A Ledger confirmou a presença de um implante de hardware não autorizado no dispositivo de um usuário afetado pelo caso CryptoBilis. O revendedor suspendeu as vendas de hardware wallets. A confirmação, publicada em 10 de outubro, fornece uma base concreta para a investigação, mas não valida todas as alegações das mensagens virais.
O valor de aproximadamente US$ 81 milhões vem de uma estimativa on-chain da Hacken, que abrangeu Bitcoin, Ethereum e Tron. Não se trata de um montante anunciado pela Ledger, nem de uma prova de que todos os dispositivos vendidos estavam comprometidos. O ponto técnico é outro: um dispositivo pode ser autêntico e, ainda assim, ter sido modificado fisicamente.
Em resumo
- A Ledger confirmou um implante em um dispositivo, não em todas as wallets do revendedor.
- A Hacken mencionou aproximadamente US$ 81 milhões rastreados em três redes em 9 de outubro.
- A verificação de autenticidade do chip seguro não garante a ausência de hardware espião adicionado posteriormente.
Ledger confirma um implante, não um comprometimento generalizado
O caso ilustra uma limitação já abordada em nossa análise dos riscos das hardware wallets: proteger as chaves em um chip resistente não resolve automaticamente todos os problemas de fabricação, transporte ou revenda. A integridade do produto entregue também importa.
Em sua atualização de 10 de outubro, a Ledger afirmou ter encontrado um implante no dispositivo de um usuário afetado. A empresa informou que está trabalhando com as pessoas envolvidas, as autoridades e a Security Alliance. Também declarou não ter identificado sinais de comprometimento em sua infraestrutura, seus sistemas ou serviços.
Essas constatações não permitem apontar publicamente quem realizou a modificação, nem estender o diagnóstico a todos os dispositivos. Uma falha na cadeia de suprimentos, um ataque contra os serviços centrais e um comprometimento geral de todas as wallets seriam três conclusões diferentes.
US$ 81 milhões rastreados, não apenas em Bitcoin
O levantamento publicado pela Hacken em 9 de outubro mencionava aproximadamente US$ 81 milhões rastreados em oito endereços, distribuídos entre Bitcoin, Ethereum e Tron. Na ocasião, a equipe ressaltou que a causa inicial ainda era desconhecida.
É preciso manter essas duas dimensões separadas: os fluxos podem ser observados, enquanto sua origem técnica ainda exige investigação. A confirmação de um implante no dia seguinte, por si só, não demonstra que esse implante explique todas as perdas estimadas.
O valor representa um retrato da análise, não um balanço judicial definitivo em 12 de outubro. Os endereços monitorados também não correspondem a uma contagem de vítimas: uma pessoa pode usar vários endereços, e um endereço agregador pode receber fundos de vários proprietários.
Por isso, verificar uma transação de Bitcoin em um explorador permite confirmar uma movimentação, mas não identificar automaticamente o mecanismo do roubo. A blockchain mostra transações; ela não registra o que aconteceu dentro da wallet.
A espionagem pode mirar as palavras exibidas na tela
O relatório técnico da Tibane Labs descreve implantes adicionados a dispositivos Ledger Nano X autênticos. O mecanismo consiste em observar os dados enviados à tela durante a exibição da frase de recuperação e, depois, transmitir as palavras reconhecidas por meio de uma conexão celular.
A diferença em relação à extração direta das chaves privadas é importante. No mecanismo estudado, o invasor contorna a proteção capturando a frase no momento em que ela precisa ser mostrada ao usuário. Ter essa frase pode permitir a reconstrução das chaves sem violar o próprio componente seguro.
Esses trabalhos constituem uma análise de exemplares, não uma prova material de todos os roubos relacionados à CryptoBilis. A Tibane destaca, em particular, que um de seus dispositivos não foi comprado desse revendedor e que nenhum vínculo entre os dois foi estabelecido em seu relatório.
O pesquisador Joe Grand também apresenta uma engenharia reversa de um implante real em um Nano X, apresentada na hardwear.io USA 2026. A pesquisa documenta uma categoria de ataque. Sem recuperar o vídeo viral original, não é possível afirmar que as imagens compartilhadas mostram precisamente os dispositivos envolvidos neste caso.
Por que a verificação de autenticidade pode continuar positiva
A documentação da Ledger Donjon explica que o Genuine Check autentica o Secure Element. O componente responde a uma verificação criptográfica que atesta sua origem. O procedimento não representa uma inspeção física de todos os componentes ao seu redor.
A Ledger reconhece explicitamente que um implante espião adicionado pode não ser detectado se o Secure Element original permanecer intacto. Assim, o dispositivo pode ser aprovado no teste porque seu chip é legítimo, mesmo contendo um componente não autorizado.
A embalagem também não é suficiente. A mesma documentação explica que os lacres podem ser reproduzidos e que uma caixa pode ser aberta e fechada novamente. A questão, portanto, não se limita a “Ledger verdadeira ou falsa”: envolve também o que pode ter sido adicionado a um dispositivo autêntico.
O que a Ledger recomenda aos compradores afetados
Em sua atualização de 10 de outubro, a Ledger recomendou que os clientes desse revendedor não iniciassem a configuração de um dispositivo que ainda não tivesse sido utilizado. Para aqueles que já o configuraram, a empresa orientou considerar a transferência dos ativos para um novo dispositivo com uma nova frase de recuperação.
A nova frase é o ponto decisivo. Restaurar as mesmas palavras em outro dispositivo não altera as chaves que controlam os fundos. Essa distinção está no centro do funcionamento de uma carteira de criptomoedas.
As orientações são destinadas aos clientes envolvidos na investigação, não a uma migração generalizada de todos os usuários da Ledger. As medidas de segurança contra phishing continuam essenciais: nenhum suposto suporte deve receber a frase de recuperação para “verificar” ou “reparar” a wallet.
A autorização do revendedor não encerra a investigação
Durante nossa verificação, a lista oficial de revendedores da Ledger para a Malásia exibia a CryptoBilis com a indicação de que as vendas estavam temporariamente suspensas. A afiliação à rede de revendedores pode ser verificada; já a duração exata mencionada na mensagem viral não pode ser confirmada apenas nessa página.
O status comercial não prova nem a ausência de adulteração física nem a culpa de uma pessoa que trabalhe para o distribuidor. As responsabilidades, o número de dispositivos afetados e a relação entre cada perda e cada dispositivo ainda precisam ser estabelecidos.
O fato confirmado é suficientemente grave sem ser ampliado: um implante foi encontrado e as vendas foram interrompidas. Agora, a investigação precisa conectar os dispositivos examinados às transações observadas. É essa demonstração, e não apenas a circulação de um vídeo impactante, que permitirá medir a real extensão do ataque.
