Ataque a revendedor da Ledger ligado ao roubo de US$ 93 milhões em criptomoedas

Um ataque ligado a um revendedor da Ledger foi associado ao roubo de mais de US$ 86 milhões em criptomoedas, embora uma estimativa aponte perdas de cerca de US$ 93,2 milhões. Segundo relatos, as carteiras de hardware afetadas foram vendidas pela revendedora do Sudeste Asiático CryptoBilis, que suspendeu as vendas e os envios durante a investigação. A Ledger afirmou que seus próprios sistemas não foram comprometidos; o número de dispositivos afetados e o total final das perdas continuam incertos. Segundo os investigadores, um módulo não autorizado conectado às linhas de dados da tela do dispositivo poderia capturar a frase de recuperação de 24 palavras quando ela fosse exibida e enviá-la por uma conexão celular. O dispositivo ainda podia passar pela verificação de autenticidade do software da Ledger e, segundo relatos, o elemento seguro não foi extraído nem comprometido. Portanto, o ataque ao revendedor da Ledger evidencia riscos físicos na cadeia de suprimentos que as verificações de software talvez não detectem. Segundo relatos, o rastreamento na blockchain acompanhou os fundos por seis redes e 315 carteiras. Cerca de 2.990 ETH passaram pelo Tornado Cash antes de chegar a um pool de privacidade da Zcash. A Tether congelou aproximadamente US$ 10 milhões em USDT; parte dos fundos teria sido convertida em USDD, enquanto cerca de 700 ETH permaneciam parados no momento da publicação. A Ledger aconselhou os clientes que compraram dispositivos da CryptoBilis nos 90 dias anteriores a não inicializarem os aparelhos ainda não usados. Quem já havia configurado um dispositivo deveria transferir os ativos para um novo signatário, usando uma frase de recuperação recém-gerada em um equipamento confiável.