Carteiras Ledger são encontradas com chips espiões capazes de roubar criptomoedas

A fabricante de carteiras de criptomoedas Ledger identificou dispositivos adulterados com componentes eletrônicos maliciosos capazes de capturar frases de recuperação e permitir o roubo de ativos digitais. Os equipamentos comprometidos foram comercializados pela revendedora CryptoBilis, que atua no Sudeste Asiático.

Em comunicados publicados na terça-feira, a empresa francesa informou que sua equipe de pesquisa em segurança encontrou implantes físicos escondidos dentro das carteiras. Esses componentes foram projetados para capturar informações exibidas nas telas dos dispositivos durante a configuração inicial.

O principal alvo dos invasores eram as frases de recuperação compostas por 24 palavras, utilizadas para restaurar o acesso às criptomoedas armazenadas nas carteiras.

Com essas informações, os criminosos conseguiram acessar os ativos das vítimas e realizar transferências não autorizadas.

Chips escondidos transmitiam informações por conexão LTE

Segundo a investigação da Ledger, os dispositivos adulterados continham implantes capazes de monitorar os dados apresentados na tela durante o processo de configuração.

Quando a frase de recuperação de 24 palavras era exibida, o componente malicioso capturava essas informações e as transmitia por uma conexão LTE, utilizando um eSIM integrado.

Esse mecanismo permitia que os invasores obtivessem as credenciais necessárias para recuperar as carteiras sem precisar comprometer diretamente o software ou os mecanismos criptográficos dos dispositivos.

Os fundos das vítimas foram desviados em 9 de outubro de 2026, segundo a empresa.

A Ledger ainda não confirmou o valor total dos prejuízos e pediu cautela em relação a estimativas não verificadas.

Até o momento, os responsáveis pela adulteração dos equipamentos não foram identificados.

Dispositivos adulterados podem passar por verificações de autenticidade

Um dos aspectos mais relevantes da descoberta é que os implantes não comprometem necessariamente o Secure Element, componente de segurança utilizado pela Ledger para proteger operações criptográficas e informações sensíveis.

Como esse elemento permanece intacto, dispositivos fisicamente adulterados podem continuar passando pelas verificações oficiais de autenticidade da fabricante.

Isso significa que um equipamento pode ser reconhecido como legítimo pelos mecanismos de validação da Ledger e, ainda assim, conter componentes eletrônicos maliciosos instalados em seu interior.

A empresa não divulgou quais modelos de carteiras foram afetados.

Embora todos os roubos confirmados estejam relacionados a dispositivos vendidos pela CryptoBilis, a Ledger informou que também está analisando relatos de implantes em outros equipamentos e localidades.

A maioria dos casos confirmados foi registrada no Sudeste Asiático.

Ledger orienta clientes a interromper o uso dos dispositivos

A fabricante publicou orientações específicas para consumidores que adquiriram carteiras por meio da CryptoBilis.

Clientes que ainda não configuraram seus dispositivos devem evitar a ativação e entrar em contato com o suporte oficial da Ledger.

Para aqueles que já utilizaram os equipamentos, a recomendação é transferir imediatamente os ativos para uma nova carteira, utilizando uma frase de recuperação completamente diferente.

A empresa também alertou que nenhuma frase de recuperação deve ser inserida ou restaurada em dispositivos adquiridos da revendedora investigada.

A medida busca impedir que informações adicionais sejam capturadas pelos componentes maliciosos.

A Ledger orientou as vítimas a entrar em contato com a fabricante e com as autoridades policiais locais antes de abrir, desmontar ou enviar os equipamentos afetados.

Revendedora suspende vendas durante investigação

Após a divulgação do incidente, a CryptoBilis publicou um comunicado em seu site direcionando os clientes ao alerta oficial da Ledger.

A empresa informou que suspendeu todas as vendas e remessas de dispositivos da fabricante enquanto a investigação estiver em andamento.

A revendedora também declarou estar cooperando integralmente com os trabalhos de apuração.

A Ledger afirmou acreditar que a quantidade de dispositivos comprometidos seja limitada, embora ainda esteja investigando possíveis ocorrências fora da rede de distribuição inicialmente identificada.

O caso envolve uma adulteração física de equipamentos antes de sua utilização pelos consumidores, caracterizando um risco à cadeia de fornecimento de dispositivos de segurança.

Nesse tipo de ataque, a proteção oferecida pelos componentes criptográficos pode não ser suficiente para impedir o comprometimento, já que informações confidenciais são capturadas por hardware adicional instalado no próprio equipamento.