Um grupo ligado à privacidade descobriu que o kit de desenvolvimento padrão usado por carteiras com dispositivos Ledger envia detalhes de assinatura e dados do aparelho aos servidores da fabricante.
Segundo a Protos, o SDK da Ledger transmite, por padrão, informações sobre assinaturas de transações para os servidores da empresa. A descoberta foi feita por entusiastas de privacidade e se espalhou nas redes sociais.
O comportamento vale desde a versão 1.16 do context-module, ou seja, desde maio de 2026 ou antes. Aplicativos e usuários precisam desativar o envio por conta própria, e a maioria não faz isso.
O que o SDK da Ledger estava enviando
O desenvolvedor da Ambire Kaloyan Kosev, conhecido como “superKalo”, apontou o problema. Os servidores da Ledger recebiam o modelo do dispositivo, a versão do software e o endereço blockchain pago ou consultado pelo usuário.
O endereço non-blind-signing.api.ledger.com, definido por padrão, dispara um relatório a cada transação e pedido de assinatura de dados tipados, inclusive quando o usuário não assina às cegas.
O código foi enviado em 26 de março. A versão 1.16.0 o levou ao pacote em abril, apontando para um servidor de testes. A 2.1.0 passou o envio para produção.
Kosev escreveu que a privacidade deveria ser o padrão, sobretudo em uma empresa como a Ledger.
A resposta da Ledger
A Ledger Donjon, equipe de segurança da empresa, afirmou que isso faz parte do funcionamento do clear signing. Os descritores que transformam transações brutas em texto legível são grandes demais para o aparelho, então o SDK os busca nos servidores. Para isso, precisa enviar os detalhes necessários para achar o descritor certo.
A equipe disse que a Ledger não guarda os dados e que carteiras podem usar um módulo próprio para evitar o comportamento padrão.
Opt-out em vez de opt-in
O cofundador Nicolas Bacca, que saiu em 2023, disse a Mr Hodl que o padrão pode ter sido “esquecido”. Questionado sobre por que ninguém aderiu e o envio era opt-out, admitiu não saber o motivo.
Outros episódios de privacidade
O app da própria Ledger também passa dados pela empresa. O módulo de Bitcoin lê histórico e taxas de um explorador da Ledger, consulta endereço por endereço e envia cada transação assinada por ele.
Em 2023, a Protos noticiou que o Ledger Live enviava cliques, número de contas, nomes de ativos, tipo de dispositivo e firmware à Segment. A empresa diz hoje que rastreadores de personalização exigem consentimento. Em 2020, um vazamento expôs nomes, endereços e telefones de cerca de 272 mil clientes. No mês passado, spyware em aparelhos de um revendedor na Malásia, aparentemente oficial, drenou mais de US$ 86 milhões de vítimas.
O que isso significa para quem investe no Brasil
Usuários brasileiros de carteiras compatíveis com Ledger podem verificar se o app que usam mantém o módulo padrão ou um próprio. A fonte não informa o alcance exato por aplicativo, então vale consultar a documentação de cada carteira.
Leia também: backup offline com a Ledger Recovery Key.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Privacidade e segurança começam na escolha da carteira
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Quase 700 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia no Brasil, suporte técnico em português.
Leituras relacionadas
SDK da Injective é comprometido e chaves privadas roubadasVersão 1.20.21 do pacote npm @injectivelabs/sdk-ts continha código malicioso que exfiltrava chaves privadas
Ponte da Secret Network é explorada e perde US$ 4,7 miUma vulnerabilidade de mint infinito na bridge da Secret Network resultou no desvio de US$ 4,7 milhões
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.
As notícias que movem o mercado, sem ruído
Um resumo do que realmente importou em cripto e economia, direto no seu e-mail. Sem hype e sem recomendação de investimento.