Um buraco perfurado por um distribuidor de carteiras: um limite de responsabilidade de 100 USD não cobre uma perda de 90 milhões

Na tarde de 13 de outubro, a Ledger divulgou sua atualização oficial mais longa desde o incidente, detalhando o método de ataque até o nível de componente: o módulo implantado está oculto na carcaça do dispositivo, 'lendo os dados exibidos na tela' — durante a inicialização, o dispositivo exibe na tela uma frase mnemônica de 24 palavras, que o módulo reconhece e decodifica via microcontrolador, enviando-a depois por um eSIM pré-configurado via LTE.

Mais criticamente, seguiu-se uma esclarecimento: o módulo implantado é um componente independente, não modifica o elemento seguro, não altera o sistema operacional nem transações ou assinaturas. O chip é autêntico, o sistema é original e cada transação é confirmada pelo próprio usuário — todos os testes ensinados aos usuários pela indústria foram aprovados por este lote de dispositivos. A frase mnemônica apareceu na tela apenas por alguns segundos, mas havia um par extra de olhos.

No entanto, essa atualização respondeu apenas à pergunta 'o que aconteceu dentro do dispositivo', sem abordar 'e quanto aos que perderam dinheiro?'. Entre 164 respostas, as perguntas subsequentes mais curtidas eram quase todas iguais: se dispositivos comprados de distribuidores autorizados foram adulterados e causaram perdas financeiras, a Ledger assumirá a responsabilidade e indenizará? E quanto aos usuários do canal MediaMarkt na UE? A posição da Ledger é: todas as perdas financeiras confirmadas envolvem dispositivos vendidos pela CryptoBilis, enquanto outros canais ainda 'não foram verificados'.

Quatro dias atrás, era apenas 'um problema com um distribuidor de certa empresa'; agora, tornou-se uma questão que toda a indústria de carteiras de hardware deve responder em conjunto: quem é responsável pela integridade do dispositivo desde o momento em que sai da fábrica?

I. De um Distribuidor a uma Cadeia

Em 9 de outubro, usuários do Sudeste Asiático relataram transferências indevidas de ativos; em 10 de outubro, a Ledger confirmou que o dispositivo de um usuário afetado continha implantes de hardware não autorizados, marcando a primeira evidência física obtida; no mesmo dia, a CryptoBilis anunciou a suspensão das vendas e remessas de dispositivos Ledger. Um distribuidor autorizado, um lote de usuários afetados, uma falha — a narrativa até aqui está quase completa.

Mas, nos dias seguintes, cada nova pista ampliou esse quadro.

A primeira anomalia está nos próprios dispositivos. A maioria dos dispositivos modificados confirmados é totalmente nova, não unidades devolvidas. O modelo de risco padrão da indústria sempre foi 'usuário compra um novo dispositivo — dispositivo é modificado — devolvido — próximo cliente é afetado', pressupondo que a modificação ocorre após a venda; o fato de dispositivos novos terem sido adulterados indica que a modificação ocorreu antes de o dispositivo chegar a qualquer usuário — o problema mudou de 'um elo na cadeia de distribuição' para 'uma etapa no armazém'.

A segunda anomalia é a qualidade da fabricação. Karpelès comparou amostras iniciais com as mais recentes em seu blog: as primeiras mostravam sinais óbvios de produção manual, enquanto as últimas pareciam produzidas sob demanda. Se essa observação for válida, a adulteração não foi uma decisão improvisada de um indivíduo, mas sim uma cadeia capaz de produzir em massa módulos implantados. Os valores nessa cadeia também estão sendo revisados para cima: a Specter estimou inicialmente mais de 86 milhões de dólares, enquanto a análise da Bitquery em 12 de outubro, em 324 carteiras e múltiplas blockchains, estimou cerca de 102 milhões — ainda assim, a Ledger afirmou apenas: 'Ainda não confirmamos o número total de usuários afetados nem o valor total das perdas'.

