Carteiras Ledger sofrendo ataque físico?

[sabotag3x]

Hoje surgiram relatos de diversos usuários do Sudeste Asiático sobre perdas com carteiras da Ledger.. estimativas iniciais na casa dos US$ 87 milhões.

A própria Ledger disse estar investigando o caso e recomenda que, quem comprou de um determinado revendedor do Sudeste Asiático nos últimos 90 dias, migre os fundos para outra carteira.

O relato mais interessante é o do fundador da extinta Mt. Gox.. ele disse ter comprado uma carteira que supostamente foi violada (há fotos no link do tuíte abaixo):

Meu Ledger com um dispositivo espião implantado veio da Malásia e estava com o lacre plástico intacto, sem nenhum defeito. Mesmo ao abrir a embalagem, você não percebe o implante de imediato, pois ele está habilmente escondido onde deveria ficar o acolchoamento da tela.

Sim, um módulo LTE, uma antena, um e-SIM, um microcontrolador (MCU) conectado ao barramento SPI do Ledger, analisando as letras exibidas ao usuário e enviando os dados assim que a seed é configurada. O invasor pode então monitorar seus endereços e escolher o melhor momento para esvaziar tudo.

É isso mesmo. O implante apenas monitora o que aparece na tela, registra a seed enquanto ela é exibida para você e depois a transmite.

O Ledger era genuíno, mas isso levantou suspeitas, já que estava à venda na Amazon pela metade do preço e, além disso, chegou da Malásia em vez do Japão.

Mais sobre o assunto:
Perdas: https://x.com/SpecterAnalyst/status/2108534068564373687
Nota oficial: https://x.com/Ledger_Support/status/2108551100613714002

[TryNinja]

Que loucura

Agora ferrou de vez, qualquer Ledger pode supostamente ser adulterada no meio do caminho. Comprou da Ledger? Quem diz que uma quadrilha dos correios não adulterou ele? E o entregador? Sei lá.

Começando a achar que realmente vai ser melhor usar um celular offline como carteira.

[criptoevangelista]

Que merda viu, eu tenho minha ledger desde 2021, pelo menos fico de certa forma tranquilo pois já usei ela varias e varias vezes desde então e zero problemas, mas sempre fica aquela duvida sobre segurança, será que um dia irão atacar o sistema da ledger? sei la, é complicado, todos esses ataques a cripto e a segurança delas nos ultimos tempos vem me deixando bastante preocupado, não por duvidar do bitcoin nem nada do tipo, mas pelo fato de poder gerar uma crise de credibilidade nas empresas de segurança desse ambiente de moedas digitais.

[Forsyth Jones]

Eu vi um relato no reddit de um cara que perdeu 0.16 BTC que foi transferido randomicamente, mas como foi postado sem detalhes, é tudo especulação, o usuário pode ter deixado a seed phrase baixar, ou entrou num phishing maroto.

https://www.reddit.com/r/ledgerwallet/comments/1x0rv9p/all_of_my_funds_were_randomly_transferred/

Mas dessa vez aqui, o relato é de alguns usuários relataram que as Ledgers vendidas por um revendedor do sudeste asiático CryptoBillis, está tendo perda de fundos... interessante, eu não consigo imaginar outra coisa a não ser alguém adulterando os dispositivos no meio do caminho, porém isso é uma coisa muito difícil, adulterar 1 ou 2 até vai, mas todas as ledgers vendidas por ele? Tem coisa estranha aí...

Que loucura

Agora ferrou de vez, qualquer Ledger pode supostamente ser adulterada no meio do caminho. Comprou da Ledger? Quem diz que uma quadrilha dos correios não adulterou ele? E o entregador? Sei lá.

Começando a achar que realmente vai ser melhor usar um celular offline como carteira.

Adulterar 1 ou 2 até que vai, mas mesmo assim, tem que ser alguém especializado com equipamentos laborais avançados de criptografia, não é qualquer um que consegue violar não.

A única forma mais plausível e já manjada, é se o revendedor estiver vendendo Ledgers pré-configuradas ou com uma seed phrase enviada junto das caixas que informa ao usuário que ele tem que entrar com essa seed phrase que veio na caixa pra estar safu....

[TryNinja]

Adulterar 1 ou 2 até que vai, mas mesmo assim, tem que ser alguém especializado com equipamentos laborais avançados de criptografia, não é qualquer um que consegue violar não.

