Um investidor em criptomoedas acordou com a terrível invenção de que todas suas criptomoedas haviam sido roubadas. No totalidade, tapume de US$ 2,5 milhões (R$ 15 milhões) em ativos digitais desapareceram sem explicação, incluindo 10 bitcoins e uma coleção de NFTs.
Desesperado e revoltado, o usuário identificado no X (vetusto Twitter) uma vez que @anchor_drops afirmou ter armazenado sua seed phrase de forma segura, nunca inserida online, e declarou que sua carteira não era usada há meses.
Segundo o relatosua única interação com a carteira Ledger foi para transferir ativos para uma hot wallet via OpenSea. Ele também compartilhou publicamente os endereços das carteiras afetadas, pedindo ajuda para rastrear os fundos roubados.
“Hoje perdi 10 BTC e ~1,5 milhão em NFTs armazenados na minha ledger Nano S. A seed estava armazenada em um local seguro, nunca inserida em nenhum lugar online. Nunca assinei nenhuma transação maliciosa. Tudo está em minha posse física. Não toco na carteira há 2 meses. Você pode explicar o que aconteceu?”disse o usuário, direcionando sua mensagem à Ledger.
Ei @razão esta noite perdi 10 BTC e aproximadamente 1,5 milhão de NFTs armazenados em meu livro-razão Nano S
O livro-razão foi comprado diretamente de você. A frase-semente foi armazenada em um sítio seguro, nunca inserida em nenhum lugar online. Nunca assinei nenhuma transação maliciosa. Tudo está no meu físico…
– Quedas de âncora (@anchor_drops) 13 de dezembro de 2024
Ledger oferece ajuda e diz que não tem backdoor
A postagem teve mais de 2 milhões de visualizaçõescom usuários acusando a trabalhador Ledger de ter um backdoor ou bug na carteira.
A empresa se defendeu e, além de oferecer ajuda ao investidor, afirmou que seu protótipo de segurança impede aproximação remoto ou físico às chaves privadas armazenadas no chip de Elemento Seguro de seus dispositivos.
Indo além, a Ledger negou categoricamente a existência de qualquer “backdoor” em seus dispositivos e afirmou que as chaves privadas permanecem inacessíveis a terceiros, inclusive à própria Ledger.
Na Ledger, nossa missão sempre foi clara: capacitar os indivíduos para a autocustódia segura de seus ativos. Com mais de 10 anos de inovação, 7 milhões de dispositivos vendidos e zero hacks, a Ledger é líder confiável em segurança de carteira de hardware.
1. Sem porta dos fundos. Sempre.
Reivindicações de um…
– Razão (@Ledger) 13 de dezembro de 2024
Posteriormente oferecer ajuda ao investidor, a Ledger recomendou que ele registrasse um boletim de ocorrência e verificasse seu histórico de transações para identificar possíveis aprovações suspeitas.
Sugeriu, ainda, o uso de ferramentas uma vez que RevokeCash para revogar permissões concedidas anteriormente a aplicativos descentralizados.
Porquê os bitcoins foram roubados?
Ninguém sabeainda.
Mesmo com quase milénio respostas ao tuíte, ninguém sabe explicar exatamente o que aconteceumas dentre as hipóteses, a mais provável é que o roubo tenha sido resultado de uma assinatura maliciosa feita há 3 anos.
Porquê é generalidade no mercado de criptomoedas, essa incerteza gerou um grande debatecom diversos investidores mostrando preocupações sobre potenciais vulnerabilidades nas carteiras de hardware.
Alguns usuários sugeriram cautela com carteiras da Ledger, considerando o lançamento recente do Recuperação de razãoum serviço polêmico que permite a recuperação online de seeds.
Embora a Ledger tenha reservado a segurança do serviço, dúvidas persistem até que uma investigação mais aprofundada esclareça o incidente.
Lamento ouvir faceta. Parece que o phishing aconteceu há alguns anos e acabou de pactuar. pic.twitter.com/OjzyYXQFKf
-KDean (@kdean) 13 de dezembro de 2024
Dentre as possíveis causas do roubo, as mais citadas pelos usuários no X foram:
- Comprometimento da Seed: Apesar do usuário declarar que a seed era armazenada de forma segura e nunca inserida online, é provável que ela tenha sido exposta. Isso poderia ocorrer por meio de backups não protegidos, aproximação físico não autorizado (amigos ou família) ou outros métodos de comprometimento.
- Vulnerabilidade em aplicativos de terceiros: Interações com contratos inteligentes ou aplicativos de terceiros, uma vez que o OpenSea, podem introduzir vulnerabilidades. Se o usuário concedeu permissões excessivas ou interagiu com contratos comprometidos, os invasores poderiam explorar essas brechas para acessar seus ativos.
- Comprometimento do dispositivo ou software: Embora a Ledger afirme que suas carteiras não possuem backdoors e que as chaves privadas são armazenadas com segurança, existe a possibilidade de que o dispositivo ou o software utilizado tenha sido comprometido, permitindo o aproximação não autorizado aos ativos.
- Assinatura de transações maliciosas: O usuário mencionou que utiliza a Ledger para transferir ativos para uma hot wallet via OpenSea. Durante essas interações, é provável que ele tenha, sem saber, autorizado transações maliciosas ou outorgado permissões que permitiram o aproximação aos seus ativos. Alguns ataques de phishing disfarçam aprovações maliciosas uma vez que interações legítimas, que permanecem ativas até serem revogadas.
- Ataque de phishing: Investigadores no X descobriram que o investidor assinou uma transação de phishing 3 anos detrás, que foi ativada recentemente por invasores. Esses ataques podem permanecer inativos por longos períodos antes de serem explorados, permitindo que os invasores acessem os ativos quando decidirem.
No momento em que leste item é escrito, a comunidade de criptomoedas ainda tenta desvendar o mistério, com muitos acusando a Ledger de ter um backdoor ou uma vulnerabilidade que permita que a semente seja recuperada remotamente.
A empresa nega.
“As alegações de existência de um backdoor nos dispositivos Ledger são categoricamente falsas. O modelo de segurança da Ledger é baseado em hardware de elemento seguro e criptografia, garantindo que somente o usuário tenha acesso às suas chaves privadas. O Ledger Recover, fornecido pela Coincover, é um serviço opcional e não altera esse princípio.”, disse a empresa.
“Importante destacar que a maior parte do código da Ledger é de código aberto, incluindo o Ledger Live, Wallet API, Secure SDK e aplicativos integrados em nossos dispositivos. É possível revisar componentes essenciais, como o despachante de comandos do LedgerOS, pontos de entrada do Ledger Recover fornecido pela Coincover, sua implementação e sua biblioteca criptográfica. A Ledger passa regularmente por auditorias de segurança realizadas por terceiros para garantir que suas medidas de segurança permaneçam robustas e confiáveis.”acrescentou.