Então, as pistas começaram a cruzar fronteiras. No lado europeu, o usuário Johannes relatou ter comprado dois dispositivos modificados em duas lojas diferentes da MediaMarkt e pediu aos funcionários para verificar os registros de estoque, com pelo menos um dispositivo vindo da Aqipa GmbH — um distribuidor que abrange toda a Europa, potencialmente afetando áreas muito além da Alemanha. No lado asiático, o dispositivo de Karpelès foi comprado na Amazon Japão, enviado por um vendedor chinês e despachado da Malásia; o canal Nano X relatado pela instituição de pesquisa Tibane Labs também foi despachado da Malásia. Duas pistas milhares de quilômetros distantes apontam para o mesmo local de envio.

A outra ponta da cadeia é igualmente profissional. A Tether congelou 10 milhões de USDT no primeiro dia, e o atacante imediatamente converteu 15 milhões de USDT em USDD — moeda que a Tether não pode congelar — e depois reconvertê-la em cerca de 5,1 milhões de USDT, dos quais aproximadamente 4,23 milhões foram direcionados para um endereço de depósito da Binance; 2.810 ETH entraram no Tornado Cash em três rodadas. Em 11 de outubro, ainda havia 15.475 ETH, 203 BTC e 10 milhões de USDT nas mãos do atacante. CZ propôs uma especulação ainda mais radical — o atacante teria comprado esse distribuidor e feito com que ele assinasse um acordo de confidencialidade para manter silêncio; essa alegação ainda não foi verificada, mas a profissionalidade da cadeia é evidente.

Ao reunir essas pistas, é difícil explicá-las como 'acidentais': um distribuidor subornado é um acidente, uma cadeia transnacional capaz de modificação em massa e evasão de congelamentos é uma vulnerabilidade. O primeiro pode ser resolvido com a exclusão da lista, o segundo não. A Ledger afirma estar desenvolvendo medidas de antitampering mais robustas, mas não especificou detalhes nem cronograma de implementação; a solução de autoverificação que ofereceu orienta os usuários a comparar fotos dos componentes e inspecionar o dispositivo eles mesmos, enquanto o tutorial oficial adverte simultaneamente que abrir o dispositivo pode causar danos. Um processo de verificação que exige que o usuário desmonte o dispositivo para concluí-lo indica que a indústria ainda não tem uma resposta.

II. O Que os Concorrentes Estão Fazendo

Fora do incidente, as diferenças nas respostas de diversos fabricantes são ainda mais elucidativas. Na verdade, a CryptoBilis vende não só Ledger, mas também diversas carteiras de hardware, como Trezor, CoolWallet, Tangem, OneKey, SecuX e Ellipal.

Na tarde do dia em que o incidente veio a público, a conta chinesa da Keystone postou sobre o recurso de autodestruição de nível PCI do Keystone 3 Pro: ao detectar desmontagem física ou adulteração, ele apaga automaticamente os dados do chip, tornando o dispositivo inutilizável. Esse tuíte teve 42.000 visualizações. Ele atingiu precisamente o calcanhar de Aquiles deste ataque — o módulo implantado deve ser instalado abrindo a carcaça, e a autodestruição transforma 'instalação silenciosa' em 'instalado, desaparece'. Mas justamente por ter sido escolhido neste momento, trouxe à tona um assunto embaraçoso: a indústria já possui respostas técnicas há muito tempo, mas ninguém achou necessário implementá-las antes.

A primeira resposta da maioria dos fabricantes foi se distanciar. A Trezor removeu a CryptoBilis de sua lista de distribuidores autorizados e suspendeu as vendas por esse canal, alertando usuários para não desmontarem o dispositivo eles mesmos; a imKey afirmou não ter recebido feedback relevante e verificará seus canais autorizados.

A SafePal enfatizou que seus dispositivos verificam autenticidade e estado de uso durante a configuração inicial, emitem avisos para dispositivos previamente ativados e exibem a data da primeira ativação, utilizando selos à prova de adulteração para identificar se a embalagem foi aberta. A Tangem foi ainda mais longe, tornando a adulteração impossível no nível arquitetônico: o chip seguro e a antena NFC são integrados e lacrados; as chaves privadas são geradas e assinadas dentro do chip; e o firmware gravado na fábrica não pode ser modificado — «Independentemente de os usuários comprarem por lojas oficiais, revendedores ou outros canais, desde que o aplicativo verifique o dispositivo como autêntico, garante-se que a chave privada seja controlada exclusivamente pelo usuário.»

