Implantes em carteiras de hardware encontrados em dispositivos Ledger e Trezor vendidos através da Mediamarkt e revendedores do Sudeste Asiático -- $93,4M roubados. Como o ataque funciona, por que os Elementos Seguros não o protegem e o que isso significa para a custódia de criptomoedas.
Sua Carteira de Hardware Pode Já Estar Comprometida — e a Indústria Não Quer Que Você Saiba Porquê
Por anos, o conselho foi simples: se você possui criptomoedas de valor, compre uma carteira de hardware. Não de software. Não uma exchange. Um dispositivo dedicado com um Elemento Seguro, isolado do seu computador, projetado para que suas chaves privadas nunca saiam do chip. A indústria de segurança construiu toda uma cultura em torno dessa prescrição. Ledger, Trezor, Coldcard — esses nomes tornaram-se sinônimos de segurança. A comunidade repetia o catecismo: não são suas chaves, não são suas moedas. O dispositivo era a última linha de defesa.
Essa linha foi ultrapassada. E a violação não foi uma exploração de software, um ataque de phishing ou uma vulnerabilidade de firmware que um patch pudesse corrigir. Foi uma chave de fenda.
Na última semana, o mundo das criptomoedas absorveu uma das revelações de segurança mais perturbadoras em sua história relativamente curta: implantes de hardware — hardware físico real, plantado dentro das caixas de carteiras de hardware — têm roubado criptomoedas de usuários reais. As perdas estimadas agora estão em US$ 93,4 milhões em aproximadamente 471 endereços, de acordo com a análise on-chain da Yfarmx e Bitquery. O método principal do atacante: capturar a frase de recuperação de 24 palavras no momento da inicialização do dispositivo e transmiti-la por uma rede celular ativa para um servidor controlado pelos ladrões. Nenhuma chave criptográfica necessária. Nenhuma assinatura forjada. Apenas um segundo microcontrolador e um eSIM, escondidos dentro da caixa.
Os alvos incluíram a Ledger, líder de mercado, cujos dispositivos foram encontrados comprometidos por revendedores autorizados no Sudeste Asiático e, mais preocupante, através da Mediamarkt Saturn — a maior varejista de eletrônicos de consumo da Europa — na Alemanha. O fabricante rival Trezor, há muito posicionado como a alternativa voltada para a privacidade, reconheceu no mesmo dia que também descobriu implantes em dispositivos vendidos por revendedores de terceiros, elevando o número total de marcas de carteiras de hardware afetadas para duas.
A história levanta uma questão que vai muito além deste incidente específico: se o Secure Element não pode ser confiável porque não é a única coisa dentro da caixa, qual é a superfície de ataque real de uma carteira de hardware? E, dado que o ataque funciona independentemente de o chip principal do dispositivo ser seguro, toda a categoria de "carteiras de hardware" precisa ser reconsiderada?
Como o Ataque Funciona — e Por Que Ele Derrota o Modelo de Segurança Inteiro
Para entender o que aconteceu, você precisa entender o que uma carteira de hardware realmente é — e o que a maioria das pessoas incorretamente assume que ela seja. Uma carteira de hardware moderna como a Ledger Nano X contém dois microcontroladores separados. O primeiro é o Secure Element — um chip dedicado e resistente a violações, certificado conforme padrões como Common Criteria ou SESIP — cuja única função é gerar chaves criptográficas, assinar transações e proteger a frase semente. O segundo é um microcontrolador de propósito geral que cuida de tudo o mais: a tela, os botões, a comunicação USB ou Bluetooth com o computador host e o firmware que gerencia a interface do usuário.
O modelo de segurança repousa inteiramente na suposição de que apenas o Elemento Seguro (Secure Element) toca a frase semente. O segundo microcontrolador — frequentemente executando um chip ARM Cortex-M sem resistência especial a violações — é considerado não confiável. Ele se comunica com o Elemento Seguro por meio de um protocolo definido, mas nunca conhece a frase semente. Os dois chips são separados física e logicamente. Se o segundo chip for comprometido, a frase semente permanece segura. Esta é a suposição fundamental de toda a indústria de carteiras de hardware.
