À medida que os riscos de segurança dos ativos digitais continuam a evoluir, os atacantes já não visam apenas plataformas de negociação e contas de utilizadores. As carteiras de hardware também podem tornar-se um ponto de entrada para ataques durante a aquisição, o envio e a entrega.
Se um dispositivo for intercetado, trocado ou alterado de forma maliciosa durante a distribuição, poderá representar um risco para a segurança dos ativos dos utilizadores, mesmo que pareça indistinguível de um produto legítimo.
A Gate recorda a todos os utilizadores que, ao comprar e utilizar uma carteira de hardware, devem olhar para além da marca e do preço. É igualmente importante verificar a origem do dispositivo, o canal de entrega e as verificações de segurança subsequentes.
I. O que é o envenenamento da cadeia de abastecimento de hardware?
O envenenamento da cadeia de abastecimento de hardware refere-se à exploração, por parte de atacantes, de vulnerabilidades em etapas como o fabrico, o armazenamento, o transporte, a distribuição ou a entrega de dispositivos, para trocar, adulterar ou inserir componentes maliciosos nos dispositivos.
Por exemplo, um utilizador pode comprar uma carteira de hardware através de um canal legítimo, mas o dispositivo pode ser intercetado por terceiros durante o envio ou a revenda. Os atacantes podem modificar componentes internos, adulterar o firmware ou falsificar a embalagem e a documentação oficial antes de entregar o dispositivo ao utilizador.
Alguns ataques podem também envolver técnicas de phishing. Os atacantes podem enviar os chamados avisos de segurança, solicitando aos utilizadores que instalem software específico, analisem um código QR ou reimportem a sua carteira. Quando os utilizadores introduzem a sua frase-semente ou chave privada conforme indicado, os seus ativos podem ficar em risco de roubo.
A Kraken Security Labs divulgou publicamente investigação sobre ataques à cadeia de abastecimento direcionados a carteiras de hardware Ledger Nano X, salientando que os dispositivos podem ser adulterados antes de os utilizadores os receberem — por exemplo, ao serem intercetados durante o envio ou ao chegarem aos utilizadores através de canais de revenda maliciosos. À data de atualização do artigo, as informações públicas indicam que o pacote de dependência de frontend Ledger Connect Kit foi alvo de um ataque à cadeia de abastecimento. As versões confirmadamente afetadas de ledgerhq/connect-kit são: 1.1.5, 1.1.6 e 1.1.7. Estas versões continham código malicioso concebido para induzir ou substituir transações quando os utilizadores ligavam as suas carteiras ou interagiam com DApps, roubando assim ativos. Referência: Das anomalias na cadeia de abastecimento a suspeitas de implantes de hardware: uma análise completa do incidente de roubo a utilizadores da Ledger
É importante salientar que uma embalagem intacta e um dispositivo que liga normalmente não significam necessariamente que o dispositivo seja seguro. Algumas modificações maliciosas podem ser difíceis de identificar através de inspeção visual.
II. Quais são os riscos dos ataques à cadeia de abastecimento de hardware?
A função principal de uma carteira de hardware é ajudar os utilizadores a armazenar chaves privadas e assinar transações em segurança. Se o próprio dispositivo for adulterado, as suas proteções de segurança originais poderão ficar comprometidas.
Componentes maliciosos inseridos no dispositivo: Componentes maliciosos ou firmware adulterado podem interferir com o funcionamento normal do dispositivo, aumentando os riscos de fuga de informações e de problemas de segurança nas transações.
Software de imitação que induz ações: Os atacantes podem utilizar software falso de gestão de carteiras, notificações fraudulentas de atualização ou orientações falsas de apoio ao cliente para levar os utilizadores a divulgar voluntariamente as suas frases-semente e chaves privadas.
Perda de controlo sobre os ativos: Assim que os atacantes obtêm uma frase-semente ou chave privada válida, podem restaurar a carteira noutro dispositivo e transferir os ativos.
Mesmo que os utilizadores tenham ativado a autenticação de dois fatores nas suas contas de plataforma de negociação, esta não consegue prevenir totalmente os riscos causados por dispositivos de hardware adulterados ou credenciais de carteira divulgadas. A segurança da conta, a segurança do dispositivo e a gestão de chaves privadas devem ser devidamente asseguradas; não podem substituir-se umas às outras!
III. Como pode reduzir os riscos?
Comprar dispositivos através de canais fidedignos
Ao comprar uma carteira de hardware, escolha, sempre que possível, o website oficial da marca ou canais autorizados verificados. Mantenha-se cauteloso relativamente a dispositivos de origem desconhecida, com preços claramente anormais ou cujas credenciais do vendedor não possam ser verificadas.