Contudo, a declaração da Tangem evita precisamente o cerne da questão: a verificação pode se autoverificar? Na realidade, a verificação de autenticidade da Ledger só confirma se o chip seguro é genuíno, mas não detecta alterações físicas nos componentes ao redor do chip — dispositivos com módulos implantados podem passar nos testes de autenticidade. Por mais rigoroso que seja o controle do canal, isso apenas reduz a probabilidade, não elimina o risco.

Diante da ceticismo do mercado, a OneKey anunciou substituições gratuitas incondicionais para usuários que compraram por esse canal desde março deste ano, sem necessidade de devolver os dispositivos antigos, enquanto reavalia todos os revendedores existentes, declarando que «se a entidade operacional não puder ser verificada ou o beneficiário final não for identificável, a autorização será revogada» e admitindo que «a rede de revendedores será significativamente reduzida.»

III. US$ 100: O limite de responsabilidade revelado

Após a divulgação das substituições gratuitas da OneKey, a comunidade começou a analisar seu acordo de usuário, o que, ironicamente, desencadeou uma grande crise pública para a própria OneKey.

O atual «Acordo de Serviço», Artigo 15.5, estabelece: caso a OneKey seja considerada responsável perante os usuários, seu limite cumulativo de responsabilidade não excederá o maior valor entre os seguintes três: (a) o preço real de compra do dispositivo; (b) as taxas efetivamente pagas pelo usuário pelos serviços pagos nos 12 meses anteriores ao incidente; (c) cem dólares (US$ 100). Além disso, trata-se de um «limite cumulativo único, não aumentado por múltiplas reivindicações, múltiplos incidentes ou múltiplas bases legais.»

O Artigo 15.4 é ainda mais abrangente: na máxima extensão permitida pela legislação aplicável, a OneKey não será responsável por qualquer perda ou dano a ativos digitais, independentemente da causa — o dispositivo e o aplicativo são meras ferramentas para gerenciamento de chaves e não oferecem seguro ou garantia para ativos. O Artigo 15.6 justifica essa posição: o aplicativo e a maioria dos serviços são gratuitos; o preço do dispositivo não inclui seguro de ativos; a OneKey nunca detém ativos ou credenciais dos usuários, nem sabe quanto cada um armazena. O Artigo 15.10 reserva uma saída: a OneKey pode decidir, a seu critério, oferecer compensação, substituição ou outra assistência, mas tais medidas são meras demonstrações de boa vontade, não constituem reconhecimento de responsabilidade, não criam precedentes nem obrigações para ninguém, podendo exigir que o usuário assine uma declaração de isenção como condição.

É importante esclarecer que isso não é exclusividade da OneKey. Um representante oficial da OneKey listou outras carteiras de hardware que também incluem cláusulas de compensação muito limitadas em seus acordos de usuário. Limitar a responsabilidade ao preço do dispositivo ou a um valor fixo pequeno é uma estrutura comum nesse setor. O que realmente merece debate é a discrepância exposta ao lado da política de «substituições gratuitas»:

De um lado, um novo dispositivo que custa centenas de dólares, disposto a assumir responsabilidade ativa por mais 180 dias; do outro, um contrato que limita a responsabilidade a US$ 100 e afirma que «qualquer assistência não constitui reconhecimento de responsabilidade». Ambas são comercialmente válidas, mas geram sentimentos conflitantes nos usuários — uma empresa pode alcançar moralmente 120 pontos, mas contratar-se apenas a US$ 100. E esse US$ 100 é exatamente o único valor que pode ser invocado quando o risco recai efetivamente sobre o usuário.

Isso reflete uma incompatibilidade estrutural em toda a categoria. O fundamento ético da custódia própria sempre foi «os usuários gerenciam suas próprias chaves, logo arcam com as consequências». Esse pressuposto rachou pela primeira vez neste incidente: o elo comprometido — da fábrica ao depósito, do revendedor até a porta do usuário — é exatamente a parte que os usuários não conseguem controlar nem verificar de forma alguma. A responsabilidade foi inteiramente transferida para o usuário, enquanto o controle sobre o risco permanece nas mãos dos fabricantes.

As carteiras de hardware sempre venderam «ferramentas», não «custódia». Quando a própria ferramenta se torna uma superfície de ataque, a narrativa de que «ferramentas não são responsáveis» enfrenta seu primeiro teste real de resistência.