Os implantes encontrados em dispositivos Ledger e Trezor atacam exatamente essa suposição — não quebrando o Elemento Seguro, mas contornando-o completamente. Nos implantes da Ledger, pesquisadores da própria divisão de segurança da Ledger, conhecida como Donjon, encontraram um segundo microcontrolador plantado dentro da caixa do dispositivo, conectado ao barramento da tela. Durante a inicialização do dispositivo — o momento exato em que a Ledger gera uma nova frase de recuperação de 24 palavras e a exibe ao usuário — o microcontrolador do implante observa os dados que vão para a tela, decodifica cada palavra conforme aparece, armazena-a na memória interna e, em seguida, transmite a frase semente completa aos atacantes via LTE usando um eSIM provisionado embutido na placa do implante. Toda a operação é invisível para o sistema operacional do dispositivo e para quaisquer verificações de integridade que o dispositivo executa.
Crucialmente, o implante não modifica o Elemento Seguro nem o sistema operacional da Ledger. Ele não altera transações ou assinaturas. Ele permanece passivo até a inicialização, momento em que se ativa. Como o Elemento Seguro nunca é tocado, as próprias verificações de validação da Ledger — os mecanismos que o dispositivo usa para confirmar que não foi adulterado — passam sem sinalizar nada incomum. O ataque funciona precisamente porque o implante é um segundo computador, inserido ao lado do legítimo, que observa tudo o que o usuário faz com seu próprio hardware.
Os implantes Trezor operaram de forma um pouco diferente, refletindo as diferenças arquitetônicas entre os dois produtos. Como o código da Trezor é totalmente de código aberto — um ponto que a Trezor há muito cita como vantagem de transparência — os atacantes foram capazes de obter o firmware, modificá-lo para incluir frases semente pré-geradas conhecidas pelos atacantes e instalá-lo em um microcontrolador de substituição. O dispositivo modificado então "geraria" uma frase semente para o usuário, mas a frase seria uma que os atacantes já haviam registrado. Como o firmware malicioso executava sua própria versão do código do dispositivo, ele precisava passar pelas verificações de integridade de software da Trezor; isso foi feito executando primeiro uma verificação de integridade do firmware legítimo contra uma cópia do firmware real armazenada em um cartão microSD externo, antes de permitir que o comportamento malicioso assumisse o controle. A arquitetura de código aberto que a Trezor anunciava como mecanismo de confiança tornou-se, neste contexto, um roteiro para os atacantes.
Em ambos os casos — Ledger e Trezor — os implantes derrotaram o modelo de segurança ao atingir o momento da inicialização em vez do momento da assinatura. A indústria passou uma década endurecendo a camada de assinatura: guardas contra reentrância, chaves vinculadas ao hardware, certificação do Elemento Seguro. A etapa de geração da frase semente foi tratada como segura porque ocorria dentro do chip certificado. Essa suposição estava errada — não porque o chip foi quebrado, mas porque o chip não era a única coisa na sala.
Joe Grand encontrou isso em março. A Ledger não fez nada.
O capítulo mais danoso desta história pode não ser o próprio roubo, mas o que aconteceu antes dele. Joe Grand — um renomado hacker de hardware que já fez engenharia reversa de tudo, desde cabines de jogos de arcade a dispositivos médicos — começou a investigar as carteiras Ledger em agosto de 2025, após um usuário do Reddit relatar ter encontrado circuitos inesperados dentro de uma Nano X comprada em um mercado online na Tailândia. O usuário enviou o dispositivo para Grand, que confirmou a presença do implante: uma placa adicional com um módulo LTE, um eSIM e uma antena, escondida dentro da carcaça do dispositivo.
