Hack da Ledger: implante, perdas e o que fazer no Brasil

Atualizado em 17/10/2026, 21h20. Esta matéria reúne e substitui 14 notas publicadas pelo KriptoHoje entre 09/10/2026 e 17/10/2026; os desdobramentos novos entram aqui, nesta mesma página.

Linha do tempo

• 16/09 e 08/10. Segundo as notas anteriores do KriptoHoje, Mark Karpelès, ex-CEO da Mt. Gox, publicou fotos de implantes em unidades da Nano X e descreveu como eles leem os dados enviados à tela. A Protos relata que ele encontrou aparelhos com spyware que captava dados da tela e os enviava por um SIM oculto.
• 22/09. Segundo a Chainalysis, o responsável por um golpe de tarefas moveu os recursos para três endereços Ledger. Essa informação está na Decrypt.
• 09/10. A Ledger publicou, às 10h32 (Brasília), o aviso pedindo à CryptoBilis que pausasse vendas e envios. Antes disso, perfis de análise on-chain já apontavam mais de US$ 72 milhões e depois mais de US$ 86 milhões em endereços suspeitos. Conforme a Chainalysis, os três endereços Ledger do golpista foram esvaziados nesse dia. O aviso consta na central de suporte da Ledger.
• 10/10. A Ledger confirmou um implante não autorizado no aparelho de um cliente afetado, segundo a CryptoSlate.
• 11/10. O usuário Johannes publicou fotos de uma unidade comprada na MediaMarkt, segundo a Unchained. No mesmo domingo, de acordo com a Decrypt (via notas anteriores), a Ledger disse que todos os casos confirmados envolviam a CryptoBilis e que suas vendas diretas não foram afetadas.
• 13/10. A Ledger detalhou o funcionamento do implante e pediu a suspensão de vendas em seis países do Sudeste Asiático e Hong Kong. A MediaMarkt Saturn parou de vender Ledger, e a Trezor enviou carta anunciando corte de parte de sua rede de revendedores. Fontes: CryptoSlate, Decrypt e CryptoSlate sobre a Trezor.
• 14/10. A Ledger disse ter inspecionado estoques de varejo e distribuição na Alemanha, incluindo as lojas citadas, sem achar sinal de adulteração. A empresa admitiu que ainda não tinha examinado os aparelhos mostrados online. Fonte: Unchained.
• 15/10. A Ledger atribuiu a campanha a um grupo organizado e apresentou o Atom, aparelho de US$ 849 com proteções contra adulteração. Karpelès disse, na transmissão da Unchained, ter achado implante nas unidades de Singapura e da Alemanha. Fontes: The Defiant e CryptoPotato.
• 16/10. A SlowMist alertou para o e-mail de firmware falso. No mesmo dia, a Chainalysis foi noticiada por apontar o golpista entre as maiores vítimas. Fontes: Protos e Exame.
• 17/10. A CryptoSlate publicou a estimativa da Bitquery de US$ 102 milhões em 324 carteiras. Fonte: CryptoSlate.

Como o ataque funciona

Uma carteira de hardware não guarda moedas. Ela guarda as chaves privadas que autorizam transações. Na configuração, a Ledger mostra na tela as 24 palavras de recuperação, que recriam a carteira em outro aparelho. Quem copia a frase restaura as mesmas contas, e o PIN do aparelho original não impede isso, segundo a CryptoSlate.

De acordo com a Ledger, o implante foi feito para esse momento. Um pequeno controlador interceptava as informações enviadas à tela, reconstruía a frase e a transmitia por LTE com um chip eSIM embutido. O chip seguro (Secure Element), o sistema operacional e as assinaturas de transação não foram alterados, conforme a empresa.

O limite do Genuine Check

O Genuine Check verifica se o aparelho tem um Secure Element autêntico. A CryptoSlate lembra que a documentação de segurança da Ledger alerta que modificações físicas podem passar despercebidas quando o chip original está intacto. O teste pode, portanto, responder corretamente sobre o chip sem revelar circuitos extras ao lado dele.

O CTO da Ledger, Charles Guillemet, disse que o processo atual de autenticação não detecta um componente que monitore a tela, de acordo com a CryptoSlate. Segundo a empresa, o Atom terá uma blindagem ativa que alerta o chip seguro se alguém tentar abrir ou sondar o hardware. A própria CryptoSlate observa que essa tecnologia aguarda avaliação independente, e o envio está previsto para 2027.

Quem foi atingido e quanto foi levado

Não existe número oficial. A Ledger não confirmou o total de perdas nem a quantidade de usuários afetados. Segundo a Decrypt, a empresa diz não ter verificado o valor de US$ 86 milhões. Todas as cifras abaixo são de terceiros.