Inspecionar o dispositivo antes de o utilizar
Verifique se a embalagem, os selos, o número de série e o aspeto do dispositivo apresentam quaisquer sinais de irregularidades e confirme as informações do dispositivo através dos canais oficiais do fabricante. Ao utilizar o dispositivo pela primeira vez, siga as instruções oficiais para concluir a inicialização e a verificação do firmware. Se o dispositivo já tiver sido inicializado, se a verificação falhar ou se o processo parecer anormal, não se apresse a importar ativos.
Proteger a sua frase-semente e chave privada
A sua frase-semente e chave privada são informações essenciais para controlar os ativos da sua carteira. Ninguém deverá pedir-lhe que forneça estas informações através de chat, e-mail, páginas web ou assistência remota.
Quer a outra parte afirme ser o apoio ao cliente da Gate, um fabricante de hardware ou pessoal de segurança, não confie em pedidos da sua frase-semente ou chave privada. Também nunca deverá introduzir a sua frase-semente em websites ou software de origem desconhecida.
Não instalar software nem atualizar firmware sem a devida verificação
Para ligações de dispositivos, instalações de software e atualizações de firmware, baseie-se nas informações disponibilizadas através dos canais oficiais do fabricante. No caso de ligações desconhecidas, códigos QR, pacotes de atualização não oficiais ou notificações que exijam uma migração urgente de ativos, verifique primeiro a sua autenticidade. Não aja precipitadamente apenas porque alguém afirma que a sua conta está em risco.
Se detetar algo invulgar, deixe imediatamente de utilizar o dispositivo
Se o dispositivo apresentar sinais de desmontagem ou modificação, se a verificação do firmware falhar ou se a inicialização for anormal, deixe de o utilizar e contacte os canais oficiais de apoio do fabricante para verificar a situação.
Se suspeitar de que a sua frase-semente ou chave privada foi comprometida, utilize um dispositivo fidedigno e não afetado para criar uma nova carteira num ambiente seguro e transfira os seus ativos para um endereço seguro assim que possível. Não continue a utilizar um dispositivo que possa ter sido adulterado para gerir ativos e não introduza novas credenciais de carteira num dispositivo que suspeite estar comprometido.
IV. Aviso de segurança da Gate
Os ataques à cadeia de abastecimento de hardware são altamente discretos, e os riscos podem surgir antes mesmo de receber o dispositivo. Por conseguinte, não deverá assumir que um dispositivo é totalmente seguro apenas com base na etiqueta da marca, na embalagem intacta ou na capacidade de ligar normalmente.
A Gate recorda aos utilizadores que devem verificar cuidadosamente a origem de um dispositivo ao comprar e utilizar uma carteira de hardware, tratar notificações desconhecidas com cautela e proteger adequadamente as frases-semente e as chaves privadas. Quando não conseguir verificar a autenticidade de um dispositivo, aplicação de software ou orientação operacional, confirme-a antes de agir.
Lembre-se: utilize fontes de dispositivos fiáveis, verifique as atualizações de software e nunca divulgue a sua frase-semente ou chave privada.
Ao seguir estas medidas básicas de segurança, poderá reduzir melhor os riscos para os ativos associados a ataques à cadeia de abastecimento de hardware.
Isenção de responsabilidade
O conteúdo aqui disponibilizado destina-se apenas a fins de referência e educativos, não constituindo qualquer aconselhamento financeiro, de investimento, de negociação ou jurídico, nem representa uma oferta ou solicitação para comprar ou vender quaisquer ativos digitais. A Gate não assume quaisquer declarações ou garantias, expressas ou implícitas, quanto à exatidão, integridade ou atualidade das informações aqui contidas. As funcionalidades dos produtos, interfaces, regras e estruturas de comissões podem ser atualizadas ou ajustadas a qualquer momento. Consulte os anúncios mais recentes e a informação efetivamente apresentada na plataforma Gate para obter os dados mais precisos.
Os investimentos em ativos digitais envolvem riscos significativos, podendo os preços variar substancialmente. Existe a possibilidade de perder a totalidade do montante investido. Tome decisões de forma cautelosa, tendo em conta a sua situação financeira e tolerância ao risco, após compreender plenamente os riscos associados. Se necessário, recomenda-se consultar um consultor financeiro ou jurídico independente.
Para mais informações sobre potenciais riscos, consulte a Divulgação de Riscos e o Acordo de Utilizador da Gate.