Grand comprou mais oito carteiras de vários vendedores online no Sudeste Asiático — todas de fontes duvidosas e não verificáveis, conforme ele descreveu, na Lazada, plataforma de comércio eletrônico de propriedade do Alibaba — e descobriu que quatro delas estavam comprometidas com implantes semelhantes. Ele notificou a Ledger por e-mail em 4 de março de 2026 e teve uma chamada no Zoom com sua equipe. Posteriormente, ele fez duas apresentações em conferências — na Tropicon em abril e na Hardwear.IO em maio — e publicou seus slides online.
A resposta da Ledger foi, segundo o relato de Grand, decepcionante. A empresa disse a ele que investigaria para determinar quem estava por trás dos implantes, mas não se envolveu de forma substantiva com suas descobertas. Grand afirmou que não recebeu nenhum acompanhamento significativo por meses e, quando finalmente perguntou, um representante da Ledger disse que a empresa não havia encontrado evidências de que alguém tivesse usado os implantes para roubar criptomoedas. Não houve divulgação pública. Nenhum aviso aos clientes. Nenhum advisory. O maior fabricante de carteiras de hardware do mundo havia sido informado por um proeminente pesquisador de segurança de que seus dispositivos estavam sendo falsificados com hardware de vigilância ativa — e escolheu tratar o caso como uma curiosidade isolada.
A situação escalou depois que Mark Karpeles — o ex-CEO da Mt. Gox, a exchange de Tóquio que colapsou em 2014 com a perda de 850.000 bitcoins — encontrou a pesquisa de Grand online em setembro de 2026 e decidiu testar a tese por conta própria. Karpeles comprou duas carteiras Ledger e encontrou versões mais sofisticadas do implante do que aquelas documentadas por Grand. Ele publicou suas descobertas online. A história se espalhou rapidamente pela comunidade cripto. Em poucos dias, um ataque coordenado drenou aproximadamente US$ 93,4 milhões em criptomoedas de carteiras conectadas a dispositivos vendidos pelo revendedor do Sudeste Asiático Cryptobilis.
O ataque pode ter sido precipitado pela própria divulgação. A inteligência de blockchain sugere que os atacantes estavam aguardando com os dispositivos comprometidos — talvez por meses — acumulando carteiras com grandes saldos antes de agir. Assim que as notícias sobre os implantes começaram a se espalhar amplamente, os ladrões parecem ter se apressado para extrair fundos de tantas carteiras comprometidas quanto possível, antes que os proprietários pudessem responder.
Alguns na comunidade elogiaram Karpeles por expor uma operação que, de outra forma, poderia ter passado despercebida indefinidamente. Seu histórico na Mt. Gox adiciona uma textura irônica: o homem que falhou em proteger os fundos de milhares de usuários de Bitcoin em 2014 pode ter sido fundamental para impedir um roubo ainda maior em 2026.
Revendedores Autorizados Foram Comprometidos — e Essa é a Parte Mais Alarmante
Os implantes que Grand encontrou em 2025 estavam todos em carteiras compradas de vendedores não autorizados e duvidosos — o cenário que todos os fabricantes de carteiras de hardware alertam contra. O conselho padrão — comprar apenas no site do fabricante ou de revendedores autorizados — foi apresentado como proteção suficiente. Nas semanas seguintes à divulgação, esse conselho se manteve, no sentido de que as carteiras compradas por canais reputáveis pareciam limpas.
Então a história mudou. Em 9 de outubro de 2026, a Ledger divulgou que fundos estavam sendo drenados de carteiras vendidas através da Cryptobilis, uma revendedora autorizada da Ledger que opera na Malásia, Indonésia e Filipinas. Uma análise on-chain pela Bitquery rastreou as perdas para aproximadamente 311 endereços únicos, totalizando cerca de US$ 92,9 milhões. A análise da Yfarmx colocou a figura em US$ 93,4 milhões em 471 endereços. Ambas as análises concordaram que a drenagem foi executada em uma única operação coordenada, com fundos movidos através de sete blockchains — Tron, Bitcoin, Ethereum, BNB Chain, Polygon, Base e Arbitrum — antes de serem canalizados através de pontes cross-chain, THORChain e Tornado Cash, o que a Chainalysis descreveu como uma "operação sofisticada de lavagem cross-chain".