IV. 2026: O «Ano Físico» das carteiras de hardware

Ampliando a perspectiva, este incidente é o mais recente e caro de uma série de problemas ocorridos este ano.

Em 2026, seis marcas de carteiras de hardware divulgaram falhas de segurança, mas apenas dois incidentes resultaram efetivamente em perdas para usuários: em julho, a fraqueza na entropia do firmware da Coldcard permitiu adivinhar frases de recuperação, causando perdas superiores a US$ 115 milhões, segundo a Galaxy Research; e agora, a violação na cadeia de suprimentos da Ledger causou cerca de US$ 90 milhões em prejuízos. O total soma aproximadamente US$ 205 milhões. A avaliação da agência de análise setorial Wise Advice é: «2026 pode se tornar o ano mais caótico da história da segurança de carteiras de hardware.»

Os demais problemas estão distribuídos em diferentes pontos dessa mesma cadeia: em junho, a equipe de segurança da Ledger usou lasers para penetrar o chip do Trezor Safe 7; em julho, fizeram o mesmo com cartões Tangem (ambos exigiram equipamentos de laboratório, sendo que a Tangem afirma que o risco para usuários comuns é «quase inexistente»); a BitBox corrigiu várias vulnerabilidades de firmware consideradas «graves» por seus engenheiros em agosto, sem causar perdas; o fornecedor logístico da Trezor vazou dados de 13.689 compradores; a SafePal vazou quase 40.000 endereços residenciais.

Este ano, nenhum chip de segurança foi realmente violado fora do laboratório. Os atacantes contornaram a criptografia e voltaram-se para elementos adjacentes — números aleatórios, recibos logísticos, depósitos de revendedores e entregas na porta dos usuários.

O setor busca respostas, mas ainda não há consenso. Yu Xian, fundador da Slow Mist, acredita que «mecanismos de autodestruição serão uma característica necessária… caso contrário, será preciso outro mecanismo para provar que a carteira de hardware que tenho é produto da intenção original oficial»; Mindao rebate que, uma vez ocorrida a autodestruição, não se pode provar se o dispositivo foi adulterado, enquanto peças removíveis permitem, ao menos, comparar diagramas de circuito, e a Ledger já oferece uma verificação de integridade de hardware na inicialização — apenas que é «muito técnica» para usuários comuns; outros propõem a solução mais simples — multisignatura entre marcas distintas, com Trezor, OneKey e Keystone cada um segurando uma chave, usando Sparrow ou Electrum para 2 de 3, «para impedir que uma parte atue maliciosamente.»

Nenhuma dessas sugestões inclui «comprar um chip melhor». Todas apontam para o mesmo fato: o limite de segurança expandiu-se do chip para além dele.

Conclusão

«A chave privada nunca deixou o dispositivo» é uma promessa que a indústria de carteiras de hardware vende há dez anos. Neste incidente, ela é literalmente verdadeira, mas totalmente desprovida de significado.

O componente de segurança não foi modificado, o sistema operacional não foi alterado, cada transação foi confirmada pelo usuário e as 24 palavras nunca saíram desse chip. É irrelevante, pois a chave não precisa sair do dispositivo — basta ser visualizada por alguns segundos na tela. O que foi comprometido não é a criptografia, nem mesmo o chip, mas a própria ação de «verificação»: o Genuine Check pode confirmar a autenticidade do chip, mas não consegue verificar os olhos ao lado da tela.

Portanto, a lição que o setor precisa aprender não é reforçar a gestão de canais, mas permitir que o dispositivo se ateste por si mesmo, elevando o padrão de aceitação de «o chip é autêntico» para «a unidade inteira é original» — mecanismos de autodestruição podem estar passando de opcionais para obrigatórios, o que é mais fundamental do que qualquer redução nas listas de distribuidores.

A questão da responsabilidade permanece sem solução. O modelo contratual comum nesse setor é tornar os serviços tão abrangentes quanto possível, mas limitando a responsabilidade cumulativa ao preço de um único dispositivo ou a um pequeno valor fixo. Talvez não se trate de evadir responsabilidades, mas sim de descrever com precisão a estrutura de responsabilidade desse setor: ele cria ferramentas, não gerencia ativos. O verdadeiro problema é que os usuários sempre acreditaram estar comprando algo mais do que meras ferramentas.