Carteiras Ledger vendidas pela CryptoBilis tinham implante de hardware; perdas passam de US$ 86 milhões, dizem analistas

A fabricante de carteiras de hardware Ledger confirmou que pelo menos um dispositivo comprado de um revendedor no Sudeste Asiático continha um implante de hardware não autorizado, ou seja, uma modificação física feita no aparelho sem o conhecimento do comprador. A confirmação veio em uma publicação da empresa no X no sábado (10/10), segundo o Cointelegraph. O revendedor suspendeu as vendas de carteiras de hardware, e as estimativas do prejuízo variam conforme a fonte: de US$ 86 milhões a US$ 94,5 milhões, valores que a Ledger não confirmou.

O que é uma carteira de hardware e por que o caso preocupa

Carteiras de hardware, como as da Ledger, são dispositivos físicos usados para guardar as chaves que dão acesso às criptomoedas do usuário. Por isso, uma adulteração no aparelho é um problema sério: quem tem as chaves pode movimentar os fundos. Segundo o CoinDesk, o atacante parece ter obtido as chaves necessárias para esvaziar diretamente centenas de carteiras. A Ledger, porém, não explicou como os aparelhos foram adulterados nem se a carteira usada no roubo foi comprometida da mesma forma que o aparelho com o implante.

Como o caso veio à tona

De acordo com o Cointelegraph, a Ledger já investigava relatos de perdas ligadas a aparelhos comprados de um revendedor chamado CryptoBilis, que constava como revendedor autorizado da marca na Indonésia, na Malásia e nas Filipinas. Na publicação de sábado, a Ledger disse estar em contato com os usuários afetados como parte da investigação, que continua em andamento. A empresa pediu que quem tenha informações sobre o caso procure o programa de recompensas (bounty) da Ledger.

Quanto foi perdido: as estimativas divergem

Os valores abaixo vêm de analistas externos, e a Ledger não confirmou quantos clientes foram afetados nem o total das perdas:

• O investigador identificado como “Specter” estimou que as perdas podem passar de US$ 86 milhões, em Bitcoin, Ethereum e Tron, segundo o Cointelegraph.
• A empresa de análise de blockchain Bitquery disse ter rastreado US$ 93,2 milhões, em 315 carteiras de seis redes, principalmente em USDT e tokens da rede Tron, segundo o CoinDesk.
• A plataforma YFarmX apontou US$ 94,5 milhões, em 521 endereços de sete redes, também segundo o CoinDesk.

O CoinDesk informa que as duas últimas estimativas se baseiam em dados públicos de blockchain, e não em um total de perdas confirmado pela Ledger. Segundo a Bitquery, cerca de US$ 81 milhões ainda podiam ser rastreados até 11/10, e parte dos fundos passou pelo Tornado Cash e pela rede Zcash. A Tether congelou US$ 10 milhões em USDT ligados ao roubo, o que a Bitquery confirmou. A Tether não respondeu de imediato ao pedido de comentário do CoinDesk.

Resposta da Ledger e do revendedor

Em nota ao Cointelegraph, a Ledger afirmou que o incidente parece estar isolado a esse único revendedor e ao seu mercado. A empresa disse também que “a infraestrutura, os sistemas e os serviços da Ledger não foram comprometidos” e que a investigação segue em andamento.

O revendedor CryptoBilis confirmou, na publicação da Ledger, que parou de vender todo o seu estoque de carteiras de hardware até o fim da investigação. A Ledger disse estar em contato ativo com o revendedor sobre os próximos passos.

Segundo o CoinDesk, a Ledger afirmou que todos os casos confirmados envolvem aparelhos vendidos por esse revendedor. A tentativa de tratar o caso como restrito à CryptoBilis gerou críticas, porque a empresa constava como revendedor autorizado no site da Ledger.

O que fazer se você comprou uma carteira desse revendedor

A Ledger publicou recomendações para quem comprou um aparelho da CryptoBilis, segundo o Cointelegraph e o CoinDesk:

• Se você ainda não configurou o aparelho, não inicie a configuração.
• Se você já configurou e usou o aparelho, considere mover seus ativos para um novo aparelho da Ledger, com uma nova frase de recuperação (a sequência de palavras que dá acesso aos fundos).
• Para dúvidas, procure o suporte pelos canais oficiais da Ledger.

Fontes

• Cointelegraph: Ledger confirma implante de hardware não autorizado
• CoinDesk: valores rastreados e congelamento de fundos

Aviso: Este artigo possui caráter estritamente informativo e educacional, não constituindo recomendação de investimento ou aconselhamento financeiro de qualquer natureza.