À medida que os riscos de segurança dos ativos digitais continuam a evoluir, os invasores não visam mais apenas plataformas de negociação e contas de usuários. Carteiras de hardware também podem se tornar um ponto de entrada para ataques durante a aquisição, o envio e a entrega.
Se um dispositivo for interceptado, substituído ou modificado de forma maliciosa durante a distribuição, ele poderá representar um risco à segurança dos ativos dos usuários, mesmo que pareça indistinguível de um produto legítimo.
A Gate lembra a todos os usuários que, ao comprar e usar uma carteira de hardware, devem considerar não apenas a marca e o preço. É igualmente importante verificar a origem do dispositivo, o canal de entrega e as verificações de segurança subsequentes.
I. O que é envenenamento da cadeia de suprimentos de hardware?
O envenenamento da cadeia de suprimentos de hardware refere-se à exploração, por invasores, de vulnerabilidades em etapas como fabricação, armazenamento, transporte, distribuição ou entrega de dispositivos para substituir, adulterar ou implantar componentes maliciosos nos dispositivos.
Por exemplo, um usuário pode comprar uma carteira de hardware por meio de um canal legítimo, mas o dispositivo pode ser interceptado por terceiros durante o envio ou a revenda. Os invasores podem modificar componentes internos, adulterar o firmware ou falsificar a embalagem e a documentação oficial antes de entregar o dispositivo ao usuário.
Alguns ataques também podem envolver técnicas de phishing. Os invasores podem enviar os chamados avisos de segurança, solicitando que os usuários instalem um software específico, escaneiem um código QR ou importem novamente sua carteira. Quando os usuários inserem sua frase-semente ou chave privada conforme instruído, seus ativos podem ficar sujeitos a roubo.
A Kraken Security Labs divulgou publicamente pesquisas sobre ataques à cadeia de suprimentos direcionados às carteiras de hardware Ledger Nano X, observando que os dispositivos podem ser adulterados antes de chegarem aos usuários — por exemplo, ao serem interceptados durante o envio ou ao chegar aos usuários por meio de canais de revenda maliciosos. Até a data de atualização do artigo, informações públicas mostram que o pacote de dependência de frontend Ledger Connect Kit foi alvo de um ataque à cadeia de suprimentos. As versões confirmadamente afetadas de ledgerhq/connect-kit são: 1.1.5, 1.1.6 e 1.1.7. Essas versões continham código malicioso projetado para induzir ou substituir transações quando os usuários conectavam suas carteiras ou interagiam com DApps, resultando no roubo de ativos. Referência: Das anomalias na cadeia de suprimentos a supostos implantes de hardware: uma análise completa do incidente de roubo de usuários da Ledger
É importante observar que uma embalagem intacta e um dispositivo que liga normalmente não significam necessariamente que o dispositivo é seguro. Algumas modificações maliciosas podem ser difíceis de identificar por meio de inspeção visual.
II. Quais são os riscos dos ataques à cadeia de suprimentos de hardware?
A função central de uma carteira de hardware é ajudar os usuários a armazenar chaves privadas com segurança e assinar transações. Se o próprio dispositivo for adulterado, suas proteções de segurança originais poderão ser comprometidas.
Componentes maliciosos implantados no dispositivo: Componentes maliciosos ou firmware adulterado podem interferir no funcionamento normal do dispositivo, aumentando os riscos de vazamento de informações e problemas de segurança nas transações.
Software de falsificação que induz ações: Os invasores podem usar softwares falsos de gerenciamento de carteiras, notificações fraudulentas de atualização ou orientações falsas de suporte ao cliente para induzir os usuários a divulgar voluntariamente suas frases-semente e chaves privadas.
Perda de controle sobre os ativos: Assim que os invasores obtêm uma frase-semente ou chave privada válida, podem restaurar a carteira em outro dispositivo e transferir os ativos.
Mesmo que os usuários tenham ativado a autenticação de dois fatores em suas contas de plataformas de negociação, isso não pode impedir completamente os riscos causados por dispositivos de hardware adulterados ou credenciais de carteira vazadas. A segurança da conta, a segurança do dispositivo e o gerenciamento de chaves privadas devem ser mantidos adequadamente; um não pode substituir o outro!
III. Como você pode reduzir os riscos?
Compre dispositivos por meio de canais confiáveis
Ao comprar uma carteira de hardware, escolha, sempre que possível, o site oficial da marca ou canais autorizados verificados. Tenha cautela com dispositivos de origem desconhecida, preços claramente anormais ou qualificações de vendedor que não possam ser verificadas.
