A Ledger confirmou a presença de um implante de hardware não autorizado no dispositivo de um dos utilizadores afetados, adquirido através da CryptoBilis.
As estimativas on-chain apontam para perdas de até 93,2 milhões de dólares em 315 carteiras distribuídas por seis redes.
A empresa afirma que os seus próprios sistemas continuam intactos e aconselhou os compradores recentes a não configurarem os dispositivos ou a transferirem os fundos para uma nova frase-semente.
A Ledger, fabricante de carteiras de hardware, confirmou que um dispositivo associado a perdas financeiras relatadas continha um implante de hardware não autorizado, dando novo impulso à investigação de um potencial ataque à cadeia de fornecimento que envolve a sua revendedora do Sudeste Asiático, a CryptoBilis.
Em uma atualização sobre a situação publicada em 10 de outubro, o Suporte da Ledger afirmou: “A Ledger pode confirmar que o dispositivo de um dos usuários afetados continha um implante de hardware não autorizado.” A empresa disse que está entrando em contato com os usuários afetados, colaborando com as autoridades e agradeceu à SEAL 911 pelo apoio. Segundo a publicação, a CryptoBilis suspendeu todas as vendas de carteiras de hardware enquanto a investigação estiver em andamento.
A investigação começou após relatos de carteiras esvaziadas entre compradores de dispositivos Ledger da CryptoBilis, revendedora autorizada na Indonésia, na Malásia e nas Filipinas. Em um comunicado inicial, publicado em 9 de outubro, a Ledger recomendou que os usuários que compraram dispositivos da revendedora nos últimos 90 dias não configurassem dispositivos ainda não utilizados e considerassem transferir seus ativos para um novo dispositivo de assinatura Ledger com uma nova frase-semente, caso o dispositivo já tivesse sido inicializado. A Ledger afirmou repetidamente que não há indícios de que sua própria infraestrutura de segurança, seus sistemas ou serviços tenham sido comprometidos.
Investigadores de blockchain contabilizaram perdas substanciais. A empresa de dados de blockchain Bitquery informou que US$ 93,2 milhões foram retirados de 315 carteiras nas redes TRON, Bitcoin, Ethereum, BNB Chain, Polygon e Solana. A maior parte era em USDT na TRON. A Tether congelou cerca de US$ 10 milhões em USDT relacionados ao incidente. Estimativas anteriores de pesquisadores como a Specter ultrapassavam US$ 86 milhões, conforme detalhado inicialmente pelo The Block.
A natureza sincronizada das retiradas — como várias carteiras aprovando transações em questão de segundos — sugere a atuação de um único agente que obteve as chaves privadas, o que é compatível com um implante de hardware capaz de capturar a frase de recuperação durante a configuração e exfiltrá-la. A Ledger está desenvolvendo medidas aprimoradas contra adulteração e recomenda que os usuários recorram exclusivamente aos canais oficiais, observando que nunca solicitará uma frase de recuperação de 24 palavras.
Recomenda-se que os usuários afetados entrem em contato com o suporte da Ledger pelos canais oficiais. O incidente destaca os riscos contínuos nas cadeias de suprimentos de carteiras de hardware, embora a empresa sustente que o problema se limita ao canal específico da revendedora.