#Ledger攻击均指向CryptoBilis Até revendedores autorizados podem falhar? O caso de US$ 86 milhões roubados expõe enorme ponto cego na segurança das carteiras de hardware

Até revendedores autorizados podem falhar? O caso de US$ 86 milhões roubados expõe enorme ponto cego na segurança das carteiras de hardware Muitos detentores de criptoativos acreditam firmemente em um princípio básico: basta comprar uma carteira de hardware de uma grande marca por meio de um revendedor oficialmente autorizado para que o dispositivo seja seguro e os ativos estejam protegidos. Mas o recente caso de roubo de grandes quantias de usuários do Sudeste Asiático envolvendo carteiras de hardware da Ledger destruiu completamente essa convicção. Esse incidente de segurança, com perdas estimadas em mais de US$ 86 milhões, expôs uma realidade cruel: mesmo uma carteira de hardware comprada por um canal oficialmente autorizado não pode garantir em 100% dos casos que o dispositivo não tenha sido adulterado durante o transporte e a circulação.
Em 9 de outubro, a conhecida fabricante de carteiras de hardware Ledger revelou que estava investigando um incidente de roubo de ativos concentrado no Sudeste Asiático. Os dispositivos Ledger dos usuários afetados vieram todos da CryptoBilis, sua revendedora autorizada na Indonésia, Malásia e Filipinas. O pesquisador de segurança on-chain Specter estimou inicialmente que o volume de ativos roubados no incidente poderia superar US$ 86 milhões, abrangendo várias criptomoedas, como Bitcoin e Ethereum, embora esse valor ainda não tenha sido verificado ou confirmado por terceiros independentes. De acordo com as instruções oficiais de compra da Ledger, os usuários devem priorizar as lojas próprias da marca ou revendedores autorizados ao adquirir carteiras de hardware e, ao inicializar o dispositivo pela primeira vez, executar a verificação de autenticidade Genuine Check para evitar o risco de comprar um produto falsificado.
A lógica central da verificação de autenticidade é confirmar se o chip de segurança dentro do dispositivo é original de fábrica. No entendimento do público, passar por essa verificação significa que todo o dispositivo esteve seguro desde a saída da fábrica até chegar às suas mãos. A CryptoBilis, por sua vez, estava registrada na lista de revendedores oficialmente autorizados da Ledger. Com base nesse respaldo oficial, os usuários baixaram a guarda, mas acabaram tendo seus ativos roubados.

Ponto cego da segurança dos canais autorizados: o chip está intacto, mas o dispositivo inteiro pode ter sido adulterado
Aqui está um limite técnico desconhecido pela maioria dos investidores: a verificação de autenticidade verifica apenas o chip de segurança; ela não consegue detectar se algum componente de espionagem foi instalado adicionalmente dentro da carcaça do dispositivo. A documentação oficial da Ledger já havia deixado claro que é muito difícil eliminar completamente ataques de interceptação e adulteração na cadeia de suprimentos global. A autorização e a verificação da autenticidade do chip só conseguem excluir chips falsificados, mas não garantem que o dispositivo não tenha sido desmontado e modificado depois de sair da fábrica, durante o armazenamento e a circulação pelo revendedor.
No mesmo dia em que o incidente ganhou repercussão, Mark Karpelès, ex-CEO da exchange MtGox, publicou em uma rede social um dispositivo Ledger Nano X desmontado e descobriu que um conjunto de componentes espiões havia sido instalado secretamente em seu interior. Pela película termorretrátil da embalagem externa, o dispositivo parecia intacto, e uma pessoa comum não perceberia qualquer anormalidade. Depois de abrir a carcaça, foi encontrado, atrás da tela OLED, no espaço onde originalmente havia espuma de proteção, um microcontrolador, um módulo de comunicação celular, uma antena e um módulo eSIM. Esse conjunto de hardware consegue ler o conteúdo exibido na tela; quando o usuário digita a frase-semente, captura os caracteres e os envia remotamente por meio da rede celular.
Em termos simples: o chip de segurança continua intacto, e a verificação de autenticidade Genuine Check é aprovada normalmente, mas o hardware espião instalado adicionalmente monitora a tela e captura secretamente a frase-semente assim que ela é exibida. A chave privada continua armazenada no chip de segurança original, mas, com a frase-semente roubada, os hackers ainda conseguem assumir o controle dos ativos da carteira.
O especialista do setor de segurança 23pds realizou em seguida uma análise técnica. Se essa placa de circuito adicional conseguir ler o fluxo de dados da tela, em teoria poderá registrar a frase-semente e enviá-la remotamente. O especialista ressaltou, porém, que esse caminho de ataque ainda está no campo das hipóteses teóricas; a amostra precisa passar por uma análise mais aprofundada, enquanto se aguarda a conclusão completa da investigação oficial da Ledger. Também é importante esclarecer um ponto: atualmente não há evidências diretas de que esse protótipo modificado esteja relacionado ao roubo envolvendo a CryptoBilis. São duas linhas de investigação independentes, mas, combinadas, fazem emergir os riscos de toda a cadeia de suprimentos das carteiras de hardware.

