#Ledger攻击均指向CryptoBilis Até os distribuidores autorizados podem falhar? O roubo de 86 milhões de dólares expõe o enorme ponto cego da segurança das carteiras de hardware

Até os distribuidores autorizados podem falhar? O roubo de 86 milhões de dólares expõe o enorme ponto cego da segurança das carteiras de hardware Muitos detentores de criptoativos acreditam firmemente numa regra básica: desde que comprem uma carteira de hardware de uma grande marca através de um distribuidor oficialmente autorizado, o dispositivo é seguro e os ativos estão protegidos. No entanto, o recente roubo de ativos de elevado valor pertencentes a utilizadores do Sudeste Asiático de carteiras de hardware Ledger destruiu por completo essa convicção. Este incidente de segurança, com perdas estimadas superiores a 86 milhões de dólares, expôs uma realidade cruel: mesmo as carteiras de hardware compradas através de canais oficialmente autorizados não conseguem garantir a 100% que os dispositivos não foram manipulados durante o transporte e a distribuição.
A 9 de outubro, o conhecido fabricante de carteiras de hardware Ledger revelou publicamente que estava a investigar um incidente de roubo de ativos concentrado no Sudeste Asiático. Os dispositivos Ledger dos utilizadores afetados tinham sido todos adquiridos através do distribuidor autorizado CryptoBilis, na Indonésia, Malásia e Filipinas. O investigador de segurança on-chain Specter estimou preliminarmente que o valor dos ativos roubados poderá ultrapassar os 86 milhões de dólares, abrangendo várias criptomoedas, como Bitcoin e Ethereum. No entanto, este montante ainda não foi verificado nem confirmado por terceiros independentes. De acordo com as orientações oficiais de compra da Ledger, os utilizadores devem dar prioridade às lojas oficiais da marca ou aos distribuidores autorizados para adquirir carteiras de hardware e, ao inicializar o dispositivo pela primeira vez, executar a verificação de autenticidade Genuine Check, conseguindo assim evitar o risco de comprar produtos contrafeitos.
A lógica central da verificação de autenticidade consiste em confirmar se o chip de segurança instalado no dispositivo é original. Na perceção generalizada, passar esta verificação significa que todo o dispositivo esteve seguro desde a saída da fábrica até chegar às mãos do utilizador. A CryptoBilis constava precisamente da lista de distribuidores oficiais autorizados da Ledger. Com base nesta garantia oficial, os utilizadores baixaram a guarda e acabaram por sofrer o roubo dos seus ativos.

Ponto cego da segurança dos canais autorizados: o chip está intacto, mas o dispositivo completo pode já ter sido adulterado

Aqui reside um limite técnico desconhecido pela maioria dos investidores: a verificação de autenticidade apenas valida o próprio chip de segurança e não consegue detetar se foram instalados, dentro da estrutura do dispositivo, componentes adicionais para escuta. A documentação oficial da Ledger já indica há muito que é extremamente difícil evitar por completo ataques de interceção e adulteração na cadeia de abastecimento global. A autorização do distribuidor e a verificação da autenticidade do chip apenas permitem excluir chips contrafeitos; não garantem que o dispositivo não tenha sido desmontado ou modificado depois de sair da fábrica, durante o armazenamento ou a distribuição pelo revendedor.
No mesmo dia em que este incidente ganhou dimensão, Mark Karpelès, antigo CEO da exchange MtGox, publicou nas redes sociais imagens de um dispositivo Ledger Nano X desmontado, no qual descobriu um conjunto de componentes espiões instalado secretamente no interior. Pela película termorretrátil da embalagem exterior, o dispositivo parecia estar intacto, sem qualquer anomalia percetível para uma pessoa comum. Depois de abrir a estrutura, foi descoberto, no espaço atrás do ecrã OLED onde originalmente se encontrava a espuma de proteção, um microcontrolador, um módulo de comunicação celular, uma antena e um módulo eSIM. Este conjunto de hardware conseguia ler o conteúdo apresentado no ecrã, capturar os caracteres quando o utilizador introduzia a frase de recuperação e enviá-los remotamente através da rede celular.
Em termos simples: o chip de segurança continua intacto e a verificação de autenticidade Genuine Check é concluída com sucesso, mas o hardware adicional de escuta monitoriza o ecrã e captura secretamente a frase de recuperação assim que esta é apresentada. A chave privada continua armazenada no chip de segurança original, mas, uma vez roubada a frase de recuperação, os hackers continuam a conseguir assumir o controlo dos ativos da carteira.
O especialista em segurança 23pds realizou posteriormente uma análise técnica e afirmou que, se a placa de circuito adicional conseguir ler o fluxo de dados do ecrã, poderá, em teoria, registar a frase de recuperação e transmiti-la remotamente. No entanto, o especialista salientou igualmente que esta via de ataque permanece, por enquanto, no domínio das hipóteses teóricas. As amostras ainda precisam de ser analisadas em profundidade e é necessário aguardar as conclusões completas da investigação oficial da Ledger. É também importante esclarecer um ponto: não existem atualmente provas diretas de que este protótipo modificado esteja relacionado com o roubo associado à CryptoBilis. São duas pistas independentes, mas, em conjunto, fazem emergir os riscos de toda a cadeia de abastecimento das carteiras de hardware.

