A Ledger introduziu novos requisitos de segurança para seus revendedores autorizados em 15 de outubro de 2026, depois que atacantes instalaram componentes eletrônicos ocultos dentro de carteiras de criptomoedas genuínas para roubar as frases de recuperação dos usuários e acessar seus fundos.
Resumo
- A Ledger introduziu regras mais rigorosas para revendedores depois que criminosos modificaram carteiras de hardware genuínas para roubar criptomoedas.
- Implantes ocultos capturaram frases de recuperação de carteiras durante a configuração e transmitiram informações sensíveis por meio de redes celulares.
- A Ledger suspendeu as vendas de revendedores autorizados em todo o Sudeste Asiático e Hong Kong enquanto investigava dispositivos comprometidos.
- Equipes de segurança inspecionaram dispositivos de varejo e armazéns, relatando nenhuma unidade comprometida entre suas amostras examinadas.
- A Ledger instruiu os varejistas a parar de exibir carteiras e proibir a revenda de dispositivos devolvidos sem exceções.
O fabricante de carteiras de hardware confirmou que os atacantes compraram dispositivos legítimos, modificaram-nos e os devolveram à circulação por meio de canais de distribuição no Sudeste Asiático. A Ledger suspendeu as vendas regionais de revendedores, inspecionou dispositivos de lojas de varejo e armazéns e começou a trabalhar com as autoridades para rastrear os fundos roubados.
A empresa afirma que seus sistemas internos, software operacional e chips de segurança não foram comprometidos. Os investigadores continuam a estabelecer a extensão total do ataque, incluindo como os dispositivos modificados entraram no mercado.
O ataque às carteiras Ledger envolveu implantes ocultos de frases de recuperação
A investigação da Ledger descobriu que os atacantes passaram meses preparando a operação. Eles compraram carteiras de hardware genuínas, abriram os dispositivos e inseriram componentes eletrônicos personalizados projetados para capturar frases de recuperação durante a configuração.
Uma frase de recuperação normalmente contém 24 palavras que permitem ao usuário restaurar o acesso a uma carteira de criptomoedas. Qualquer pessoa que obtenha essas palavras pode potencialmente recriar a carteira em outro dispositivo e transferir seus ativos.
Os atacantes exploraram o momento em que a frase de recuperação apareceu na tela do dispositivo. Um componente oculto coletou as palavras e as transmitiu para a infraestrutura controlada pelos criminosos.
Em sua atualização técnica de 13 de outubro, a equipe de segurança Donjon da Ledger explicou que o implante usava um microcontrolador para ler a frase e um SIM embutido para transmitir as informações por meio de uma conexão celular LTE.
A empresa afirmou que o implante operava independentemente do Elemento Seguro do dispositivo, que protege informações criptográficas sensíveis. Os investigadores não encontraram evidências de que o componente malicioso modificasse o sistema operacional ou alterasse as assinaturas de transação.
Investigações anteriores sobre chips ocultos dentro de carteiras Ledger documentaram como eletrônicos não autorizados podiam expor frases de recuperação sem alterar as funções normais de assinatura do dispositivo.
A declaração mais recente da Ledger descreveu uma operação criminosa organizada envolvendo aquisição de equipamentos, acordos de distribuição e infraestrutura para coletar credenciais roubadas de carteiras.
O fabricante afirmou que o grupo gastou milhões preparando o ataque. Não forneceu um detalhamento financeiro nem identificou os responsáveis.
Os atacantes supostamente usaram as frases de recuperação coletadas para acessar várias carteiras durante uma operação de roubo coordenada em 9 de outubro.
Embora investigadores independentes de blockchain tenham estimado perdas superiores a US$ 86 milhões, a Ledger não verificou o valor total roubado nem o número de clientes afetados.
Ledger suspende vendas de carteiras em todo o Sudeste Asiático
Após a descoberta, a Ledger pediu a revendedores e distribuidores autorizados em todo o Sudeste Asiático e Hong Kong que suspendessem as vendas de dispositivos enquanto os investigadores examinavam os canais de distribuição afetados.
As restrições abrangeram Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
A CryptoBilis, uma revendedora que opera no Sudeste Asiático, já havia sido anteriormente ligada a casos confirmados envolvendo dispositivos modificados.
A empresa suspendeu as vendas de carteiras de hardware após surgirem relatos de que clientes haviam perdido fundos.
Reportagens anteriores sobre a investigação da carteira CryptoBilis documentaram a descoberta pela Ledger de um implante não autorizado e sua resposta inicial às reclamações dos clientes.
A Ledger posteriormente ampliou suas precauções para além da revendedora após receber relatos envolvendo outros locais.
