A Ledger confirmou um implante de hardware não autorizado na carteira de um cliente afetado, enquanto investigadores estimam que aproximadamente US$ 93,2 milhões em supostos furtos de criptomoedas estejam ligados a dispositivos adulterados vendidos por um revendedor do Sudeste Asiático. A empresa afirmou não ter encontrado indícios de que sua própria infraestrutura de segurança, sistemas ou serviços tenham sido comprometidos.
A CryptoBilis, revendedora autorizada sediada na região, suspendeu as vendas de todo o estoque de carteiras de hardware até a conclusão da investigação.
O que o Tibane Labs encontrou dentro dos dispositivos
A investigação começou depois que clientes relataram perdas de criptomoedas após comprarem dispositivos Ledger da revendedora. O Tibane Labs documentou três gerações de implantes no Ledger Nano X projetados para interceptar frases de recuperação, combinando a análise de Joe Grand de um implante anterior com dois exemplares examinados em setembro.
Os implantes funcionam monitorando sinais eletrônicos enviados entre o elemento seguro da carteira e seu display. A partir desses sinais, os atacantes podem reconstruir a frase de recuperação de 24 palavras e transmiti-la por um modem celular — sem necessidade de furto físico e sem comprometer o chip seguro da Ledger.
A versão mais avançada examinada pelo Tibane continha uma placa de circuito personalizada escondida sob a tela, com um modem LTE, uma antena e componentes cujas marcações de identificação foram removidas. Segundo o laboratório, ela preservava a bateria original e poderia passar por inspeção visual mesmo após a abertura do invólucro.
Os dois exemplares do Tibane foram comprados em marketplaces japoneses, e não da CryptoBilis. O laboratório também emitiu um alerta direto: qualquer frase de recuperação exibida em um dispositivo comprometido deve ser tratada como exposta, e os fundos devem ser movidos para uma carteira com uma nova frase gerada em um dispositivo confiável.
Por que o Genuine Check não detecta isso
O Genuine Check da Ledger verifica a autenticidade do elemento seguro. Ele não consegue detectar modificações físicas não autorizadas, como implantes de espionagem, se esse elemento permanecer intacto. Essa lacuna é central para o caso: um dispositivo pode passar na verificação e ainda assim estar comprometido.
A Ledger não informou quantos dispositivos foram modificados e não estabeleceu que o implante tenha causado todas as perdas relatadas. A empresa disse estar contatando usuários afetados e coordenando com as autoridades.
Duas estimativas, dois métodos, mesma escala
O executivo de pesquisa da Galaxy Digital, Alex Thorn, relatou aproximadamente US$ 91 milhões distribuídos por 477 endereços em Bitcoin, redes relacionadas a Ethereum e Tron. Thorn atribuiu US$ 64,5 milhões dos supostos furtos à Tron, incluindo cerca de 64,3 milhões de USDT. O Bitcoin respondeu por US$ 17,7 milhões, ou cerca de 213 BTC. Ethereum e redes relacionadas contribuíram com US$ 8,8 milhões.
A Bitquery contabilizou aproximadamente US$ 93,2 milhões provenientes de 315 carteiras em seis blockchains. As duas estimativas usam conjuntos de endereços e métodos diferentes, e nenhuma delas contabiliza o número de dispositivos adulterados.
A Bitquery identificou padrões de transação que sugerem que os atacantes obtiveram controle de múltiplas carteiras antes de uma retirada coordenada em 9 de outubro. Vinte e cinco carteiras Tron assinaram a mesma aprovação de token em até três segundos, permitindo a retirada de aproximadamente US$ 29 milhões em USDT em questão de momentos. Pequenas transações de teste foram realizadas ao longo de cerca de duas semanas antes dos furtos maiores, sugerindo que os preparativos estavam em andamento bem antes de os usuários relatarem fundos desaparecidos.
A Bitquery estimou que a Tether congelou aproximadamente US$ 10 milhões em USDT roubados. Também identificou US$ 5,35 milhões em USDC que a emissora Circle poderia congelar após os fundos passarem pelo Tornado Cash e Zcash.
A questão da revendedora
O analista da CryptoQuant, Darkfost, sugeriu examinar outras revendedoras regionais para possível exposição na cadeia de suprimentos, embora tenha reconhecido que a preocupação era especulativa e não sustentada por evidências confirmadas. A CryptoBilis não informou quando poderá retomar as vendas.
Por ora, os fatos concretos permanecem limitados: um implante confirmado, uma revendedora suspensa e duas estimativas independentes que concordam na escala, mas não nos endereços. A Ledger não explicou como os dispositivos modificados chegaram aos clientes, e nenhum prazo foi dado para a conclusão da investigação.