A única forma mais plausível e já manjada, é se o revendedor estiver vendendo Ledgers pré-configuradas ou com uma seed phrase enviada junto das caixas que informa ao usuário que ele tem que entrar com essa seed phrase que veio na caixa pra estar safu....

Como assim equipamento laboral avançado de criptografia?

Pelo menos no caso do fundador da extinta Mt. Gox, bastou implementar um pequeno dispositivo na SPI bus da Ledger:

Yes, LTE module, Antenna, e-SIM, a MCU connected to the Ledger's SPI bus and analyzing the letters shown to the user, and sending the data as soon as your seed is setup. The bad actor can then monitor your addresses and choose the best time to drain everything.

Com uma solda você faz isso. Basta abrir Ledger por Ledger e conectar implante por implante. É trabalho manual.

Mas foi um ataque sofisticado, não é qualquer um que faz isso.

[rdluffy]

Eu até comentei lá no tópico da aba gringa agora mesmo
Acho que é a 4ª vez em um curto período de tempo que me dá um pânico e coisa ruim só de ler notícias tendo como título: Ledger, hardwallet, hackeada, exploit, roubo etc

Muitos ataques, muitas perdas e isso me faz pensar seriamente se um dia o pessoal não vai cansar e abandonar cripto porque parece que todo dia o nosso portfolio está sob séria ameaça de perder tudo de uma só vez sem nem saber quem foi, de onde veio e sem tempo pra reagir

Sempre tive receio de comprar de revendedor, sempre fiquei com medo de acontecer algo do tipo

[bitmover]

Eu até comentei lá no tópico da aba gringa agora mesmo
Acho que é a 4ª vez em um curto período de tempo que me dá um pânico e coisa ruim só de ler notícias tendo como título: Ledger, hardwallet, hackeada, exploit, roubo etc

Muitos ataques, muitas perdas e isso me faz pensar seriamente se um dia o pessoal não vai cansar e abandonar cripto porque parece que todo dia o nosso portfolio está sob séria ameaça de perder tudo de uma só vez sem nem saber quem foi, de onde veio e sem tempo pra reagir

Sempre tive receio de comprar de revendedor, sempre fiquei com medo de acontecer algo do tipo

A Coldcard realmente foi um golpe pesado nos usuários de cripto. Fizeram tudo certo e se fuderam...

Esse caso me parece ser diferente, é um revendedor que adulterou as carteiras. As minhas eu comprei direto da fábrica, não confio nem nos revendedores oficiais . Pode ser meio paranoia, mas eu tive a possibilidade de fazer isso, então fiz..

[sabotag3x]

Eu até comentei lá no tópico da aba gringa agora mesmo
Acho que é a 4ª vez em um curto período de tempo que me dá um pânico e coisa ruim só de ler notícias tendo como título: Ledger, hardwallet, hackeada, exploit, roubo etc

Muitos ataques, muitas perdas e isso me faz pensar seriamente se um dia o pessoal não vai cansar e abandonar cripto porque parece que todo dia o nosso portfolio está sob séria ameaça de perder tudo de uma só vez sem nem saber quem foi, de onde veio e sem tempo pra reagir

Sempre tive receio de comprar de revendedor, sempre fiquei com medo de acontecer algo do tipo

A Coldcard realmente foi um golpe pesado nos usuários de cripto. Fizeram tudo certo e se fuderam...

Esse caso me parece ser diferente, é um revendedor que adulterou as carteiras. As minhas eu comprei direto da fábrica, não confio nem nos revendedores oficiais . Pode ser meio paranoia, mas eu tive a possibilidade de fazer isso, então fiz..

Tem que esperar sair a investigação da Ledger para avaliar.. sinceramente, esses revendedores devem ganhar muito dinheiro e não teriam motivos para se matar desse jeito.. talvez um funcionário corrupto ou alguém da empresa de transporte (caso sempre utilizem a mesma).. mas ai o risco é o mesmo de comprar da loja oficial.

Acabaram de postar uma nota: https://x.com/cryptobilis/status/2108641764605354103

Eu diria que a chance é muito alta de acharem os culpados.

[r_victory]

Que loucura

Agora ferrou de vez, qualquer Ledger pode supostamente ser adulterada no meio do caminho. Comprou da Ledger? Quem diz que uma quadrilha dos correios não adulterou ele? E o entregador? Sei lá.

