Implante da Ledger levanta questões sobre retalhistas europeus
A Ledger está a investigar denúncias de hardware wallets manipuladas na Europa, enquanto a discussão se desloca para retalhistas como a MediaMarkt e para o papel do distribuidor Aqipa.
Pontos principais
- A Ledger está sob fogo após os utilizadores terem denunciado dispositivos manipulados na Europa, enquanto a empresa mencionou sobretudo a revendedora CryptoBilis.
- O implante alegadamente lê a recovery phrase do ecrã durante a instalação e envia-a através de uma ligação móvel.
- A Ledger pede aos lesados que contactem o Support e apresentem queixa, mas não deu informações sobre indemnização ou perdas totais.
A Ledger está sob fogo depois de, numa atualização, a empresa ter voltado a apontar sobretudo para a revendedora CryptoBilis. Ao mesmo tempo, os utilizadores relataram em poucos minutos que também na Europa estavam a surgir dispositivos manipulados. A discussão não se centra apenas em onde os signers adulterados foram vendidos, mas também em quem deve suportar os danos se um implante conseguir intercetar a recovery phrase durante a configuração.
CryptoBilis continua no centro
Segundo Ledger Donjon, a equipa interna de segurança da Ledger, o implante lê a recovery phrase do ecrã durante a instalação e envia depois as 24 palavras através de uma ligação móvel. A Ledger afirma que está a investigar denúncias de implantes noutros signers e noutros locais, mas na atualização não mencionou outro retalhista além da CryptoBilis.
Foi precisamente esse silêncio que gerou críticas. Nas respostas, os utilizadores apontaram para a MediaMarkt, uma grande cadeia europeia de eletrónica, e para outros possíveis canais de venda na Europa. Um utilizador disse que o seu segundo dispositivo, proveniente de outra loja MediaMarkt, também tinha os mesmos cabos adicionais e um componente celular. Juntou a isso um vídeo de unboxing e afirmou que o stock tinha sido fornecido através do distribuidor Aqipa. Numa comunicação anterior, a Ledger já tinha dito que tinha encontrado um implante de hardware não autorizado num dispositivo vendido através da CryptoBilis e que estava a colaborar com as autoridades.
Questão da indemnização
A Ledger pede aos utilizadores lesados que contactem o Support para que o seu caso possa ser incluído, e que apresentem queixa à polícia. Sobre a compensação do dinheiro perdido, a empresa não disse nada na atualização. Também ainda não foi confirmado quantos utilizadores perderam dinheiro nem qual é o prejuízo total.
Segundo a denúncia, um investidor terá perdido 6,6 milhões de dólares (5,9 milhões de euros) em Bitcoin após a compra através da revendedora. Isto torna o caso ainda mais sensível, sobretudo porque o Genuine Check da Ledger verifica o chip de segurança, mas não todos os componentes em torno do dispositivo. Por isso, um chip espião oculto pode, em alguns casos, ainda passar no teste. Já tinha sido também noticiado que um chip espião oculto numa Ledger-wallet selada estava a colocar pressão sobre a segurança do hardware.
Porque é que isto também afeta a Europa
O caso enquadra-se numa série mais ampla de ataques à cadeia de abastecimento em hardware wallets. Para os utilizadores europeus de criptomoedas, é especialmente relevante que a discussão já não se centre apenas numa revendedora, mas também na origem dos dispositivos na cadeia de lojas. A Ledger avisa ainda que nunca telefona, envia mensagens diretas nem pede uma recovery phrase, o que reduz a probabilidade de abuso adicional em torno deste tipo de incidente.
