Ledger anunciou em 15 de outubro de 2026 novos requisitos de segurança para seus revendedores autorizados. Anteriormente, atacantes instalaram componentes eletrônicos ocultos em carteiras de criptomoeda autênticas, roubando as frases de recuperação dos usuários e acessando seus fundos.
A Ledger afirmou que, após criminosos alterarem carteiras de hardware originais para roubar criptomoedas, a empresa reforçou as regras para revendedores.
- Os componentes ocultos capturam a frase de recuperação da carteira durante o processo de configuração do dispositivo e transmitem informações sensíveis por meio da rede celular.
- Ledger suspendeu as vendas de revenda autorizadas na Southeast Ásia e Hong Kong enquanto investiga os dispositivos afetados.
- A equipe de segurança inspecionou os equipamentos de varejo e armazém e afirmou que nenhuma unidade afetada foi encontrada nas amostras testadas.
- Ledger solicitou aos varejistas que interrompam a exibição de carteiras e proíbam a revenda de dispositivos devolvidos sem exceções.
O fabricante de carteiras de hardware confirmou que os atacantes compraram dispositivos legítimos, os modificaram e os reintroduziram no mercado por meio de canais de distribuição no Sudeste Asiático. A Ledger suspendeu as vendas revendedoras na região, inspecionou dispositivos provenientes de lojas varejistas e armazéns e começou a colaborar com as autoridades policiais para rastrear os fundos roubados.
A empresa afirmou que seus sistemas internos, software operacional e chips de segurança não foram invadidos. Os investigadores continuam a determinar a extensão completa do ataque, incluindo como esses dispositivos alterados entraram no mercado.
O ataque à carteira Ledger envolve um componente oculto de frase de recuperação
A investigação da Ledger descobriu que os atacantes se prepararam por meses para esta operação. Eles compraram carteiras de hardware originais, desmontaram os dispositivos e inseriram componentes eletrônicos personalizados para capturar a frase de recuperação durante a configuração.
A frase de recuperação geralmente contém 24 palavras, permitindo ao usuário recuperar o acesso à carteira de criptomoedas. Qualquer pessoa que obtenha essas palavras pode recriar a carteira em outro dispositivo e transferir seus ativos.
Os atacantes aproveitam o momento em que a frase de recuperação aparece na tela do dispositivo. Componentes ocultos coletam essas palavras e as transmitem para uma infraestrutura controlada por criminosos.
Na atualização técnica de 13 de outubro, a equipe de segurança Donjon da Ledger explicou que o malware utiliza um microcontrolador para ler a frase e transmitir informações por meio de uma conexão LTE celular por meio de um cartão SIM embutido.
A empresa afirmou que o componente opera independentemente do Secure Element responsável por proteger informações criptográficas sensíveis. Os investigadores não encontraram evidências de que componentes maliciosos tenham modificado o sistema operacional ou alterado assinaturas de transações.
Investigações anteriores sobre o chip oculto na carteira Ledger registraram como componentes eletrônicos não autorizados podem expor a frase de recuperação sem alterar a função assinatura normal do dispositivo.
O Ledger mais recentemente descreveu isso como uma operação criminosa organizada, envolvendo a aquisição de dispositivos, acordos de distribuição e infraestrutura utilizada para coletar credenciais de carteiras roubadas.
O fabricante afirmou que o grupo gastou milhões de dólares no ataque, mas não forneceu uma divisão financeira nem identificou os envolvidos.
Relata-se que os atacantes utilizaram frases de recuperação coletadas para acessar várias carteiras em um ataque coordenado em 9 de outubro.
Embora investigadores independentes de blockchains estimem perdas superiores a US$ 86 milhões, a Ledger ainda não verificou o total roubado ou o número de clientes afetados.
Ledger suspende a venda de carteiras na região Sudeste Asiático
Após identificar o problema, a Ledger solicitou que os distribuidores autorizados e revendedores do Sudeste Asiático e de Hong Kong suspendessem a venda de dispositivos até que os investigadores examinassem os canais de distribuição afetados.
As regiões restritas incluem Indonésia, Cingapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong.
Uma revendedora do Sudeste Asiático, CryptoBilis, anteriormente foi associada a casos confirmados envolvendo dispositivos adulterados.
Após clientes relatarem perda de fundos, a empresa suspendeu a venda de carteiras de hardware.
Relatórios anteriores sobre a investigação da carteira CryptoBilis documentaram a descoberta da Ledger sobre componentes não autorizados e sua resposta inicial às reclamações dos clientes.
Após receber relatos envolvendo outros locais, a Ledger ampliou posteriormente as medidas preventivas além desse revendedor.