Pode tanto ter sido adulterada no meio do caminho quanto ser falsificada, não? Já fico com pé atrás de comprar memória RAM ou HD/SSD na Shopee, quem dirá uma carteira de hardware de um revendedor que pode nem ser autorizado. Os donos das carteiras deveriam mencionar onde ou de quem compraram para que possa ser feito um rastreamento; sei lá como funcionaria isso.

Começando a achar que realmente vai ser melhor usar um celular offline como carteira.

Ou um pendrive mesmo.

[TryNinja]

Pode tanto ter sido adulterada no meio do caminho quanto ser falsificada, não? Já fico com pé atrás de comprar memória RAM ou HD/SSD na Shopee, quem dirá uma carteira de hardware de um revendedor que pode nem ser autorizado. Os donos das carteiras deveriam mencionar onde ou de quem compraram para que possa ser feito um rastreamento; sei lá como funcionaria isso.

Sim, mas os caras eram revendedor oficial, então faz mais sentido ter sido adulterado. Imagina criar uma Ledger do zero, sendo que ela bate com o genuity check deles.

Ou um pendrive mesmo.

Na verdade pendrive é ruim igual.

Quer dizer, se você tiver um PC offline é só conectar ele lá e usar as moedas, mas aí tanto faz ter ou não um pen drive.

Se for pra usar no seu PC principal, na hora que você conecta o malware pode roubar as moedas de qualquer forma.

[rdluffy]

A Coldcard realmente foi um golpe pesado nos usuários de cripto. Fizeram tudo certo e se fuderam...

Esse caso me parece ser diferente, é um revendedor que adulterou as carteiras. As minhas eu comprei direto da fábrica, não confio nem nos revendedores oficiais . Pode ser meio paranoia, mas eu tive a possibilidade de fazer isso, então fiz..

Boa
A minha Ledger eu comprei na Best Buy dos Estados Unidos já faz um bom tempo
Tanto que é a Nano S que já ficou desatualizada

É uma grande rede, mas nada impedia que durante o transporte, armazenamento ou um funcionário mal intencionado adulterasse as carteiras e embalasse novamente


A minha Trezor eu peguei pela Amazon US e busquei em um locker, e foi a compra pela loja oficial da Trezor dentro da Amazon mesmo, nada de revendedor terceirizado

Como você já trocou a tela da sua Legder, você teve a oportunidade de ver por dentro dela e ver que era original sem alterações

[criptoevangelista]

A Coldcard realmente foi um golpe pesado nos usuários de cripto. Fizeram tudo certo e se fuderam...

Esse caso me parece ser diferente, é um revendedor que adulterou as carteiras. As minhas eu comprei direto da fábrica, não confio nem nos revendedores oficiais . Pode ser meio paranoia, mas eu tive a possibilidade de fazer isso, então fiz..

Boa
A minha Ledger eu comprei na Best Buy dos Estados Unidos já faz um bom tempo
Tanto que é a Nano S que já ficou desatualizada

É uma grande rede, mas nada impedia que durante o transporte, armazenamento ou um funcionário mal intencionado adulterasse as carteiras e embalasse novamente


A minha Trezor eu peguei pela Amazon US e busquei em um locker, e foi a compra pela loja oficial da Trezor dentro da Amazon mesmo, nada de revendedor terceirizado

Como você já trocou a tela da sua Legder, você teve a oportunidade de ver por dentro dela e ver que era original sem alterações

Essas carteiras tem que ser adquiridas sempre da fonte, a minha eu comprei direto do site oficial, veio da França e ainda paguei um balaio de impostos  ... eu não tenho coragem de comprar em qualquer revendedor que seja, a não ser os oficiais, pois em quantas mãos a menos o produto passar, menos chance de dar algum tipo de problema, é bizarro que vejo gente até vendendo carteiras usadas, sei la, haja coragem pra comprar e colocar dinheiro nelas.

[joker_josue]

A coisa esta mesmo grave, e pode tomar proporções imagináveis.
Até o próprio theymos deu alerta e esta em destaque no topo do forum: https://bitcointalk.org/index.php?topic=5596402.0

A questão é que estes relatos, acabam por enfraquecer a confiança de todos os que tenham um Ledger. Mesmo aqueles que comprar diretamente na Ledger ou que compraram há mais anos.

Começando a achar que realmente vai ser melhor usar um celular offline como carteira.

Eu estou a montar um SeedSigner. Depois irei criar um tópico a explicar a experiencia.

