Ledger revela como chip oculto roubou frases de recuperação no hack de US$ 93 milhões

A Ledger revelou que um chip secreto embutido nas carteiras de hardware vendidas por seu revendedor CryptoBilis capturou as frases de recuperação de 24 palavras da tela e as transmitiu pela rede celular ao atacante, o que os pesquisadores estimaram ter custado entre US$ 84,2 milhões e US$ 93,2 milhões.

A empresa francesa revelou os detalhes do vetor de ataque pela primeira vez em uma atualização no blog postado em X na terça-feira pela sua equipe de segurança, Ledger Donjon. Esta é talvez a explicação mais detalhada sobre como os proprietários dos dispositivos comprometidos perderam o acesso às suas criptomoedas sem sequer tocar no software da Ledger.

Como o implante extraiu as chaves da tela

O chip adicional estava localizado dentro da carcaça do dispositivo, de acordo com a Ledger. Durante a configuração da carteira, quando o usuário mostra as 24 palavras que servem como backup da conta, o microcontrolador do implante as lê e as traduz em dados transmitidos via LTE por meio de um cartão SIM integrado.

Esse código de recuperação é basicamente uma conta. Com ele, você pode restaurar sua carteira em outro dispositivo sem precisar usar o dispositivo comprometido ou realizar qualquer transação.

Atualização sobre os dispositivos Ledger na MediaMarkt Saturn 🔽

A partir de 13 de outubro, a MediaMarkt Saturn, em alinhamento com a Ledger, suspendeu a venda de dispositivos Ledger em suas lojas e online enquanto a investigação continua, após o relato de um implante encontrado em um cliente na Alemanha. Não foram reportadas perdas de fundos.

Não há indícios de que a infraestrutura, os sistemas ou os serviços da Ledger tenham sido comprometidos. O Suporte da Ledger está analisando os relatos dos usuários, e os especialistas em cibersegurança da Ledger, a Donjon, examinarão os dispositivos que recebermos: https://t.co/QzukOZdEzq.

Se tiver dúvidas sobre um dispositivo que comprou, entre em contato com o Suporte Ledger em https://t.co/QzukOZdEzq. A Ledger nunca entrará em contato por telefone, mensagem direta ou solicitará sua frase de recuperação de 24 palavras.

Muitas alegações e números divulgados online não foram verificados. Golpistas frequentemente tentam se aproveitar de incidentes como este. Confie apenas nos canais oficiais da Ledger e da MediaMarkt Saturn para obter atualizações. Compartilharemos mais informações conforme a investigação prosseguir.

— Ledger (@Ledger) outubro 13, 2026

De acordo com os relatos, os dispositivos hackeados eram do modelo Ledger Nano X. Mark Karpelès, ex-CEO da Mt. Gox e atualmente na Karpeles Lab, compartilhou uma foto do implante escondido atrás da tela e observou que o cabo de antena era a pista. O laboratório de pesquisa Tibane Labs confirmou a descoberta e informou que possui duas versões do implante, incluindo uma com microcontrolador ST STM32G431KBU6, eSIM 2×2 mm e módulo LTE.

Um ataque à cadeia de suprimentos, não uma violação de software

No entanto, a Ledger teve o cuidado de destacar o que foi poupado pelo ataque. O implante não prejudicou o Elemento Seguro, o chip que garante a segurança das chaves privadas. Não afetou o sistema operacional e não teve impacto nas transações e assinaturas, conforme declarado pela empresa em seu post no X.

A empresa caracterizou o incidente como um ataque físico à sua cadeia de suprimentos e não como um incidente de hacking contra seu software ou processos internos. A Ledger, que afirma enviar mais de 8 milhões de dispositivos, destacou que seu sistema "Genuine Check" é incapaz de detectar qualquer implante enquanto o Elemento Seguro original permanece intacto.

Estimativas de roubo na Ledger ultrapassam $86M, enquanto Tether bloqueia $10M

A Ledger não divulgou dados sobre o número de vítimas ou o valor envolvido. No entanto, empresas de pesquisa on-chain realizaram seus trabalhos e chegaram aos seus números. Relatórios indicam que cerca de US$ 93,2 milhões em perdas estão distribuídos por mais de 300 carteiras. Mas o investigador Specter estima as perdas acima de US$ 86 milhões, e a Yfarmx eleva sua figura para US$ 103 milhões. Tether congela $10 milhões equivalente ao seu stablecoin USDT associado ao roubo.

Isso foi descoberto em 9 de outubro, quando a Ledger iniciou uma investigação sobre o alegado drenamento de fundos e solicitou à CryptoBilis que parasse de vender seus signers. A Ledger revelou em 10 de outubro que um dos dispositivos de usuários comprometidos continha um implante ilegal. Até o momento, todas as perdas confirmadas envolvem uma unidade vendida pela CryptoBilis, um revendedor autorizado na Indonésia, Malásia e Filipinas.

Concorrentes cortam laços com a CryptoBilis

A CryptoBilis teria interrompido todas as vendas e entregas de carteiras de hardware de diferentes marcas nos três países e fechado suas lojas físicas, ampliando uma medida anterior que envolvia apenas a marca Ledger. A empresa revendedora afirmou que estava analisando a situação com a ajuda de especialistas externos.

A Trezor afirmou não ter encontrado evidências de adulteração em seus dispositivos revendidos pela CryptoBilis, mas decidiu remover o revendedor de sua lista de distribuidores autorizados. A empresa OneKey declarou que não foram relatadas perdas associadas a este caso e também removeu a CryptoBilis de sua lista de revendedores autorizados; além disso, ofereceu substituição gratuita dos dispositivos OneKey comprados por meio da CryptoBilis entre 1º de março e 12 de outubro de 2026.

Relatos além do revendedor

"A Ledger disse estar investigando relatos de implantes em dispositivos não vendidos pela CryptoBilis, mas ainda não confirmou um roubo em um dispositivo comprado em qualquer outra loja", informou a Cointelegraph. Além disso, segundo a Cointelegraph, houve um usuário do X chamado Johannes que publicou fotos de dois dispositivos Ledger, os quais afirma ter adquirido separadamente nas lojas MediaMarkt na Europa, e ambos apresentavam implantes.

A Ledger ainda não confirmou qualquer ligação entre os relatórios na Europa e o caso CryptoBilis. De acordo com a Ledger, o conselho para os utilizadores dos produtos CryptoBilis é muito claro: não inicialize um dispositivo de assinatura (signer) proveniente da CryptoBilis e, se já tiver feito isso, transfira os fundos para outro dispositivo com uma nova frase de recuperação.

As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.