Investigadores da Tibane Labs, entre os quais o antigo diretor executivo da Mt. Gox, Mark Karpelès, revelaram a 9 de outubro de 2026 que identificaram três gerações sucessivas de implantes ocultos integrados no hardware das carteiras Ledger Nano X. Segundo os investigadores, os implantes foram concebidos para intercetar a frase de recuperação de 24 palavras do utilizador e transmiti-la através de uma rede celular, sem qualquer ligação a um computador ou telemóvel.
Para um mercado europeu onde a Nano X é há muito vendida como um dispositivo de autocustódia centrado na segurança, as conclusões levantam questões que vão muito além do canal de venda específico em análise.
O mecanismo descrito pela Tibane Labs explora a ligação interna entre o elemento seguro do dispositivo e o seu ecrã OLED. Um microcontrolador instalado dentro da carteira interceta os dados visuais enviados para o ecrã, reconhece os carateres mostrados e reconstrói a frase de recuperação à medida que esta é revelada ao utilizador durante a configuração. Um módulo celular separado, equipado com o seu próprio cartão SIM e antena, envia depois essa frase de forma independente de qualquer dispositivo emparelhado.
Três gerações de hardware
O primeiro exemplo publicamente conhecido deste tipo de implante surgiu em agosto de 2025. O investigador Joe Grand desmontou essa unidade e apresentou a sua análise na Hardwear.io USA 2026, descrevendo uma placa de circuito adicional ligada por fios soldados à mão, com a bateria original reduzida a 70 miliamperes-hora para abrir espaço aos componentes adicionados.
A Tibane Labs analisou dois exemplos adicionais em setembro de 2026. Um incorporava um circuito flexível colocado sobre a placa original e ligado aos seus pontos de teste. O outro tinha a placa pintada de preto, com as marcações identificativas raspadas, aparentemente para dificultar a identificação. Nesse segundo caso, os autores do implante retiraram material de enchimento em vez de reduzir a bateria, e instalaram um módulo de comunicação nRF9151, compatível com redes LTE-M e NB-IoT, juntamente com uma antena em forma de L moldada especificamente para a carcaça da Nano X.
A Tibane Labs notou que nenhuma das três versões requer a substituição do elemento seguro do dispositivo, que continua a proteger normalmente as operações criptográficas de assinatura. Assim, um dispositivo fisicamente modificado pode continuar a passar a verificação de autenticidade padrão da Ledger, tornando a manipulação invisível à verificação de rotina.
Distribuidor sob escrutínio
A divulgação coincidiu com um anúncio da Ledger, no mesmo dia, de que estava a investigar perdas de fundos associadas a dispositivos vendidos através da CryptoBilis, um distribuidor autorizado que opera na Malásia, Indonésia e Filipinas. A Ledger pediu a suspensão das vendas e envios da CryptoBilis enquanto a investigação prossegue.
Karpelès afirmou que a sua equipa iria investigar uma possível ligação entre os dispositivos manipulados descritos na investigação da Tibane Labs e os furtos reportados. Pediu aos utilizadores afetados que enviem fotografias do interior dos seus dispositivos para que os investigadores possam verificar a presença de implantes.
Até agora, não há conclusões que confirmem quantos dispositivos poderão ter sido afetados ou através de que pontos da cadeia de distribuição as unidades modificadas entraram em circulação.