Mudança de controle acionário do revendedor planta uma bomba-relógio na cadeia de suprimentos
O que merece ainda mais reflexão por trás do incidente é a mudança de controle do revendedor. Documentos mostram que a CryptoBilis, revendedora envolvida no caso, foi adquirida em março de 2026, e a equipe fundadora original deixou a gestão operacional da empresa. O cofundador original Arravind Prabu declarou publicamente que, devido a um acordo de confidencialidade, a aquisição só poderia ser divulgada ao público em outubro; desde agosto, todas as ações da empresa passaram a ser detidas pelo novo controlador efetivo. A mudança acionária e a grande troca na administração coincidem fortemente, na linha do tempo, com o roubo dos ativos. A mudança acionária, por si só, não pode provar diretamente que os novos acionistas participaram da adulteração dos dispositivos ou do roubo dos ativos. Mas ela revela uma enorme vulnerabilidade na cadeia de suprimentos: depois que uma marca concede autorização a um revendedor, caso ele seja adquirido e sua administração seja substituída, a marca pode não conseguir reavaliar imediatamente a situação nem revogar a autorização. Se alguém dentro do revendedor tiver intenção criminosa, poderá abrir dispositivos novos no armazém, instalar componentes de espionagem e depois refazer a embalagem externa. Para um usuário comum, é totalmente impossível identificar isso apenas a olho nu.
Após a eclosão do incidente, a Ledger exigiu urgentemente que a CryptoBilis suspendesse todas as vendas e remessas e deu orientações aos usuários: dispositivos que ainda não foram inicializados não devem ser configurados; usuários que já concluíram a inicialização e depositaram ativos devem transferir os ativos o quanto antes para um dispositivo Ledger totalmente novo e usar uma frase-semente completamente nova. A CryptoBilis também suspendeu por conta própria todas as vendas de carteiras de hardware e fechou as lojas físicas. A Ledger declarou que todos os casos de prejuízo denunciados vieram do canal desse revendedor; usuários que compraram diretamente na loja oficial da Ledger ainda não relataram roubos semelhantes, e os sistemas internos da própria marca não foram invadidos.

Reflexões fundamentais sobre as carteiras de hardware: a quem cabe a responsabilidade pela segurança?
Por muito tempo, muitos investidores do setor cripto trataram as carteiras de hardware como o cofre definitivo para a segurança de seus ativos. O pressuposto geral era: grande marca + revendedor autorizado = segurança absoluta. Esse incidente destruiu completamente essa ilusão.
O modelo de segurança das carteiras de hardware se baseia em duas premissas: primeiro, que o chip de segurança não tenha vulnerabilidades; segundo, que o dispositivo não seja adulterado fisicamente em nenhum momento entre a saída da fábrica e a chegada ao usuário. A tecnologia do chip de segurança pode ser controlada pelo fabricante, mas a circulação pela cadeia de suprimentos e o armazenamento em revendedores terceiros são pontos frágeis que a marca dificilmente consegue controlar por completo. A verificação de autenticidade, como mecanismo de proteção, só resolve a questão de “o chip é original?”, mas não resolve a de “há algum componente de espionagem instalado dentro da carcaça?”. O invasor não precisa quebrar o chip de segurança; basta monitorar a tela para ler a frase-semente e contornar a proteção do chip. Esse tipo de ataque físico à cadeia de suprimentos é extremamente difícil de detectar, e usuários comuns não têm capacidade de desmontar e inspecionar o dispositivo, o que torna a identificação muito difícil. É claro que não podemos negar completamente o valor das carteiras de hardware. Em comparação com carteiras quentes e a custódia por exchanges, as carteiras de hardware continuam sendo uma opção relativamente mais segura para armazenar grandes quantias de criptoativos.
Mas este incidente ensinou a todos: canal autorizado não é sinônimo de cofre, e verificação de autenticidade não significa segurança absoluta.

Estratégias de proteção aplicáveis a usuários comuns
1. Priorize os canais oficiais diretos da marca. Compre diretamente no site oficial ou na loja oficial da fabricante da carteira de hardware, evitando ao máximo revendedores autorizados terceiros, reduzindo as etapas intermediárias e a probabilidade de adulteração durante o percurso.
2. Inspecione cuidadosamente a embalagem assim que receber o produto. Observe se há sinais de uma segunda selagem no plástico ou no lacre. Se encontrar danos na embalagem ou sinais de selagem térmica refeita, recuse o recebimento imediatamente e não inicialize o dispositivo.
3. Não exiba nem digite a frase-semente em um ambiente conectado à internet. Mesmo que o dispositivo não tenha sido modificado, mantenha o ambiente seguro ao inserir a frase-semente, sem câmeras por perto e sem deixar a tela voltada para qualquer dispositivo eletrônico.
4. Para grandes quantias, adote multisassinatura e diversificação dos ativos; não coloque todos os ativos em uma única carteira de hardware.
5. Se suspeitar de qualquer anormalidade no dispositivo, não transfira nenhum ativo para a carteira; substitua diretamente o dispositivo por um novo e troque toda a frase-semente.

A segurança dos criptoativos é uma cadeia longa e completa: firmware do chip, fábrica de produção, armazenamento e logística, gestão do revendedor e hábitos de uso do usuário. Se qualquer elo falhar, os ativos podem ser totalmente perdidos. O maior alerta do roubo de US$ 86 milhões desta vez é: a verificação de segurança só consegue proteger contra vulnerabilidades técnicas conhecidas, mas dificilmente consegue impedir ataques de adulteração física humana na cadeia de suprimentos. Carteiras de hardware não são uma “carta de imunidade” para segurança absoluta. Para quem possui criptoativos, ao mesmo tempo que confia na marca e no canal autorizado, é preciso manter sempre uma dose de cautela em relação aos riscos da cadeia de suprimentos.