Mudança de mãos no capital do distribuidor lança uma bomba-relógio na cadeia de abastecimento

O que merece ainda mais reflexão neste caso é a alteração do controlo do distribuidor. Segundo os dados disponíveis, a CryptoBilis, o distribuidor envolvido, foi adquirida em março de 2026, tendo a equipa fundadora original deixado de gerir as operações da empresa. O cofundador original, Arravind Prabu, declarou publicamente que, devido às obrigações de confidencialidade, a aquisição só poderia ser divulgada ao público em outubro; desde agosto, a totalidade do capital da empresa passou a ser detida pelo novo controlador efetivo. A mudança na estrutura acionista e a remodelação completa da administração coincidem em grande medida, no tempo, com o roubo dos ativos. A alteração da estrutura acionista, por si só, não prova diretamente que os novos acionistas tenham participado na adulteração dos dispositivos ou no roubo dos ativos. No entanto, revela uma enorme vulnerabilidade na cadeia de abastecimento: depois de uma marca autorizar um distribuidor, este pode ser adquirido e a sua administração pode ser substituída, sem que a marca consiga necessariamente rever de imediato a situação ou revogar a autorização. Se alguém dentro do distribuidor tiver intenções criminosas, poderá abrir dispositivos novos na armazém, instalar componentes de escuta e voltar a selar as embalagens exteriores. Um utilizador comum não consegue identificar este tipo de manipulação apenas a olho nu.
Após a divulgação do incidente, a Ledger exigiu urgentemente à CryptoBilis que suspendesse todas as vendas e expedições, e apresentou recomendações aos utilizadores: os dispositivos que ainda não tenham sido inicializados não devem ser configurados; os utilizadores que já tenham concluído a inicialização e armazenado ativos devem transferi-los o quanto antes para um dispositivo Ledger completamente novo e utilizar uma frase de recuperação totalmente nova. A CryptoBilis também suspendeu voluntariamente todas as vendas de carteiras de hardware e encerrou as suas lojas físicas. A Ledger afirmou que todos os casos de prejuízo comunicados tiveram origem neste canal de distribuição. Até ao momento, não recebeu queixas semelhantes de utilizadores que tenham comprado os dispositivos diretamente na loja oficial da Ledger, e os sistemas internos da própria marca não foram invadidos.

Reflexão fundamental sobre as carteiras de hardware: a quem cabe, afinal, a responsabilidade pela segurança?

Durante muito tempo, muitos investidores do setor das criptomoedas trataram as carteiras de hardware como o cofre definitivo para a segurança dos seus ativos. Partia-se do princípio de que grande marca + distribuidor autorizado = segurança absoluta. Este incidente destruiu por completo essa ilusão.
O modelo de segurança das carteiras de hardware assenta em duas premissas: primeiro, que o chip de segurança não tem vulnerabilidades; segundo, que o dispositivo não foi fisicamente adulterado em nenhum momento entre a saída da fábrica e a chegada ao utilizador. A tecnologia dos chips de segurança pode ser controlada pelo fabricante, mas a circulação na cadeia de abastecimento e o armazenamento por distribuidores terceiros constituem pontos fracos que a marca dificilmente consegue controlar por completo. A verificação de autenticidade, enquanto medida de proteção, apenas resolve a questão de saber se o chip é original; não resolve a questão de saber se foram instalados componentes adicionais de escuta no interior da estrutura. O atacante não precisa de quebrar a proteção do chip de segurança: basta-lhe observar o ecrã e ler a frase de recuperação para contornar essa proteção. Este tipo de ataque físico à cadeia de abastecimento é extremamente discreto. Os utilizadores comuns não têm capacidade para desmontar e inspecionar os dispositivos, pelo que é muito difícil detetá-lo.
Naturalmente, não devemos rejeitar por completo o valor das carteiras de hardware. Em comparação com as hot wallets e a custódia por exchanges, as carteiras de hardware continuam a ser uma opção relativamente segura para armazenar grandes quantidades de criptoativos.
Mas este incidente ensinou uma lição a todos: um canal autorizado não equivale a um cofre, e a verificação de autenticidade não equivale a segurança absoluta.

Estratégias de proteção que os utilizadores comuns podem aplicar

1. Dar prioridade aos canais oficiais de venda direta da marca. Comprar diretamente no site oficial ou na loja oficial da marca da carteira de hardware, evitando tanto quanto possível distribuidores terceiros autorizados, reduz o número de etapas intermédias e diminui a probabilidade de adulteração durante o percurso.
2. Inspecionar cuidadosamente a embalagem assim que a receber. Verificar se existem sinais de selagem repetida no plástico ou nos selos. Se a embalagem estiver danificada ou apresentar marcas de nova selagem térmica, recusar imediatamente a entrega e não inicializar o dispositivo.
3. Não apresentar nem introduzir a frase de recuperação num ambiente ligado à Internet. Mesmo que o dispositivo não tenha sido modificado, o ambiente onde a frase é introduzida deve ser seguro: não deve haver câmaras nas proximidades e o ecrã não deve estar virado para qualquer dispositivo eletrónico.
4. Para ativos de elevado valor, utilizar estratégias de multisig e diversificação dos ativos, evitando concentrar todos os ativos numa única carteira de hardware.
5. Se houver suspeitas de anomalias no dispositivo, não transferir quaisquer ativos para a carteira. Substituir diretamente o dispositivo por um completamente novo e alterar toda a frase de recuperação.

A segurança dos criptoativos é uma cadeia longa e integrada: firmware do chip, fábrica de produção, armazenamento e logística, gestão do distribuidor e hábitos de utilização do cliente. Uma falha em qualquer elo pode fazer com que os ativos desapareçam por completo. O maior alerta deste roubo de 86 milhões de dólares é o seguinte: a validação de segurança só consegue proteger contra vulnerabilidades técnicas conhecidas, mas dificilmente consegue impedir ataques de adulteração física perpetrados por pessoas dentro da cadeia de abastecimento. Uma carteira de hardware não é um “salvo-conduto” de segurança absoluta. Para quem detém criptoativos, confiar na marca e nos canais autorizados não deve significar nunca deixar de estar atento aos riscos da cadeia de abastecimento.