A Ledger detalhou como implantes com LTE escondidos dentro de carteiras de hardware podem expor as frases de recuperação dos usuários. A divulgação levou a CryptoBilis a suspender as vendas de carteiras que continham os implantes espiões. A Trezor e a OneKey cortaram relações com a revendedora.
O que os implantes fazem
Os implantes usam conectividade LTE para transmitir silenciosamente as frases de recuperação da carteira depois que um dispositivo é configurado e financiado. O relatório da Ledger explica que o hardware comprometido se parece e se comporta como uma carteira normal até ser ativado. Essa frase de recuperação é o único ponto de falha para qualquer configuração de autocustódia, então um caminho de exfiltração silencioso é praticamente o pior cenário possível.
A CryptoBilis, que vendia os dispositivos afetados, parou de vender carteiras com os implantes após a divulgação da Ledger. A revendedora não informou publicamente quantas unidades chegaram aos clientes nem de onde veio o hardware modificado.
Trezor e OneKey se afastam
A Trezor e a OneKey encerraram seus relacionamentos com a CryptoBilis. Nenhum dos fornecedores publicou uma declaração sobre a decisão além do próprio rompimento. A medida deixa a CryptoBilis sem dois grandes parceiros de marca, pelo menos por enquanto.
É uma resposta rápida. Acordos de revenda geralmente não são rompidos na mesma semana em que um relatório de segurança é divulgado, especialmente quando a revendedora não foi acusada de fabricar os implantes ela mesma. Mas quando a categoria de produto é carteiras de hardware — onde todo o argumento é que suas chaves nunca tocam a internet —, uma revendedora flagrada enviando rádios LTE dentro do invólucro é um problema de reputação com o qual nenhum parceiro quer estar associado.
De onde vieram os dispositivos
O que ainda não está claro é como os implantes entraram na cadeia de suprimentos. O relatório da Ledger descreve o hardware LTE, mas não nomeia um fabricante nem um país de origem. A CryptoBilis não esclareceu se as unidades foram adulteradas antes ou depois de chegarem ao seu estoque. Até que alguém responda isso, todo revendedor no espaço de carteiras de hardware tem uma pergunta em aberto: você consegue provar que o dispositivo na caixa é o dispositivo que saiu da fábrica?
Para usuários que compraram uma carteira através da CryptoBilis, o conselho prático é simples e desagradável — trate qualquer frase de recuperação inserida naquele dispositivo como exposta. Mover fundos para uma seed recém-gerada em hardware de um fornecedor sem conexão com a revendedora é a limpeza padrão, embora nenhuma das empresas envolvidas tenha emitido orientação formal ainda.
O problema dos revendedores
Fabricantes de carteiras de hardware passaram anos dizendo aos clientes para comprar diretamente ou de parceiros autorizados. A CryptoBilis era uma dessas parceiras da Trezor e da OneKey até esta semana. Essa é a parte desconfortável da história: a adulteração não aconteceu em um beco escuro, aconteceu dentro do canal para o qual os próprios fornecedores direcionavam os clientes.
Nem a Trezor nem a OneKey disseram se vão auditar outras revendedoras. A Ledger não indicou se planeja publicar uma análise técnica mais completa. A CryptoBilis, por sua vez, ficou em silêncio desde que suspendeu as vendas — e a questão de quantas carteiras comprometidas já estão nas gavetas das pessoas ainda não tem resposta.
