Alguém levou aproximadamente US$ 91 milhões de uma só vez. 203 BTC entraram em dois endereços no mesmo bloco, e na mesma hora, cerca de US$ 58 milhões em USDT na rede Tron também foram movimentados. O dinheiro saiu de um lote de carteiras físicas Ledger; as frases de recuperação já haviam sido enviadas no dia em que os usuários ligaram os dispositivos. Alguém desmontou uma Ledger comprada na Malásia e encontrou uma pequena placa com eSIM sob a tela. @MagicalTux publicou fotos da desmontagem em 8 de outubro. A placa tinha um módulo LTE soldado, que permanecia inativo, apenas monitorando a tela. Enquanto você ativava o dispositivo e digitava um a um os 24 termos da frase de recuperação, essas palavras já estavam sendo transmitidas pela rede móvel. O próprio Ledger Live não detecta essa fraude: o chip Ledger dentro do dispositivo é autêntico; o problema está sob a tela. Ampliei essas fotos por muito tempo e observei que as soldas são perfeitamente feitas, nada parecem feitas em uma oficina caseira. Na Malásia, existe uma loja que vende carteiras físicas chamada CryptoBilis. Desde pelo menos 2022, o site oficial da Ledger a lista como revendedora autorizada na Malásia, Indonésia e Filipinas. Uma loja legítima, vendendo produtos autênticos, que operou honestamente por anos. Mas em março deste ano, a equipe fundadora vendeu toda a empresa. A transação incluiu um acordo de confidencialidade: os antigos acionistas não podiam divulgar publicamente a mudança de propriedade até 19 de outubro. Em agosto deste ano, os registros da empresa mostravam apenas um único acionista com 100% das ações, chamado Jiaming, cujo endereço registrado está em Heilongjiang. A loja continuou aberta, o site permaneceu online, o domínio não foi alterado, e o sinal de “Autorizado Ledger” ainda estava no mesmo lugar. O ex-cofundador posteriormente afirmou que a antiga equipe nem conseguia mais acessar o back-end da empresa. Em seguida, veio o post de desmontagem em 8 de outubro — 120 mil visualizações. 22 horas após a publicação do post, a pessoa que detinha essas frases de recuperação resgatou todos os fundos. Cerca de 7 horas após a transferência dos ativos, a Ledger finalmente anunciou que estava investigando e solicitou que a CryptoBilis suspendesse vendas e envios. Ontem, a Ledger confirmou que os dispositivos dos usuários afetados continham realmente hardware não autorizado instalado. Até agora, ninguém formalmente vinculou os novos acionistas às máquinas adulteradas, e a Ledger não explicou como essas placas entraram nos dispositivos. Mas o caminho está claro: em vez de tentar quebrar o chip de segurança ou modificar o firmware, compraram diretamente uma marca já autorizada, aproveitando a reputação construída por três anos para enviar produtos — as máquinas se comunicavam sozinhas, e quando o post de desmontagem apareceu, esvaziaram tudo de uma vez. A marca “Revendedor Autorizado” originalmente reconhecia a equipe que abriu a loja em 2022. A empresa mudou de dono em março, mas a placa permaneceu no mesmo lugar — e até hoje ninguém verificou novamente quem é o novo proprietário.