[bitmover]

A coisa esta mesmo grave, e pode tomar proporções imagináveis.
Até o próprio theymos deu alerta e esta em destaque no topo do forum: https://bitcointalk.org/index.php?topic=5596402.0

A questão é que estes relatos, acabam por enfraquecer a confiança de todos os que tenham um Ledger. Mesmo aqueles que comprar diretamente na Ledger ou que compraram há mais anos.

Acho que a confiança de todos com as hardware wallets está abalada. Isso abala todas as hardware wallets. Será que esse mesmo cara não vendia tb trezor ou jade e tambem adulterou?

São muitos escandalos, um atrás do outro... O da coldcard foi muito pesado. Imagina quem perdeu tudo, fazendo tudo certo..

[joker_josue]

São muitos escandalos, um atrás do outro... O da coldcard foi muito pesado. Imagina quem perdeu tudo, fazendo tudo certo..

Nem consigo imaginar. Seria um duro golpe.

A minha mulher batia-me, porque esta sempre a dizer, porque é que fazemos hold. 


Tem que se repensar a forma de como guardamos as nossas moedas. Pensar em formas, de "envolver" terceiros.

[alexrossi]

Gente que locura, sem palavras. De verdade.

[mikel_012]

Pois é, eu acho que minha dúvida quando perguntei se era melhor um dispositivo próprio ou celular separado era válida. Mas fiquei até envergonhado quando vi as respostas dos outros membros e achei que não fazia sentido o que falei

O medo é que esse ataque ensine outros bandidos a fazer o mesmo em outros países e com outros revendedores.

Não tenho experiência para abrir minha carteira física e verificar se está tudo certo e agora o medo está muito grande.

[rdluffy]

Pois é, eu acho que minha dúvida quando perguntei se era melhor um dispositivo próprio ou celular separado era válida. Mas fiquei até envergonhado quando vi as respostas dos outros membros e achei que não fazia sentido o que falei

O medo é que esse ataque ensine outros bandidos a fazer o mesmo em outros países e com outros revendedores.

Não tenho experiência para abrir minha carteira física e verificar se está tudo certo e agora o medo está muito grande.

|Sempre haverá uma possibilidade de falha
No celular ou em um PC ou notebook antigo dá para usar tranquilamente para gerar seeds e deixar de cold wallet
Você só ficaria susceptível a alguma falha ou software mal intencionado que usou para criar a sua seed

Por muito tempo usei PC com Linux (Tails) para gerar minhas seeds e tenho até hoje algumas wallets bem antigas que nunca toquei, só verifico o saldo de tempos em tempos pra me sentir mais tranquilo hehe

[Forsyth Jones]

Não tenho experiência para abrir minha carteira física e verificar se está tudo certo e agora o medo está muito grande.

O bitcoinews postou um tutorial ensinando como abrir uma Nano X pra ver se ela foi adulterada: https://x.com/BitcoinNewsCom/status/2109010136031518780

Como assim equipamento laboral avançado de criptografia?

Pelo menos no caso do fundador da extinta Mt. Gox, bastou implementar um pequeno dispositivo na SPI bus da Ledger:

Yes, LTE module, Antenna, e-SIM, a MCU connected to the Ledger's SPI bus and analyzing the letters shown to the user, and sending the data as soon as your seed is setup. The bad actor can then monitor your addresses and choose the best time to drain everything.

Com uma solda você faz isso. Basta abrir Ledger por Ledger e conectar implante por implante. É trabalho manual.

Mas foi um ataque sofisticado, não é qualquer um que faz isso.

Verdade, eu não tinha visto, foi uma alteração bem manjada



O que garante que outros revendedores não estejam fazendo o mesmo, ou melhor, imagina que você tem um dispositivo desses comprados há 03 anos atrás só esperando pra ser drenada a qualquer momento?

[joker_josue]

O que garante que outros revendedores não estejam fazendo o mesmo, ou melhor, imagina que você tem um dispositivo desses comprados há 03 anos atrás só esperando pra ser drenada a qualquer momento?

De facto é uma duvida valida.

Porque na realidade, vendo que isso já foi feito, o que impede de ter sido feito por outros revendedores ou tenha sido feito em equipamentos de outras marcas?

Se entramos numa onda ainda mais "paranoica": o que impede de alguém infiltrado diretamente na fabrica da Ledger fazer algo parecido?
Acredito que eles tenham um controlo cuidadoso nesse campo. Mas, neste momento, todos os cenários podem ser imaginados.