Uma das maiores vítimas conhecidas de um escândalo envolvendo carteiras físicas Ledger manipuladas parece ter sido, ela própria, um burlão. Segundo a empresa de análise blockchain Chainalysis, este indivíduo perdeu mais de 60 Bitcoin, no valor aproximado de 4,8 milhões de dólares, depois de os fundos terem sido retirados de três dispositivos Ledger recém-comprados que tinham sido adulterados.
"Uma das maiores vítimas do roubo Ledger foi, ela própria, um burlão. Perdeu mais de 60BTC, cerca de 4,8 milhões de dólares. Os fundos provinham de um task scam. Neste tipo de esquema, as pessoas são pagas para simular vendas e avaliações de produtos reais. Depois surge um 'saldo negativo', e é-lhes dito…" afirmou a Chainalysis.
Os task scams, conforme descritos pela Chainalysis, atraem vítimas com pagamentos para realizar tarefas simples, como compras falsas ou avaliações de produtos. Às vítimas é depois dito que surgiu um saldo negativo na sua conta, sendo pressionadas a pagar dinheiro, quer para compensar o alegado défice, quer para desbloquear pagamentos adicionais. Neste caso, o Bitcoin acumulado através deste esquema acabou nas mãos do próprio burlão que o geria, antes de ser novamente roubado através das carteiras Ledger comprometidas.
A Chainalysis apurou que os atacantes esvaziaram as três carteiras da vítima e transferiram o Bitcoin para um único endereço.
Um escândalo mais amplo de adulteração de hardware
O caso insere-se num escândalo mais vasto envolvendo dispositivos Ledger vendidos através do revendedor autorizado CryptoBilis. No início de outubro, numerosos utilizadores do Sudeste Asiático relataram ter perdido as suas criptomoedas após comprarem dispositivos a este revendedor. A Ledger confirmou entretanto a existência de um implante de hardware não autorizado em pelo menos uma das carteiras examinadas. Os danos totais nos dispositivos afetados são estimados em mais de 100 milhões de dólares.
De acordo com os factos apurados até agora, os dispositivos manipulados contêm componentes adicionais capazes de ler a frase de recuperação de 24 palavras durante a configuração. Fundamentalmente, o próprio chip de segurança permanece intacto, o que significa que o processo de verificação Genuine Check da Ledger não deteta a manipulação.
Dispositivos suspeitos com sinais semelhantes de adulteração também surgiram na Alemanha. Em resposta, o retalhista MediaMarktSaturn retirou todos os produtos Ledger da venda enquanto o assunto é investigado.
Para um público europeu cada vez mais dependente de carteiras físicas como padrão de autocustódia segura, o episódio sublinha uma preocupação crescente: a de que a própria cadeia de fornecimento, e não o núcleo criptográfico do dispositivo, se pode tornar o ponto de falha. Com perdas já estimadas em mais de 100 milhões de dólares e dispositivos afetados encontrados em ambos os lados do continente e além, os compradores são aconselhados a verificar a proveniência do seu hardware antes de lhe confiarem os seus ativos.
