O incidente de adulteração da carteira Ledger gira em torno de um implante de hardware não autorizado confirmado em um dispositivo afetado, ligado a um canal de revendedor relatado. Isso não mostra que todas as carteiras Ledger ou os próprios sistemas da Ledger foram comprometidos.
Um dispositivo modificado pode expor a frase de recuperação durante a configuração. Compre de uma fonte confiável e nunca insira uma frase que outra pessoa lhe deu.
O que a investigação confirmou até agora
A Ledger confirmou que um dispositivo pertencente a um usuário afetado continha um implante de hardware não autorizado. Essa é uma descoberta séria, mas é mais restrita do que dizer que todos os dispositivos Ledger, todos os revendedores ou os próprios sistemas de produção da Ledger foram comprometidos.
Relatos da mídia conectaram os dispositivos afetados a um canal de revendedor e citaram perdas acima de US$ 86 milhões.
Esses números de perdas permanecem estimativas relatadas enquanto as investigações continuam, portanto, não devem ser apresentados como um total final auditado. O relatório da The Verge resume as descobertas relatadas do dispositivo e a resposta da Ledger.
Uma carteira de hardware mantém as chaves offline, mas não remove todos os riscos. Um dispositivo pode manter as chaves privadas offline, mas ainda assim ser adulterado antes da entrega.
Um comprador também pode ser enganado para compartilhar a frase de recuperação. Esta é uma questão de cadeia de suprimentos e configuração.
Isso não significa que todas as carteiras de hardware são inseguras.
Por que a tela de configuração é mais importante que a embalagem
Uma frase de recuperação é um conjunto de palavras que pode restaurar uma carteira. Qualquer pessoa com a frase pode ser capaz de roubar os fundos.
Durante uma configuração normal, a frase deve ser gerada pelo dispositivo e anotada pelo proprietário. Um vendedor, agente de suporte, site ou "ajudante" nunca deve pedir ao proprietário para enviar a frase para eles.
Alguns compradores se concentram no lacre ou na embalagem. Essas verificações podem ajudar, mas não provam que um dispositivo é genuíno.
A própria orientação sobre a autenticidade do dispositivo da Ledger explica que os selos visuais podem ser copiados e que uma verificação de autenticidade de software tem limites: pode não detectar todas as modificações físicas. Isso não torna a autenticação inútil.
Isso significa que os proprietários devem combinar verificações oficiais com uma rotina de configuração segura e um canal de compra confiável.
Se um dispositivo chegar com uma frase de recuperação já impressa, pedir ao usuário para inserir uma frase fornecida pelo vendedor ou direcionar o usuário para um site não oficial, pare. Não insira palavras de carteira existentes no dispositivo.
Não escaneie códigos QR de configuração que levem a um domínio desconhecido. Entre em contato com o fabricante através do endereço digitado manualmente em seu site oficial e peça ao vendedor para confirmar a origem do dispositivo.
O que os proprietários atuais podem fazer sem pânico
- Verifique se a compra veio da Ledger ou de um revendedor nomeado nas atualizações oficiais atuais do incidente. Mantenha o e-mail do pedido e as informações do número de série do dispositivo disponíveis.
- Revise a página de incidentes mais recente do fabricante e use apenas o aplicativo oficial baixado de seu site ou listagem verificada na loja de aplicativos.
- Se o dispositivo estiver no grupo afetado, ou o comportamento de configuração parecer incomum, não o use para acessar uma carteira de alto valor. Mova os fundos para uma nova carteira criada em um dispositivo confiável, seguindo as instruções oficiais.
- Se uma frase de recuperação pode ter sido exposta, trate-a como comprometida. Criar um novo endereço não é suficiente se a frase antiga ainda controla os fundos; transfira os ativos para uma carteira recém-gerada.
Tenha cuidado com "ajuda de recuperação" não solicitada. Uma pessoa que entra em contato com uma vítima após um incidente público pode estar tentando roubar a mesma frase de recuperação uma segunda vez. O suporte real não precisa da frase.
Ninguém pode reverter uma transferência on-chain simplesmente porque o proprietário a relatou.
Como ler o impacto no mercado
Um incidente como este pode diminuir a confiança das pessoas em carteiras de hardware. Também pode afetar empresas relacionadas a cripto.
Para BTC, o efeito direto é geralmente limitado, a menos que o evento cause vendas generalizadas, depósitos em exchanges ou uma perda mais ampla de confiança na infraestrutura de cripto. As regras da rede do Bitcoin são separadas da segurança de um dispositivo de hardware de terceiros.
Os traders podem observar o preço do BTC, os fluxos das exchanges e se os relatos se expandem além de um canal de revendedor antes de assumir um efeito em todo o mercado.
Para uma referência de mercado simples, a Tapbit lista um mercado perpétuo BTC-USDT. Este é um contrato de Bitcoin, não um produto relacionado ao incidente da Ledger. Um trader que o revisa deve verificar os termos atuais do contrato, margem, financiamento e preço de liquidação antes de fazer qualquer ordem.
Como as organizações podem reduzir o risco da cadeia de suprimentos
Para uma residência, comprar diretamente do fabricante é muitas vezes a maneira mais simples de reduzir a incerteza.
Uma empresa que detém ativos de clientes também pode manter um inventário de dispositivos, registrar de onde veio cada unidade e exigir que uma segunda pessoa verifique a configuração antes que os fundos sejam depositados.
Essas verificações não tornam a adulteração impossível, mas facilitam a detecção de um dispositivo incomum antes que ele proteja uma carteira de alto valor.
As empresas podem configurar dispositivos em um computador separado e restringir o acesso a backups de recuperação. Elas também devem testar a recuperação da carteira com uma pequena quantia primeiro.
O teste confirma que o proprietário entende o backup sem expor a carteira principal. Se um incidente for suspeito, registre o modelo, o vendedor, os detalhes do número de série e as etapas de configuração, e relate através dos canais oficiais.
Esses registros podem ajudar a mostrar se o problema se limita a um vendedor ou lote.
Crie uma conta Tapbit para explorar os mercados disponíveis.
Produto Tapbit e etapas de negociação
O mercado BTC-USDT da Tapbit rastreia o BTC, não a segurança da carteira ou o tópico quântico deste artigo. Leia o guia de futuros e revise os termos do contrato ao vivo antes de negociar.
- Registre-se ou faça login e prepare o USDT.
- Abra BTC-USDT e revise o contrato, modo de margem, alavancagem e cronograma de negociação.
- Selecione compra ou venda, tipo de ordem, tamanho da posição e quaisquer níveis de stop-loss ou take-profit.
- Verifique taxas, margem e preço de liquidação antes de confirmar; monitore a posição e feche-a de acordo com seu plano.
FAQ
Isso significa que todos os dispositivos Ledger são inseguros?
Não. A descoberta confirmada de implante diz respeito a um dispositivo afetado; siga as orientações atuais da Ledger sobre incidentes e verifique seu próprio caminho de compra.
O suporte deve me pedir minha frase de recuperação?
Não. Uma frase de recuperação deve permanecer privada e nunca deve ser enviada a uma pessoa, site ou chat.