Mais preocupante foi um relatório separado de um usuário alemão que comprou uma Ledger Nano X em uma loja MediaMarkt em agosto de 2026. O cliente comprou uma segunda carteira em uma localização diferente da MediaMarkt na mesma viagem e encontrou um implante também nessa. A MediaMarkt Saturn, a maior varejista de eletrônicos de consumo da Europa, opera em dez países europeus com aproximadamente 1.000 lojas. Ela está listada como uma revendedora autorizada da Ledger na Áustria, Alemanha, Espanha e Turquia. A empresa suspendeu desde então as vendas de carteiras de hardware da Ledger pendente de investigação.
A declaração subsequente da Ledger sugeriu uma possível explicação — e uma preocupante: os implantes podem ter entrado na cadeia de suprimentos não por falsificação direta da própria fabricação da Ledger, mas por meio de revendedores autorizados que obtiveram dispositivos de fontes ilegítimas ou que reabasteceram produtos devolvidos sem verificação adequada. "Estamos lembrando nossos revendedores e distribuidores autorizados a adquirir produtos apenas por meio de canais autorizados e nunca reabastecer produtos devolvidos", escreveu a Ledger em uma declaração pública. "Esta é uma ameaça contínua que não impacta apenas a Ledger, mas todo o ecossistema."
Em outras palavras, a ameaça não é que os atacantes possam comprometer uma fábrica ou forjar um dispositivo. A ameaça é que um revendedor legítimo — um confiável por milhares de clientes europeus que entraram em uma loja MediaMarkt e compraram uma caixa lacrada na prateleira — possa ser um vetor para um ataque à cadeia de suprimentos que nenhuma atualização de software pode corrigir.
Trezor, Demais: Um Conto de Dois Problemas Diferentes
Em 13 de outubro de 2026 — no mesmo dia em que a situação da Ledger dominava as redes sociais de criptomoedas — a Trezor emitiu um comunicado afirmando que estaria reduzindo sua rede de revendedores autorizados "por excesso de cautela." O Diretor Comercial Principal Danny Sanders escreveu que não havia "nenhuma evidência de que os dispositivos Trezor tenham sido comprometidos." Este comunicado foi, no máximo, incompleto.
Joe Grand havia notificado a Trezor em agosto de 2026 — antes do comunicado público da empresa — sobre ter encontrado um implante em um Trezor Model T comprado via Facebook Marketplace no Canadá, e um segundo implante em um Trezor One obtido de uma loja do TikTok em agosto. No caso do Trezor One, o comprador havia notado aproximadamente $50 transferidos de sua conta antes de ficar desconfiado. Ambos os dispositivos eram modelos descontinuados que a Trezor ainda suporta com atualizações de software até 2031 e atualizações de segurança até 2036, mas que já não fabrica.
A resposta inicial da Trezor a Grand foi cortês e detalhada — a equipe técnica da empresa identificou corretamente o implante como semelhante a dispositivos falsos descobertos em marketplaces russos em 2022–2023, observou corretamente o microcontrolador substituído e o firmware modificado, e descreveu corretamente o uso de um cartão microSD externo para passar nas verificações de integridade — mas não divulgou publicamente a descoberta. Quando Grand escreveu novamente para a Trezor no início de setembro perguntando sobre a publicação de suas descobertas, o representante da empresa pediu um aviso prévio para que pudesse preparar um comentário público. O comunicado público subsequente da Trezor, afirmando não haver evidência de comprometimento do dispositivo, foi portanto surpreendente, dado que a empresa estava em comunicação direta com Grand sobre exatamente esse cenário por dois meses.