Na Alemanha, a MediaMarkt Saturn parou de vender dispositivos Ledger por meio de suas lojas físicas e plataforma online após o relato de um implante no dispositivo de um cliente.
A Ledger declarou que o caso alemão não resultou em nenhuma perda confirmada de fundos de clientes.
O incidente provocou uma suspensão separada das vendas de carteiras Ledger na Alemanha enquanto a empresa revisava dispositivos e investigava as circunstâncias.
Durante sua atualização de 15 de outubro, a Ledger disse que seus investigadores compraram dispositivos de lojas em diferentes mercados, incluindo a Alemanha, e os abriram para exame físico.
A empresa examinou amostras de armazéns e triou partes de seu próprio estoque.
Nenhum componente não autorizado foi descoberto nas amostras inspecionadas durante essas verificações, segundo a Ledger.
No entanto, a empresa não divulgou quantos dispositivos foram examinados, deixando o número total de produtos potencialmente afetados sem confirmação.
A Ledger descreveu o incidente como “um ataque de distribuição localizado” e manteve que seus sistemas de fabricação não foram responsáveis pela comprometimento.
A investigação ainda não estabeleceu com precisão onde cada dispositivo afetado foi modificado.
Ledger introduz novas regras para varejistas de carteiras de hardware
Como parte de sua resposta, a Ledger ordenou que os varejistas autorizados mudassem a forma como armazenam e vendem carteiras de hardware.
Os varejistas devem parar de colocar dispositivos Ledger em prateleiras de exibição e balcões. Em vez disso, devem manter os produtos em áreas de armazenamento e entregá-los aos clientes somente quando uma compra for realizada.
A empresa introduziu os requisitos imediatamente, explicando que as medidas destinavam-se a reduzir as oportunidades de manuseio não autorizado.
A Ledger lembrou aos vendedores autorizados que dispositivos devolvidos nunca devem ser vendidos novamente, mesmo quando sua embalagem pareça intacta ou o produto pareça não utilizado.
A regra já existia, mas a Ledger instruiu os distribuidores a segui-la sem exceções.
Os varejistas devem notificar prontamente o fabricante sempre que clientes relatarem produtos incomuns ou hardware potencialmente suspeito.
A empresa está reforçando a supervisão de sua rede de distribuição autorizada enquanto a investigação continua.
A Ledger declarou que sua equipe de segurança conduziu a maior investigação interna da história da empresa, contando com vários departamentos.
Especialistas da Ledger Donjon desmontaram o implante recuperado e examinaram seu funcionamento para estabelecer como os atacantes coletavam frases de recuperação.
O fabricante trabalhou com pesquisadores de segurança e parceiros do setor, incluindo SEAL_911, durante a investigação.
Segundo a Ledger, as equipes estão trabalhando com as autoridades policiais para rastrear fundos roubados e identificar a infraestrutura usada para coletar credenciais de carteiras.
A empresa não divulgou prisões, acusações criminais formais ou fundos recuperados resultantes desses esforços.
A Ledger disse que pretende publicar informações técnicas adicionais quando os investigadores puderem divulgar com segurança suas descobertas.
A Ledger planeja proteções adicionais contra a adulteração de carteiras
Além de suas restrições imediatas de varejo, a Ledger está desenvolvendo medidas adicionais de segurança de produtos destinadas a tornar a adulteração física mais difícil.
A empresa não forneceu especificações técnicas, modelos de produtos afetados ou um cronograma para a introdução dessas proteções.
A Ledger declarou que compartilharia as descobertas com outros fabricantes e vendedores de carteiras de hardware para que pudessem examinar riscos semelhantes em seus produtos.
Os clientes que já usaram uma carteira potencialmente afetada foram aconselhados a transferir sua criptomoeda para um dispositivo confiável com uma frase de recuperação recém-gerada.
Restaurar uma frase de recuperação antiga em um dispositivo substituto não protegeria os fundos se os atacantes já tivessem obtido essa frase.
As orientações de segurança da Ledger alertam os usuários para nunca divulgarem suas frases de recuperação a qualquer pessoa que afirme representar o suporte ao cliente.
A empresa enfatizou que seus funcionários não solicitarão palavras de recuperação por meio de mensagens, ligações telefônicas ou sites.
Durante seu anúncio de 15 de outubro, a Ledger reconheceu que a investigação continuava e que ainda restava trabalho adicional de segurança.
O fabricante reiterou sua intenção de divulgar mais detalhes sobre o ataque e os métodos usados pelos criminosos assim que sua investigação permitir a divulgação.
