Ataque a carteiras físicas de criptomoedas resulta em roubo de mais de 100 milhões de dólares de 324 dispositivos

Segurança de criptomoedas é ameaçada por adulterações em dispositivos físicos.

Quando se fala em proteger criptomoedas, a maioria das pessoas pensa em senhas e ataques cibernéticos. Contudo, a segurança do dispositivo físico que armazena as chaves de acesso é igualmente crucial. Embora seja possível adquirir uma carteira legítima e verificar seu funcionamento, isso não garante que o interior não tenha sido comprometido. Essa vulnerabilidade pode anular até mesmo as medidas de segurança mais comuns.

As primeiras denúncias sobre problemas com carteiras Ledger surgiram em 9 de outubro, quando usuários no Sudeste Asiático relataram que seus fundos desapareceram sem autorização. A fabricante associou esses incidentes a uma distribuidora autorizada na região, que vende seus produtos na Malásia, Indonésia e Filipinas.

Um estudo revelou que o ataque resultou em um roubo de aproximadamente 102 milhões de dólares, afetando 324 carteiras digitais em seis redes blockchain. Embora a análise não tenha conseguido determinar como as chaves foram obtidas, a Ledger confirmou a presença de um implante físico não autorizado em pelo menos um dos dispositivos afetados. A empresa agora investiga a possibilidade de adulteração em dispositivos vendidos por distribuidores autorizados.

A porta dos fundos estava dentro do dispositivo

Para compreender a natureza do ataque, é importante saber que os dispositivos não armazenam as criptomoedas em si, mas sim as chaves privadas que permitem autorizar transações. Durante a configuração, um Ledger Nano X exibe uma frase de recuperação de 24 palavras, que é essencial para reconstruir as chaves caso a carteira seja perdida. Se alguém obtiver essa combinação, poderá acessar os fundos sem precisar do dispositivo original.

A chave do ataque estava em uma modificação que passava despercebida. Investigações mostraram que alguns Ledger Nano X foram adulterados com circuitos adicionais, que interceptavam a frase de recuperação durante a configuração e a armazenavam. Esses dados eram então transmitidos aos invasores, permitindo que eles recuperassem o acesso à carteira usando outro dispositivo.

Como essas alterações podiam passar despercebidas? O sistema Genuine Check da Ledger verifica a autenticidade do dispositivo por meio de seu chip de segurança, mas não foi projetado para identificar componentes adicionais. Se o chip permanecer intacto, um dispositivo adulterado pode passar pela verificação e funcionar normalmente, um fato que a própria fabricante reconheceu. Até o momento, não há indícios de invasão nos sistemas da empresa, e as investigações indicam que a adulteração ocorreu em unidades específicas, não em sua infraestrutura interna.

Sinais de alerta sobre essa ameaça já haviam sido detectados antes do roubo. Em agosto de 2025, um pesquisador começou a examinar carteiras Ledger após um comprador na Tailândia encontrar componentes estranhos. Em março de 2026, ele comunicou suas descobertas à fabricante, mas as investigações continuaram, revelando versões mais sofisticadas de adulteração.

Com a investigação em andamento, a Ledger aconselhou os usuários que compraram dispositivos da distribuidora autorizada nos 90 dias anteriores ao alerta a não configurá-los. Para aqueles que já haviam configurado, a empresa recomendou transferir os fundos para uma nova carteira com uma frase de recuperação diferente. A companhia também está revisando suas medidas contra adulterações físicas, enquanto outros fabricantes já anunciaram mudanças em suas redes de distribuição. Até o momento, a identidade dos responsáveis pelo ataque permanece desconhecida, assim como o número total de unidades afetadas.