A superfície de ataque da Trezor é arquitetonicamente diferente da da Ledger, o que cria um perfil de risco diferente. Como o firmware da Trezor é de código aberto, a barreira de entrada para um atacante é mais baixa — eles não precisam reverter a engenharia de um sistema proprietário, apenas precisam baixar o código. Mas o contra-argumento é que o código aberto também significa que qualquer pessoa pode auditar o código, e os usuários da Trezor que sabem o que estão fazendo podem verificar o binário executado em seu dispositivo. Para a maioria dos usuários, no entanto — a maioria que simplesmente conecta seu Trezor e segue o assistente de configuração — a arquitetura de código aberto não oferece proteção significativa contra um microcontrolador malicioso pré-instalado, porque a etapa de verificação requer conhecimento técnico e ação deliberada que a experiência do usuário padrão não incentiva.
A Pergunta de $93,4 Milhões: Pode Ser Recuperada?
As empresas de inteligência em blockchain têm rastreado o movimento dos fundos roubados desde o vazamento de 9 de outubro. A Chainalysis confirmou que estava "investigando relatos de fundos roubados de detentores de produtos Ledger" e divulgou que seus analistas haviam identificado uma operação sofisticada de lavagem de dinheiro cross-chain. A Bitquery rastreou os fundos através de sete blockchains separadas e identificou um padrão consistente com lavagem de dinheiro profissional: fragmentação rápida, ponte cross-chain para obscurecer o rastro e mistura através de protocolos projetados para quebrar o link on-chain entre remetente e destinatário.
A recuperabilidade, nesta fase, parece improvável. O THORChain — o protocolo de liquidez cross-chain descentralizado — já congelou fundos roubados em algumas circunstâncias, mas sua capacidade de agir é limitada pelo design do protocolo e pela velocidade com que os ativos roubados podem ser movidos. O Tornado Cash, usado na cadeia de lavagem, é projetado especificamente para quebrar a rastreabilidade on-chain. A Tether e a Circle congelaram aproximadamente US$ 318.000 dos ativos roubados — menos de 0,1% do total — porque os ativos roubados estavam principalmente em XRP, Ethereum e Bitcoin, não em stablecoins que os emissores podem congelar.
A Ledger ativou seu Fundo de Proteção ao Usuário, que atualmente detém aproximadamente US$ 464 milhões, e indicou que pretende compensar os usuários afetados. A resposta da empresa ao incidente — compensação por meio de um fundo anunciado em 2023 após uma violação de dados anterior — foi mais substantiva do que a resposta típica da indústria a um incidente de segurança. Mas o fundo foi projetado para cenários de violação de dados, não para comprometimento físico de dispositivos, e permanecem dúvidas sobre o escopo da cobertura e a velocidade do desembolso.
O Problema Mais Profundo: As Carteiras de Hardware Resolveram o Modelo de Ameaça Errado
Pesquisadores de segurança e criptógrafos debatem há muito tempo o modelo de ameaça para a custódia pessoal de criptomoedas. A formulação clássica — "proteja suas chaves privadas de atacantes remotos" — levou diretamente à categoria de carteiras de hardware: dispositivos projetados para gerar e armazenar chaves offline, assinando transações sem nunca expor a chave a um computador em rede. O modelo de ameaça assumia que o atacante era remoto: um hacker, malware, um site de phishing, uma exchange comprometida.
O ataque demonstrado nas últimas duas semanas visa um ator de ameaça completamente diferente: um adversário físico que pode modificar o dispositivo antes ou durante o processo da cadeia de suprimentos, antes que o usuário o receba. Esta não é uma nova categoria de ameaça. Ataques à cadeia de suprimentos em hardware são tão antigos quanto o próprio hardware. Mas a indústria de carteiras de hardware, em sua pressa em resolver o modelo de ameaça digital, parece ter subvalorizado o modelo físico.