Inspecione o dispositivo antes de usá-lo
Verifique se a embalagem, os lacres, o número de série e a aparência do dispositivo apresentam quaisquer sinais de irregularidades e confirme as informações do dispositivo pelos canais oficiais do fabricante. Ao usar o dispositivo pela primeira vez, siga as instruções oficiais para concluir a inicialização e a verificação do firmware. Se o dispositivo já tiver sido inicializado, se a verificação falhar ou se o processo parecer anormal, não se apresse em importar ativos.
Proteja sua frase-semente e chave privada
Sua frase-semente e sua chave privada são informações essenciais para controlar os ativos em sua carteira. Ninguém deve solicitar que você forneça essas informações por chat, e-mail, páginas da web ou assistência remota.
Independentemente de a outra parte afirmar ser do suporte ao cliente da Gate, de um fabricante de hardware ou da equipe de segurança, não confie em solicitações da sua frase-semente ou chave privada. Você também nunca deve inserir sua frase-semente em sites ou softwares de origem desconhecida.
Não instale softwares nem atualize o firmware de forma indiscriminada
Para conexões de dispositivos, instalações de software e atualizações de firmware, baseie-se em informações fornecidas pelos canais oficiais do fabricante. Para links desconhecidos, códigos QR, pacotes de atualização não oficiais ou notificações que exijam migração urgente de ativos, verifique primeiro sua autenticidade. Não aja precipitadamente apenas porque alguém afirma que sua conta está em risco.
Se detectar algo incomum, pare de usar o dispositivo imediatamente
Se o dispositivo apresentar sinais de desmontagem ou modificação, se a verificação do firmware falhar ou se a inicialização for anormal, pare de usá-lo e entre em contato com os canais oficiais de suporte do fabricante para verificar a situação.
Se você suspeitar que sua frase-semente ou chave privada foi comprometida, use um dispositivo confiável e não afetado para criar uma nova carteira em um ambiente seguro e transfira seus ativos para um endereço seguro o mais rápido possível. Não continue usando um dispositivo que possa ter sido adulterado para gerenciar ativos e não insira novas credenciais de carteira em um dispositivo suspeito de estar comprometido.
IV. Lembrete de segurança da Gate
Os ataques à cadeia de suprimentos de hardware são altamente furtivos, e os riscos podem surgir antes mesmo de você receber o dispositivo. Portanto, você não deve presumir que um dispositivo é totalmente seguro com base apenas em sua marca, embalagem intacta ou capacidade de ligar normalmente.
A Gate lembra os usuários de verificar cuidadosamente a origem de um dispositivo ao comprar e usar uma carteira de hardware, tratar notificações desconhecidas com cautela e proteger adequadamente frases-semente e chaves privadas. Quando não for possível verificar a autenticidade de um dispositivo, aplicativo de software ou orientação operacional, confirme-a antes de agir.
Lembre-se: use fontes confiáveis para dispositivos, verifique as atualizações de software e nunca divulgue sua frase-semente ou chave privada.
Ao seguir essas medidas básicas de segurança, você poderá reduzir melhor os riscos aos ativos associados a ataques à cadeia de suprimentos de hardware.
Isenção de responsabilidade
O conteúdo aqui fornecido é apenas para fins de referência e educacionais e não constitui qualquer conselho financeiro, de investimento, de negociação ou jurídico, nem constitui uma oferta ou solicitação para comprar ou vender quaisquer ativos digitais. A Gate não faz representações ou garantias expressas ou implícitas em relação à precisão, integridade ou atualidade das informações aqui contidas. Recursos, interfaces, regras e estruturas de taxas dos produtos podem ser atualizados ou ajustados a qualquer momento. Consulte os anúncios mais recentes e as informações reais exibidas na plataforma Gate para obter os detalhes mais precisos.
Os investimentos em ativos digitais envolvem riscos significativos e os preços podem flutuar substancialmente. Você pode perder o valor total do seu investimento. Tome decisões com cautela, com base em sua própria situação financeira e tolerância ao risco, após compreender totalmente os riscos associados. Se necessário, recomenda-se consultar um consultor financeiro ou jurídico profissional independente.
Para mais informações sobre possíveis riscos, consulte a Divulgação de Riscos e o Termo de Acordo do Usuário da Gate.
