Um ataque à cadeia de fornecimento visando carteiras de hardware Ledger, que a empresa tinha atribuído a um único revendedor comprometido no sudeste asiático, parece estender-se mais do que foi reconhecido até agora. O antigo diretor executivo da Mt. Gox, Mark Karpelès, confirmou através do X que um dispositivo Ledger Flex por si inspecionado continha um implante de espionagem, e um investigador independente relatou ter encontrado um chip de comunicação adicionado dentro de outra unidade Flex.
O dispositivo examinado por Karpelès tinha sido comprado na loja Metapod, situada no aeroporto de Singapura, e não junto da CryptoBilis, o revendedor que a Ledger tinha identificado como origem das unidades comprometidas. Foi enviado para inspeção por um utilizador chamado Ben Yorke, que o tinha comprado durante o verão do hemisfério norte por 300 dólares norte-americanos. Yorke disse a Karpelès ter notado marcas e riscos suspeitos na caixa do dispositivo e que, por esse motivo, nunca chegou a ligar nem a configurar a carteira.
Em separado, um investigador identificado no X como 大方BigFang relatou, a 12 de outubro de 2026, ter recebido informação sobre outra unidade Ledger Flex fisicamente alterada. Ao ser aberto, o dispositivo revelou a adição de um chip de comunicação inexistente nas unidades genuínas, embora o investigador tenha afirmado que a função exata do componente ainda precisa de verificação técnica.
A versão limitada da Ledger
A equipa de segurança da Ledger, a Ledger Donjon, está a investigar a presença de implantes de hardware não autorizados, mas a comunicação pública da empresa tem limitado o incidente às unidades vendidas pela CryptoBilis, afirmando que todas as perdas de fundos confirmadas até agora estão ligadas exclusivamente a esse revendedor. Karpelès respondeu diretamente à conta corporativa da Ledger, afirmando que o dispositivo Flex comprometido não veio da CryptoBilis, mas sim da loja Metapod em Singapura.
A versão da empresa também omitiu um caso relatado na Europa. Segundo a informação subjacente a esta reportagem, um utilizador na Europa encontrou uma versão do mesmo componente de espionagem numa carteira comprada numa loja física da MediaMarkt. A investigação da Ledger tem-se concentrado até agora na Ásia, deixando o caso europeu por abordar nas suas declarações oficiais.
Como funciona o implante
De acordo com o mecanismo de ataque descrito, os autores inserem um microcontrolador dentro do dispositivo que lê a frase de recuperação de 24 palavras enquanto esta é apresentada no ecrã durante a configuração inicial. O microcontrolador transmite depois essa informação através da sua própria ligação celular, independente da rede do utilizador. Como o método intercepta a frase de recuperação visualmente, no momento em que é apresentada, extrai as credenciais sem violar o chip de segurança original do dispositivo nem o seu software interno, o que torna a adulteração difícil de detetar através da verificação padrão do firmware da carteira.
Para os compradores europeus, a descoberta de um implante associado a um retalhista de eletrónica generalista como a MediaMarkt, em vez de um revendedor especializado, agrava consideravelmente a gravidade do episódio. Até que a Ledger apresente um relato mais completo que aborde diretamente o modelo Flex e o caso europeu, os clientes que compraram dispositivos através de canais de retalho fora da loja online da própria empresa podem não ter forma fiável de saber se a sua unidade foi adulterada.