A implicação desconfortável é que a segurança de uma carteira de hardware é tão forte quanto a integridade física de toda a cadeia de distribuição entre o chão de fábrica e as mãos do cliente — incluindo cada ponto de controle alfandegário, armazém, distribuidor regional e prateleira de varejo. Essa cadeia é longa, envolve dezenas de entidades em vários países e é composta, em sua maioria, por pessoas que não têm como detectar uma troca de microcontrolador ou uma antena embutida em um invólucro de plástico.
O Secure Element, os padrões de certificação, o design air-gapped — todos esses permanecem como proteções significativas contra ataques digitais. Porém, contra um adversário da cadeia de suprimentos físico capaz de abrir uma caixa selada, substituir um chip, revedar o invólucro com embalagem indistinguível e vendê-lo por meio de um revendedor autorizado, o Secure Element é irrelevante. A frase semente é comprometida antes mesmo de o dispositivo ser inicializado.
O que os usuários podem fazer — e o que a indústria precisa mudar
Para usuários que já possuem carteiras de hardware compradas de vendedores terceirizados, a situação é genuinamente difícil. O aviso da Ledger é claro: clientes que compraram da Cryptobilis ou que possuem dispositivos adquiridos de qualquer canal não direto não devem inicializar esses dispositivos, não devem inserir frases semente existentes neles e devem transferir fundos para um dispositivo comprado diretamente do fabricante ou de um revendedor autorizado verificado com uma cadeia logística conhecida e limpa. Esse conselho, embora correto, cria atrito e custo significativos para usuários que podem ter mantido ativos na mesma carteira por anos.
Para a indústria, o incidente exige mudanças estruturais que vão além de atualizações de firmware ou auditorias de revendedores. Várias propostas têm circulado entre pesquisadores de segurança: atestação de hardware no nível de fabricação, com assinaturas criptográficas aplicadas na fábrica e verificáveis pelo usuário antes da inicialização; a relocação da geração da frase semente para um chip dedicado, fisicamente isolado, sem capacidade de comunicação externa e sem acesso a barramento externo; a eliminação de microcontroladores de propósito geral no caminho de exibição e botão, de modo que nenhum dado deixe o Secure Element mesmo na forma de exibição; e o estabelecimento de um protocolo de resposta a incidentes amplo da indústria para comprometimento da cadeia de suprimentos, incluindo prazos obrigatórios de divulgação e mecanismos de compensação.
Nenhuma dessas soluções é simples, e todas elas impõem custos — em complexidade de fabricação, em custo do dispositivo, na experiência do usuário — que a indústria de carteiras de hardware historicamente tem sido relutante em absorver. A alternativa é aceitar que uma carteira de hardware é um componente útil, mas fundamentalmente limitado, em uma estratégia de custódia: proteção valiosa contra ameaças digitais remotas, mas não contra um adversário fisicamente determinado com acesso à cadeia de suprimentos.
A ironia é que a resposta da indústria a este incidente provavelmente será uma combinação de atualizações de firmware, auditorias de revendedores e uma expansão dos fundos de proteção ao usuário — tudo o que aborda as consequências de um ataque físico sem endurecer materialmente o dispositivo contra a superfície de ataque físico que o tornou possível. O modelo de ameaça mudou. A indústria sabe disso. Se ela agir com base nesse conhecimento antes que os próximos US$ 93 milhões desapareçam é a questão que importa agora.
Perguntas Frequentes
O Elemento Seguro nos dispositivos Ledger foi hackeado? Não. O Elemento Seguro — o chip certificado responsável pela geração de chaves e assinatura de transações — não foi comprometido em nenhum dos casos documentados. Os implantes visavam o microcontrolador secundário, não seguro, e o barramento de exibição do dispositivo, capturando as frases semente durante o processo de inicialização antes que elas alcançassem o Elemento Seguro. É exatamente por isso que os próprios testes de integridade da Ledger não detectaram o comprometimento.
