Carteiras Ledger adulteradas tinham chips espiões capazes de capturar frases de recuperação
A Ledger identificou carteiras de criptomoedas modificadas com componentes eletrônicos clandestinos. Instalados no interior dos aparelhos, os chips podiam registrar informações exibidas durante a configuração e enviá-las aos criminosos por meio de uma conexão LTE. Entre os dados visados estavam as frases de recuperação de 24 palavras, que permitem restaurar o acesso aos ativos digitais.
Os dispositivos foram vendidos pela CryptoBilis, revendedora que atua no Sudeste Asiático. Em comunicados divulgados na terça-feira, a fabricante francesa informou que sua equipe de segurança encontrou implantes físicos capazes de monitorar a tela da carteira. Quando a frase de recuperação aparecia durante a configuração, o componente malicioso capturava o conteúdo e o transmitia por uma conexão móvel, usando um eSIM integrado.
Com as 24 palavras, os invasores poderiam restaurar as carteiras em outros dispositivos e movimentar os fundos sem autorização. A estratégia não exigia a quebra dos mecanismos criptográficos da Ledger: o ataque se concentrava na captura das credenciais enquanto elas eram exibidas ao usuário. Segundo a empresa, os valores das vítimas foram desviados em 9 de outubro de 2026. O total das perdas não foi confirmado, e a fabricante pediu cautela diante de estimativas ainda não verificadas. Os responsáveis pela adulteração também não foram identificados.
Um ponto preocupante é que a presença do implante não comprometeria necessariamente o Secure Element, componente que protege operações criptográficas e informações sensíveis. Assim, um aparelho modificado poderia continuar sendo aprovado nas verificações oficiais de autenticidade. Em outras palavras, a validação digital do dispositivo não garante, por si só, que o hardware interno nunca tenha sido adulterado.
A Ledger não revelou quais modelos foram afetados. Os casos confirmados até agora estão ligados a unidades comercializadas pela CryptoBilis, e a maioria foi registrada no Sudeste Asiático. A empresa também examina relatos envolvendo outros aparelhos e localidades, mas afirma acreditar que o número de dispositivos comprometidos seja limitado.
A recomendação varia conforme o aparelho já tenha sido usado ou não. Quem comprou uma carteira da revendedora e ainda não a configurou deve evitar ativá-la e procurar o suporte oficial da Ledger. Já quem inseriu uma frase de recuperação em um dos dispositivos investigados deve transferir os ativos para uma nova carteira, criada com uma frase totalmente diferente. Não se deve restaurar nem digitar a frase antiga em equipamentos adquiridos da revendedora.
A fabricante orientou possíveis vítimas a contatá-la e a informar as autoridades policiais locais antes de abrir, desmontar ou enviar o dispositivo. Além de evitar danos ao aparelho, essa cautela pode ajudar a preservar informações relevantes para a investigação.
Após a divulgação do caso, a CryptoBilis publicou um aviso direcionando clientes às orientações da Ledger. A revendedora também suspendeu as vendas e os envios de dispositivos da marca enquanto colabora com a apuração.
O episódio evidencia um risco específico da cadeia de fornecimento: um equipamento pode ser alterado antes de chegar às mãos do consumidor. Mesmo quando o software e os componentes criptográficos funcionam como esperado, um chip adicional pode observar dados expostos na tela e transmiti-los para terceiros.
Para reduzir a exposição, a frase de recuperação deve ser tratada como uma chave mestra, e não como uma senha comum. Ela não deve ser fotografada, armazenada em serviços de nuvem, enviada por mensagens ou digitada em sites. Quem solicitar essas palavras para “verificar” uma conta ou liberar fundos deve ser considerado suspeito.
Também é importante adquirir carteiras diretamente do fabricante ou de revendedores autorizados e manter comprovantes de compra. Embalagens intactas e verificações digitais são medidas úteis, mas não eliminam todos os riscos de adulteração física, como demonstra o caso investigado.
A segurança depende ainda dos procedimentos adotados pelo usuário. A frase de recuperação deve ser anotada e guardada em local privado, longe de câmeras e de pessoas não autorizadas. Nunca se deve inserir esse conjunto de palavras em um computador ou celular por orientação de alguém que ofereça suporte inesperado.
Se houver suspeita de comprometimento, a prioridade é criar uma carteira segura em um dispositivo confiável e transferir os ativos para ela. A nova carteira precisa ter uma frase de recuperação inédita: reutilizar as palavras potencialmente expostas não impede que os invasores continuem acessando os fundos.
A investigação da Ledger segue em andamento, inclusive para apurar se existem unidades comprometidas fora da distribuição inicialmente identificada. Até que haja mais informações, consumidores que compraram pela CryptoBilis devem seguir as instruções da fabricante e evitar qualquer tentativa de reutilizar a frase de recuperação nos aparelhos sob suspeita.