A Ledger pediu a distribuidores e revendedores de suas carteiras digitais na Indonésia, em Singapura, na Tailândia, nas Filipinas, no Vietnã, na Malásia e em Hong Kong que suspendessem a venda dos dispositivos e os retirassem das prateleiras, enquanto a empresa investiga casos de adulteração de hardware relacionados a um ataque à cadeia de suprimentos.
A decisão ocorreu depois que a Ledger confirmou que alguns dispositivos vendidos pelo distribuidor asiático CryptoBilis haviam sido modificados de uma forma que permitia roubar as frases de recuperação usadas para acessar ativos digitais. Segundo a empresa, usuários relataram várias perdas financeiras, o que a levou a iniciar a investigação em 9 de outubro.
Implante de hardware contorna verificações de segurança
A unidade de segurança Donjon, da Ledger, revelou detalhes adicionais sobre o componente implantado nos dispositivos, confirmando em grande medida relatos anteriores publicados por Mark Karpelès e pela Tibane Labs. O componente funciona por meio de um microcontrolador que detecta a frase de recuperação de 24 palavras e a decodifica durante a configuração ou a restauração da carteira, enviando-a em seguida a uma entidade não autorizada por meio de uma conexão LTE usando um cartão eSIM ativado.
A Ledger explicou que o implante é um componente separado que não modifica o elemento de segurança Secure Element nem o sistema operacional da Ledger, e não altera transações ou assinaturas. Por isso, os dispositivos modificados conseguiram passar pelas verificações de segurança próprias realizadas pela Ledger, demonstrando que a integridade do software, por si só, não é suficiente para verificar um dispositivo de hardware adulterado antes de chegar ao usuário.
Relatos vão além da CryptoBilis
A Ledger afirmou que todas as perdas confirmadas até o momento estão relacionadas a dispositivos vendidos pela CryptoBilis, mas usuários também relataram dispositivos comprometidos comprados de outros vendedores na Ásia e na Europa. Os relatos incluíram dispositivos comprados na loja de tecnologia Metapod em um dos aeroportos de Singapura e na rede MediaMarkt, na Europa.
Após esses relatos, a MediaMarkt retirou os produtos de suas prateleiras. A rede obtém os dispositivos da Ledger do distribuidor Aqipa GmbH. A Ledger também ampliou a decisão de suspender as vendas para incluir todos os seus distribuidores nos países asiáticos mencionados e em Hong Kong, até a conclusão das investigações relacionadas à segurança dos dispositivos.
Por outro lado, a Ledger confirmou que sua infraestrutura, seus sistemas, seus serviços e seu canal de vendas direto são seguros para uso, conforme informado no material de origem.
Por que esta notícia é importante?
O caso mostra que a cadeia de suprimentos de hardware representa um ponto de confiança independente do sistema operacional e dos componentes internos de segurança. A adulteração ocorreu por meio da adição de um componente separado capaz de capturar os dados de recuperação sem modificar os elementos nos quais se baseiam as verificações da Ledger, tornando a origem do dispositivo e o caminho percorrido por ele durante o armazenamento e a distribuição partes essenciais do modelo de proteção.
A Trezor, principal concorrente no mercado de carteiras de hardware, tomou uma medida preventiva semelhante: anunciou a redução de sua rede de distribuidores e o reforço dos requisitos legais e das verificações relacionadas à origem e ao armazenamento dos dispositivos e ao seu manuseio. A empresa afirmou não ter encontrado evidências de comprometimento de seus dispositivos, mas encerrará as parcerias com alguns distribuidores em 1º de janeiro de 2027 e retirará sua autorização para a venda.