Como os atacantes conseguiram plantar hardware dentro de dispositivos lacrados? Os implantes parecem ter entrado na cadeia de suprimentos por meio de canais de revendedores, não pela fabricação direta da Ledger. Nos casos do Sudeste Asiático, os dispositivos foram obtidos de distribuidores regionais autorizados e modificados antes de serem revendidos. Nos casos europeus, o mecanismo permanece sob investigação, mas a declaração pública da Ledger sugeriu que dispositivos devolvidos podem ter sido repostos sem verificação, ou que os dispositivos foram obtidos de canais ilegítimos apesar do status autorizado do revendedor.
Os dispositivos Trezor são mais seguros que os dispositivos Ledger porque são de código aberto? A resposta é mais complicada do que parece. O firmware de código aberto da Trezor significa que o código está disponível publicamente e é auditável, o que é uma verdadeira vantagem de segurança em teoria. Na prática, os ataques de implante documentados em dispositivos Trezor One e Trezor Model T exploraram a arquitetura de código aberto para criar firmware modificado que poderia passar nos próprios testes de integridade da Trezor. O debate entre código aberto versus fechado em segurança de hardware pode precisar ser reconsiderado à luz dessas descobertas.
Os dispositivos comprados diretamente no site do fabricante podem ser confiáveis? A compra direta no site do fabricante permanece como o canal de menor risco disponível, porque minimiza o número de entidades que manipulam o dispositivo entre a fábrica e o cliente. No entanto, a ampla abrangência do comprometimento — abrangendo várias marcas, vários países e canais não autorizados e autorizados — sugere que nenhum canal pode ser tratado como categoricamente seguro. Usuários conscientes de segurança devem verificar a integridade do dispositivo por meio de métodos disponíveis, incluindo verificar a presença de componentes inesperados e, sempre que possível, confirmar a procedência do dispositivo com o fabricante antes da inicialização.
A criptomoeda roubada foi recuperada? Até 13 de outubro de 2026, a recuperação dos fundos roubados parece improvável. A Tether e a Circle congelaram aproximadamente US$ 318.000 dos ativos roubados, representando menos de 0,1% do total estimado. O restante foi movido através de sete blockchains e misturado por meio de pontes entre cadeias e protocolos de privacidade projetados para quebrar a rastreabilidade on-chain. A Chainalysis está rastreando ativamente os fundos, mas a sofisticação da operação de lavagem sugere atores profissionais que provavelmente não deixarão os ativos em um estado rastreável.
O que é o Fundo de Proteção ao Usuário da Ledger e os clientes afetados serão compensados? O Fundo de Proteção ao Usuário da Ledger detém atualmente aproximadamente US$ 464 milhões e foi estabelecido em 2023 após uma violação de dados anterior. A empresa indicou que pretende usar o fundo para compensar os usuários afetados pelo dreno relacionado à Cryptobilis. O escopo da cobertura e o cronograma de desembolso não foram totalmente especificados até a presente data.
Como isso se compara a roubos anteriores de criptomoedas? O dreno de US$ 93,4 milhões é significativo, mas não sem precedentes na história das criptomoedas. O hack da Bybit de fevereiro de 2025 resultou em aproximadamente US$ 1,5 bilhão em perdas. O hack da ponte Ronin de março de 2022 drenou aproximadamente US$ 625 milhões. O que distingue o incidente da Ledger não é sua escala, mas seu mecanismo: é o primeiro caso documentado de comprometimento da cadeia de suprimentos física — implantes plantados no hardware antes que ele chegasse aos usuários — resultando no roubo direto de fundos dos usuários em escala. A combinação de acesso físico, capacidade de transmissão celular e distribuição varejista autorizada representa um novo vetor de ameaça que a indústria não teve que enfrentar anteriormente.