Na Alemanha, a MediaMarkt Saturn suspendeu a venda de dispositivos Ledger em lojas físicas e plataformas online após um dispositivo de cliente ser relatado como contendo um componente malicioso.
O Ledger afirma que o caso na Alemanha não resultou em nenhuma perda confirmada de fundos dos clientes.
Este evento levou à suspensão separada das vendas de carteiras Ledger na Alemanha, enquanto a empresa revisa os dispositivos e investiga a situação.
Na atualização de 15 de outubro, a Ledger afirmou que investigadores compraram dispositivos em lojas de diferentes mercados, incluindo a Alemanha, e os desmontaram para inspeção física.
A empresa também verificou amostras do armazém e analisou parte do seu próprio estoque.
Ledger afirmou que nenhuma componente não autorizada foi encontrada nas amostras inspecionadas.
No entanto, a empresa não divulgou quantos dispositivos foram inspecionados, portanto, o número total de produtos potencialmente afetados ainda não foi confirmado.
A Ledger descreveu o evento como um "ataque de distribuição parcial" e afirmou que seu sistema de fabricação não foi a causa do dano.
A investigação ainda não determinou com precisão onde cada dispositivo afetado foi modificado.
Ledger lança novas regras para revendedores de carteiras de hardware
Como parte das medidas de resposta, a Ledger solicitou aos revendedores autorizados que alterem a forma como os wallets de hardware são armazenados e vendidos.
Os varejistas devem deixar de exibir dispositivos Ledger em prateleiras e balcões. Em vez disso, devem armazenar os produtos na área de estoque e entregá-los aos clientes apenas no momento da compra.
A empresa afirmou que esses requisitos entraram imediatamente em vigor com o objetivo de reduzir as oportunidades de acesso não autorizado aos dispositivos.
Ledger também lembra os revendedores autorizados que os dispositivos devolvidos nunca devem ser revendidos, mesmo que a embalagem pareça intacta ou o produto pareça não ter sido usado.
Esta regra já existia, mas a Ledger exigiu que os distribuidores a implementem sem exceções.
Retailers must promptly notify the manufacturer when customers report abnormal products or suspicious hardware.
Enquanto a investigação continua, a empresa está reforçando a supervisão da rede de distribuidores autorizados.
Ledger afirmou que sua equipe de segurança realizou a maior investigação interna da história da empresa, envolvendo vários departamentos.
Especialistas do Ledger Donjon desmontaram o dispositivo recuperado e analisaram seu funcionamento para determinar como os atacantes coletaram a frase de recuperação.
O fabricante colaborou com pesquisadores de segurança e parceiros da indústria durante a investigação, incluindo SEAL_911.
O Ledger indica que a equipe está colaborando com as autoridades policiais para rastrear os fundos roubados e identificar a infraestrutura utilizada para coletar credenciais de carteiras.
A empresa não divulgou informações sobre prisões relacionadas, acusações criminais formais ou recuperação de fundos.
Ledger says the company plans to release more technical information when investigators are able to safely disclose the results.
Ledger planeja aumentar ainda mais a proteção contra alterações de carteira
Além das restrições de varejo atuais, a Ledger está desenvolvendo medidas adicionais de segurança de produto destinadas a tornar mais difícil a manipulação física.
A empresa ainda não forneceu especificações técnicas, modelos de produtos afetados ou cronograma para a implementação dessas medidas de proteção.
Ledger afirmou que compartilhará os resultados com outros fabricantes e vendedores de carteiras de hardware para que eles avaliem riscos semelhantes em seus próprios produtos.
O fabricante anteriormente alertou clientes que compraram dispositivos através da CryptoBilis para não inicializarem o dispositivo antes de entrar em contato com o suporte oficial.
Para clientes que já utilizaram carteiras possivelmente afetadas, a empresa recomenda transferir seus criptomoedas para um dispositivo confiável e gerar uma nova frase de recuperação.
Se o atacante já tiver obtido a frase de recuperação antiga, restaurar essa frase antiga em um dispositivo substituto não garante a segurança dos fundos.
As orientações de segurança da Ledger lembram aos usuários que nunca devem revelar a frase de recuperação a ninguém que afirme representar o suporte.
A empresa enfatiza que seus funcionários nunca solicitarão a frase de recuperação por mensagem, telefone ou site.
Na declaração de 15 de outubro, a Ledger reconheceu que a investigação ainda está em andamento e que ainda há mais trabalho de segurança a ser realizado.
The manufacturer reaffirms that it will release further details about the attack and the methods used by the criminals once the investigation allows for disclosure.