Um grupo adulterou carteiras de hardware e as vendeu por metade do preço. O detalhe que interessa está depois do implante: o mecanismo oficial de verificação da Ledger não consegue detectá-lo.
O que aconteceu, conforme a própria Ledger confirmou
Dispositivos Nano X vendidos pela CryptoBilis, revendedora que opera no sudeste asiático, saíram com um implante de hardware não autorizado. A Ledger pediu que a revendedora parasse de vender em 9 de outubro e confirmou a adulteração no dia seguinte. Pesquisadores já vinham mostrando o implante desde 16 de setembro.
A engenharia do implante
O ataque não quebrou criptografia nenhuma. Ele foi assistir a tela: o implante fica atrás do display, captura o que aparece ali e os botões que você pressiona, reconstrói a frase de recuperação e transmite por LTE usando um eSIM de dois milímetros. O componente que os pesquisadores acharam embaixo da bateria é um microcontrolador STM32, junto com um módulo LTE blindado, e para caber trocaram a bateria original por uma menor.
A placa é produção industrial. Os pesquisadores descrevem como flex PCB painelizada, do tipo encomendado numa fábrica de placas, não montagem artesanal. Em uma das variantes, as marcações do chip e do eSIM foram raspadas para esconder os números de peça.
A parte que muda como você pensa sobre verificação
A Ledger oferece um Genuine Check para atestar autenticidade, e ela mesma avisa que ele não detecta implantes adicionados quando o Secure Element original permanece intacto. O selo confere e o dispositivo está comprometido, as duas coisas ao mesmo tempo.
O tamanho do estrago tem duas versões. Uma análise on-chain noticiada pela imprensa de cripto estima 92,9 milhões de dólares drenados de 311 carteiras, número que a Ledger não confirma: ela descreve o volume afetado como limitado. O que ela confirma é a adulteração.
A orientação da própria Ledger: quem comprou pelo canal afetado e ainda não configurou, não configure. Quem já configurou, mova os ativos para uma nova carteira, com uma frase de recuperação nova.
A lição vale para qualquer operação
Uma ferramenta de checagem que o atacante consegue satisfazer não verifica nada, ela carimba. É a pergunta que eu faço para cada controle que aparece numa auditoria: quem fabricou essa ferramenta, o que ela mede exatamente, e o que ela é incapaz de enxergar.
É o mesmo espírito do caso do prêmio que tem preço no email: o selo existe, a diligência não. E é o mesmo buraco que a cadeia de supply chain de 2026 explorou em software, agora com solda: quando a confiança é delegada a um artefato, o atacante forja o artefato.
Nos dispositivos desta história, o único sinal visível era a antena. O outro era o preço pela metade.
Conclusão
Verificação que confere não é verificação: controle vale pelo que mede e pelo que é incapaz de enxergar, e é no que ele não enxerga que o atacante mora. Canal oficial, inspeção física e plano de resposta são o que sobra quando o selo é forjável. A diligência que o selo deveria representar continua sendo sua.