A Ledger confirmou que um dos dispositivos de carteira vendidos pelo distribuidor malaio CryptoBilis continha um implante de hardware não autorizado, após relatos de usuários que perderam criptoativos de dispositivos comprados por meio do distribuidor que atua no Sudeste Asiático.
A Ledger iniciou a investigação em 9 de outubro de 2026 e solicitou à CryptoBilis que interrompesse a venda e o envio de seus dispositivos. No dia seguinte, a empresa reconheceu a existência de adulteração de hardware em pelo menos um dispositivo e, posteriormente, afirmou em uma atualização que todos os relatos de retiradas inesperadas analisados estavam relacionados a dispositivos vendidos pela CryptoBilis, descrevendo o volume de casos como «limitado». A empresa ainda não especificou quando ou onde os dispositivos foram modificados.
Como o implante funcionava?
Relatos de pesquisadores indicaram que os dispositivos afetados, atribuídos ao modelo Ledger X, continham um circuito malicioso oculto dentro da carcaça. De acordo com uma análise de Mark Karpelès e da Tibane Labs, o implante foi projetado para capturar as informações exibidas na tela e os pressionamentos dos botões com o objetivo de identificar a frase de recuperação e, em seguida, enviá-la ao invasor por meio de uma conexão LTE usando um chip eSIM.
Os pesquisadores da Tibane Labs identificaram duas versões do implante. Em uma das amostras, a bateria original foi substituída por outra menor para abrir espaço para um circuito que incluía um microcontrolador ST STM32G431KBU6, um módulo LTE e um chip eSIM de aproximadamente 2×2 milímetros. A segunda versão aproveitava o espaço sob a tela OLED e funcionava com a bateria original. Nas duas amostras, fios de antena apareciam ao longo da parte superior do dispositivo como um sinal físico da alteração, enquanto os números de alguns componentes foram raspados em uma das amostras para ocultar sua identidade.
Por que esta notícia é importante?
O caso revela os limites de depender exclusivamente da integridade dos componentes de segurança internos. O implante não precisa necessariamente quebrar diretamente o Secure Element; ele pode monitorar o que é exibido ao usuário e o que é inserido pelos botões e depois transmitir os dados por um canal de comunicação independente. A Ledger afirma que o mecanismo Genuine Check consegue verificar a autenticidade do dispositivo, mas não detecta adições de hardware se o Secure Element original permanecer intacto.
Na prática, a Ledger recomendou que aqueles que compraram um dispositivo da CryptoBilis e ainda não o configuraram não o liguem. Aqueles que concluíram a configuração devem considerar a transferência dos ativos para um novo dispositivo de assinatura usando uma nova frase de recuperação. Essa recomendação não trata apenas dos dispositivos suspeitos, mas também pressupõe que a frase de recuperação possa ter sido comprometida.
O que ainda não foi esclarecido?
A Ledger não divulgou oficialmente os modelos dos dispositivos afetados, nem identificou a entidade que realizou a alteração ou o ponto em que ela foi introduzida na cadeia de suprimentos. As amostras analisadas pelos pesquisadores indicam dispositivos comprados de vendedores ligados à China e enviados da Malásia, mas isso, por si só, não comprova a responsabilidade de um vendedor específico. De acordo com as informações disponíveis, não há indícios de envolvimento de outros distribuidores.
A Ledger recomenda comprar pelos canais autorizados e solicita que seus distribuidores não reponham produtos devolvidos em estoque. O caso mostra que a integridade da cadeia de suprimentos continua sendo uma parte essencial da segurança das carteiras de hardware, mesmo quando os mecanismos de verificação de software e o dispositivo original parecem estar íntegros.