TL;DR:
- A vulnerabilidade afetou a versão 1.22.1 do aplicativo Ethereum para Ledger e permitiu uma condição de corrida que substituía transações antes da assinatura.
- O fabricante corrigiu a falha inicial em 13 de agosto de 2026, na versão 1.22.2, e fortaleceu o sistema com o Secure SDK 26.6.1 em 21 de agosto de 2026.
- A empresa publicou seu boletim de segurança oficial em 27 de agosto de 2026, confirmando a ausência de explorações ativas em ambientes reais.
Ledger nega alegações de hacking após a publicação de demonstrações de uma falha técnica em versões desatualizadas de seu aplicativo Ethereum, esclarecendo — na quinta-feira, 27 de agosto — que o patch de segurança foi implantado antes de sua divulgação pública.
Nenhum usuário do Ledger foi hackeado.
O que é descrito aqui é uma reprodução de laboratório de uma vulnerabilidade em uma versão desatualizada do aplicativo Ethereum.
O problema já foi identificado por meio do nosso processo de segurança e corrigido na versão 1.22.2 do aplicativo Ethereum, lançada em 13 de agosto, antes deste post. O…
— Ledger (@Ledger) 27 de agosto de 2026
A controvérsia começou quando pesquisadores de segurança da empresa concorrente OneKey postaram nas redes sociais que conseguiram recriar um ataque em um ambiente de laboratório. Sobre isso, o CEO da OneKey, Yishi Wang, afirmou que a vulnerabilidade decorria de uma condição de corrida entre o buffer de dados e a interface visual do dispositivo físico.
Essa falha permitiu que um atacante com controle sobre o software intermediário sobrescrevesse uma transação enquanto o usuário estava revisando a operação legítima na tela. Os dados técnicos compartilhados pelos pesquisadores indicam que esse vetor poderia redirecionar fundos para carteiras externas sem refletir a modificação no dispositivo físico.
O chefe de tecnologia da Ledger, Charles Guillemet, rejeitou imediatamente a narrativa de uma violação de segurança na infraestrutura do fabricante. A documentação oficial da empresa observa que reproduzir um bug em uma versão obsoleta dentro de um laboratório não constitui uma vulnerabilidade ativa nem uma comprometimento dos fundos dos usuários.
Cronograma de correção e detalhes técnicos da vulnerabilidade
O problema originou-se no aplicativo interno projetado para gerenciar transações na rede Ethereum e tokens compatíveis. Na versão 1.22.1, um aplicativo web malicioso com permissões para se conectar ao dispositivo poderia enviar uma instrução de assinatura secundária enquanto o usuário estava examinando a primeira.
O fabricante identificou o problema internamente e lançou a atualização 1.22.2 em 13 de agosto de 2026. O relatório da empresa detalha que as alterações introduziram duas medidas de segurança principais: rejeitar novas sessões de assinatura enquanto uma revisão estiver em andamento e anular confirmações se o estado da memória diferir do que é exibido na tela.
Para garantir o ecossistema da aplicação, a equipe de desenvolvimento atualizou seu kit de desenvolvimento de software (Secure SDK) para a versão 26.6.1 em 21 de agosto de 2026. Por meio desse procedimento, a empresa reconstruiu todo o catálogo de aplicações para prevenir vetores semelhantes em outros ativos digitais.
O boletim emitido em 27 de agosto de 2026 especifica que um ataque dessa natureza exigia que o computador hospedeiro já estivesse comprometido por malware ou conectado a uma plataforma web maliciosa. Além disso, o relatório técnico confirma que as chaves privadas armazenadas no elemento seguro do hardware nunca foram expostas.
A equipe de pesquisa de segurança Ledger Donjon observou que este incidente destaca a necessidade de práticas regulares de atualização em carteiras frias. A arquitetura de hardware modular permite que patches sejam aplicados ao software periférico sem comprometer a semente de recuperação original.
Para verificar a proteção do dispositivo, os usuários devem confirmar no Ledger Live que o aplicativo Ethereum está atualizado para a versão 1.22.3 ou superior. O fabricante continuará monitorando seus repositórios de software e publicará novos registros de atualização em seu gerenciador de aplicativos durante as próximas revisões programadas.