Ledger confirma implante espião em dispositivos da Cryptobilis que roubava frases-semente via LTE

A Ledger confirmou em 13 de outubro que um implante de hardware não autorizado em carteiras Ledger vendidas pela revendedora Cryptobilis, do Sudeste Asiático, capturava as 24 palavras da frase-semente durante a configuração do dispositivo e as transmitia aos atacantes via rede LTE usando um eSIM embutido.

O componente — identificado pela equipe de segurança Ledger Donjon — ficava dentro do invólucro do dispositivo. Quando a tela exibía a frase de recuperação no setup, o microcontrolador do implante reconhecia e decodificava as palavras e as enviava por dados móveis. A frase-semente é a chave mestra da carteira; quem a possui recria a carteira em outro lugar e move os fundos sem precisar do dispositivo físico.

O ataque não comprometeu o Secure Element da Ledger, seu sistema operacional nem o processo de assinatura de transações. Foi um ataque físico à cadeia de suprimentos após os dispositivos saírem do controle da fabricante. Pesquisadores onchain estimaram perdas de até US$ 93,2 milhões em mais de 300 carteiras, com a Tether congelando US$ 10 milhões em USDT ligados ao roubo.

A Ledger pediu à Cryptobilis que pausasse todas as vendas e remessas. Em 13 de outubro, expandiu a suspensão a revendedores e distribuidores em sete mercados: Indonésia, Singapura, Tailândia, Filipinas, Vietnã, Malásia e Hong Kong. A empresa afirmou não ter verificado drenagem ligada a dispositivos comprados em outros canais.

Separadamente, a rede varejista europeia MediaMarkt Saturn retirou dispositivos Ledger das prateleiras e do site em 13 de outubro após um cliente na Alemanha relatar um implante semelhante. Nenhuma perda de fundos foi relatada nesse caso. A Trezor removeu a Cryptobilis de sua lista de revendedores autorizados como precaução e anunciou redução de sua rede de revendedores a partir de 1º de janeiro de 2027.