offline, mas a cadeia de aquisição não.
Depois de sair da fábrica, o dispositivo passa por distribuidores, lojas, armazéns e até balcões de aeroportos. Em qualquer etapa, alguém pode inserir um componente.
E, quando o usuário recebe o dispositivo, só consegue verificar a embalagem e o cartão com a frase de recuperação. É muito difícil perceber que a placa-mãe foi substituída.
O que vale ainda mais a pena lembrar são aquelas três semanas.
O primeiro boletim de ocorrência foi registrado em 10 de setembro, o caso veio a público em 9 de outubro e o alerta oficial saiu em 28 de outubro.
Se alguém tivesse explicado claramente a situação já em 10 de setembro, quem comprou em outubro talvez não tivesse sido vítima ⚠️
O maior custo de um ataque à cadeia de suprimentos nunca é o dispositivo em si: é a informação que chega tarde demais.
Para quem tem criptoativos, as medidas são bem concretas:
Compre apenas em canais oficiais. Ao receber o dispositivo, confira o número de série no site oficial, verifique o lacre e o cartão com a frase de recuperação. Faça atualizações de firmware somente pelo aplicativo oficial.
Dispositivos de segunda mão, de lojas duty-free em aeroportos ou de procedência duvidosa devem ser considerados não confiáveis 🛡️
Um dispositivo de algumas centenas de dólares protege todo o seu patrimônio. Não vale a pena economizar nessa etapa.
Onde você comprou sua carteira de hardware? Já conferiu o número de série? 🔧
Todos os dias, acompanhe comigo as principais notícias sobre segurança cripto. Não apenas para saber o que aconteceu, mas também para entender a lógica e as oportunidades por trás dos fatos 👀🚀
A polícia de Singapura divulgou um comunicado em 28 de outubro: pelo menos duas carteiras de hardware Ledger foram adulteradas, com perdas totais de cerca de 3,5 milhões de dólares de Singapura, o equivalente a 2,7 milhões de dólares americanos.
📢 ⏰ 消息群里第一时间说
O primeiro boletim de ocorrência foi registrado em 10 de setembro, mas o caso só se tornou conhecido do público em 9 de outubro.
A investigação preliminar da polícia apontou que o problema estava no hardware, não em um site de phishing.
Algumas Ledger vendidas em lojas de Singapura tinham componentes maliciosos instalados.
Ou seja, você comprava um dispositivo com aparência de novo, mas alguém já havia mexido nele antes de chegar às suas mãos.
A cronologia deixa tudo mais claro:
10 de setembro: primeiro boletim de ocorrência registrado em Singapura.
9 de outubro: o problema na cadeia de suprimentos da CryptoBilis veio a público. A empresa é uma revendedora autorizada da Ledger na Indonésia, Malásia e Filipinas.
13 de outubro: a Ledger pediu a suspensão das vendas em sete mercados: Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
28 de outubro: a polícia de Singapura finalmente emitiu um alerta aos consumidores.
Quase três semanas se passaram entre a divulgação do caso e o alerta oficial.
Mark Karpeles, ex-chefe da Mt. Gox, disse que havia um implante espião dentro de uma Ledger Flex que comprou no aeroporto de Singapura.
Outro usuário disse que seu dispositivo, comprado na varejista local de informática Challenger, também havia sido adulterado. Depois, a Ledger o substituiu por um novo.
Segundo um levantamento da Cointelegraph, os ativos transferidos de carteiras que receberam componentes espiões somam quase 100 milhões de dólares 💸
Na minha opinião, o ponto principal não é uma marca específica.
É o ponto cego desse negócio de carteiras de hardware: as chaves privadas ficam offline, mas a cadeia de aquisição não.
Depois de sair da fábrica, o dispositivo passa por distribuidores, lojas, armazéns e até balcões de aeroportos. Em qualquer etapa, alguém pode inserir um componente.
E, quando o usuário recebe o dispositivo, só consegue verificar a embalagem e o cartão com a frase de recuperação. É muito difícil perceber que a placa-mãe foi substituída.
O que vale ainda mais a pena lembrar são aquelas três semanas.
O primeiro boletim de ocorrência foi registrado em 10 de setembro, o caso veio a público em 9 de outubro e o alerta oficial saiu em 28 de outubro.
Se alguém tivesse explicado claramente a situação já em 10 de setembro, quem comprou em outubro talvez não tivesse sido vítima ⚠️
O maior custo de um ataque à cadeia de suprimentos nunca é o dispositivo em si: é a informação que chega tarde demais.
Para quem tem criptoativos, as medidas são bem concretas:
Compre apenas em canais oficiais. Ao receber o dispositivo, confira o número de série no site oficial, verifique o lacre e o cartão com a frase de recuperação. Faça atualizações de firmware somente pelo aplicativo oficial.
Dispositivos de segunda mão, de lojas duty-free em aeroportos ou de procedência duvidosa devem ser considerados não confiáveis 🛡️
Um dispositivo de algumas centenas de dólares protege todo o seu patrimônio. Não vale a pena economizar nessa etapa.
Onde você comprou sua carteira de hardware? Já conferiu o número de série? 🔧
Todos os dias, acompanhe comigo as principais notícias sobre segurança cripto. Não apenas para saber o que aconteceu, mas também para entender a lógica e as oportunidades por trás dos fatos 👀🚀
