Implante celular oculto em carteiras Ledger: como hardware wallets vendidas por revendedor drenaram cerca de 93 milhões de dólares
A Ledger confirmou em 10 de outubro de 2026 que hardware wallets adulteradas vendidas pelo revendedor do Sudeste Asiático CryptoBilis continham um implante de hardware não autorizado, projetado para capturar as frases de recuperação dos usuários durante a configuração do dispositivo. A empresa tornou público o achado pela conta de suporte. Não se tratava de uma falha de firmware nem de um golpe de phishing, mas de circuitos adicionais instalados em dispositivos genuínos em algum ponto do caminho entre fabricante e comprador.
Um implante atrás da tela
Segundo a confirmação da Ledger e uma análise técnica publicada pela PhishFort, o implante ficava atrás da tela do dispositivo e se ligava às linhas de dados do display. Essa posição permitia ler tudo o que aparecia na tela, inclusive a frase de recuperação de 24 palavras gerada na configuração inicial. O comprometimento, portanto, não exigia um computador infectado nem um aplicativo malicioso: a própria carteira registrava as palavras-semente no momento em que eram geradas. A CoinDesk informou em 13 de outubro que a Ledger descreveu o componente como um chip espião que transmitia as chaves capturadas por uma rede móvel. Um canal fora de banda desse tipo não depende do computador nem da conexão de internet da vítima, o que tornava a exfiltração difícil de notar. As evidências físicas batem com a descrição: como relatou a Help Net Security, um implante foi encontrado na parte de trás de um dispositivo já esvaziado, examinado depois dos fatos. Nenhuma das análises publicadas identifica quem fabricou o implante nem em que ponto da cadeia de distribuição os dispositivos foram alterados. O que os exames mostram é uma modificação pequena o bastante para escapar à inspeção visual e discreta o bastante para não interferir no funcionamento normal da carteira. Essa combinação de pegada mínima, função plena e transmissão encoberta é o que torna os implantes de hardware tão difíceis de detectar depois. Uma carteira de aparência genuína, um fluxo de configuração normal e um componente atrás da tela copiando a frase-semente assim que ela aparece: esse é o formato do incidente.
A dimensão das perdas
A empresa de análise de blockchain Bitquery estimou em 11 de outubro que as perdas suspeitas chegavam a 93,2 milhões de dólares em 315 carteiras de seis redes, com cerca de 70,5 milhões de dólares em TRON. Os números vêm da análise on-chain da Bitquery e seguem sem confirmação da Ledger, então devem ser lidos como estimativas de analistas, não como totais verificados pela empresa. Analistas rastrearam fundos roubados passando pela Tornado Cash nos dias seguintes à revelação do roubo; segundo o resumo publicado pela Tarnkappe, cerca de 81 milhões de dólares ainda eram rastreáveis on-chain em 11 de outubro. Duas medidas de contenção seguiram a saída dos fundos: a Tether congelou aproximadamente 10 milhões de USDT ligados ao roubo, e cerca de 5,35 milhões de USDC foram identificados para congelamento. CryptoBilis para todo o estoque de hardware
A CryptoBilis, revendedora pela qual os dispositivos adulterados chegaram a clientes na Indonésia, na Malásia e nas Filipinas, parou de vender todo o seu estoque de hardware wallets assim que o problema veio à tona. A confirmação da Ledger vinculou os dispositivos adulterados ao estoque vendido por essa revendedora. O caso mostra por que o ponto de venda importa tanto quanto o fabricante. Um dispositivo genuíno que passa por um intermediário não autorizado pode ser aberto, alterado e lacrado de novo com hardware invisível por fora, e a embalagem selada dá pouca garantia, porque uma caixa relacrada é difícil de distinguir de uma lacrada de fábrica. Quem compra em lojas de terceiros, marketplaces ou revendedores herda a integridade que esses intermediários mantêm - ou a falta dela. O que isso significa para a confiança na cadeia de suprimentos de hardware
As hardware wallets vivem de uma premissa simples: o dispositivo nas suas mãos faz exatamente o que o firmware diz e nada mais. A adulteração física quebra essa premissa numa camada que nenhuma varredura de software alcança. O implante deste incidente não mudou o visual nem o comportamento da carteira; os usuários viam uma tela normal e um fluxo de configuração normal enquanto um componente atrás do display copiava a frase-semente e a transmitia em silêncio. As lições práticas são sem glamour. Compre hardware wallets direto do fabricante ou de um distribuidor autorizado. Trate como comprometido e descarte qualquer dispositivo que chegue pré-configurado, com frase de recuperação impressa ou PIN predefinido. Inicialize o dispositivo você mesmo, gere uma frase de recuperação nova e verifique a autenticidade do software que usar com ele: a mesma disciplina descrita em nosso artigo sobre como verificar downloads corretamente vale para ferramentas de carteira tanto quanto para qualquer outra coisa baixada via Tor. Para quem comprou uma Ledger na CryptoBilis, a premissa de trabalho deve ser que a frase de recuperação foi capturada. Os fundos devem ir para uma carteira inicializada num dispositivo verificado, e a semente antiga deve ser tratada como queimada. O princípio vale além do incidente: uma frase de recuperação deve existir em um único lugar, gerada pelo dono, nunca pré-impressa e nunca reutilizada.