• Mais de US$ 72 milhões. Perfil tanuki42, em 09/10, em um grupo de endereços suspeitos.
• Mais de US$ 86 milhões. Investigador on-chain Specter, em 09/10, em dez endereços de Bitcoin, Ethereum e TRON. Ele corrigiu a informação inicial de centenas de carteiras e disse que o número real ainda é desconhecido.
• Perto de US$ 87 milhões. Dados da Arkham citados por Specter e reproduzidos por Decrypt e Bitcoin.com News em 09/10: cerca de US$ 42 milhões em ETH, US$ 17,5 milhões em bitcoin (cerca de 211 BTC) e US$ 16,5 milhões em USDT.
• Perto de US$ 90 milhões. Investigadores citados pela CryptoSlate e a MistTrack, segundo as notas anteriores, em 10/10. O Financial Times usou a cifra de US$ 90 milhões em título de 15/10.
• Até US$ 93 milhões, mais de 300 carteiras. Resumo da transmissão da The Defiant de 14/10.
• US$ 102 milhões, 324 carteiras, seis redes. Bitquery, divulgado pela CryptoSlate em 17/10. A Bitquery também achou 25 carteiras Tron que assinaram a mesma aprovação em três segundos, padrão compatível com quem controla várias contas.
• Mais de 450 carteiras. Lista que a YFarmX disse ter enviado à Ledger, segundo a Decrypt (via notas anteriores). A conclusão não foi verificada de forma independente.

As faixas variam por metodologia, endereços monitorados e data. Este guia não adota nenhuma como valor correto. A Decrypt já havia notado que não está claro se todo o valor rastreado se relaciona a aparelhos vendidos pela revenda.

Uma das maiores vítimas

A Chainalysis disse que uma das maiores vítimas foi o operador de um golpe de tarefas, que perdeu mais de 60 BTC, cerca de US$ 4,8 milhões. Em 22/09, ele moveu os recursos para três endereços Ledger. Em 09/10, os três foram esvaziados, com uma transferência de cada um para a mesma carteira. A Decrypt informa cerca de US$ 1,64 milhão por endereço e que a Chainalysis não disse onde ele comprou os aparelhos. A Exame converteu o valor para R$ 24,4 milhões.

Rastro dos fundos

Segundo a YFarmX, 2.810 ETH passaram pela Tornado Cash em três rodadas, e cerca de 3,28 milhões de USDC foram para três carteiras novas. A firma diz que 15.475 ETH, 203 BTC e 10 milhões de USDD seguem fora de alcance. A Tether congelou 10 milhões de USDT no primeiro dia, de acordo com a mesma análise, enquanto a MistTrack não divulgou o valor bloqueado. Congelar USDT não devolve os tokens automaticamente aos donos.

O que a Ledger e os revendedores fizeram

A Ledger também revisa controles sobre revendedores, avança em proteções de hardware e convidou o setor a colaborar em práticas antiadulteração, segundo as notas anteriores baseadas na Decrypt. A empresa diz trabalhar com autoridades e contatar usuários prejudicados, e que seu volume de aparelhos afetados é limitado.

Em 15/10, a empresa descreveu o episódio como ataque ao canal de distribuição. Disse que os atacantes compraram aparelhos genuínos por vários meses, os abriram, instalaram componentes sob medida e os devolveram à distribuição por revendedores do Sudeste Asiático. A empresa afirmou, em tradução livre: "foi um ataque localizado de distribuição", segundo a CryptoPotato. A CryptoSlate acrescenta que, segundo a Ledger, os atacantes investiram milhões de dólares na preparação.

A Trezor, concorrente, enviou carta em 13/10 informando que parceiros selecionados perderão a autorização em 01/01/2027. A CryptoSlate diz que isso ocorre sem evidência de que seus produtos tenham sido comprometidos.

Orientação da Ledger aos compradores da CryptoBilis

Quem comprou da revenda nos últimos 90 dias e não configurou o aparelho não deve iniciar a configuração. Quem já configurou deve considerar mover os fundos para um novo dispositivo, comprado direto da Ledger, com nova frase de recuperação, nunca restaurando a antiga. A empresa afirma que nunca liga, envia mensagem direta ou pede as 24 palavras. Os detalhes estão na The Defiant.

O que ainda não está confirmado

• Total e número de vítimas. Várias firmas deram cifras diferentes (ver seção anterior). A Ledger não confirmou valor nem quantidade, e o Wu Blockchain registra que ela trata os números online como estimativas de terceiros.
• Se toda perda veio de aparelho com implante. A CryptoSlate diz que a Ledger não estabeleceu isso. Logs de blockchain não identificam quem abriu um pacote ou instalou um componente, o que exige exame de hardware e registros de distribuição.
• Implantes fora da CryptoBilis. Karpelès disse ter achado o implante na Flex da Metapod (Singapura) e na Nano X da MediaMarkt (Alemanha). A Ledger diz que as amostras alemãs inspecionadas estavam limpas, que não examinou os aparelhos mostrados online e, segundo a The Defiant, que não verificou saque ligado a aparelho comprado fora do Sudeste Asiático. Johannes disse que as outras unidades da loja pareciam limpas, e Karpelès disse não poder afirmar se eram as únicas adulteradas. A Protos também cita, de forma secundária, aparelhos da LazMall (Filipinas).
• Controle da CryptoBilis. O ex-CEO Arravind Prabu disse que a empresa foi adquirida no início do ano. Segundo a Exame, ele afirmou ter vendido a loja em março e não poder revelar o negócio até este mês. Para a Protos, haveria sigilo até 19/10. Changpeng Zhao alegou que hackers compraram a revenda. A Exame registra que a suspeita na comunidade não foi confirmada pelas investigações, e a Protos avalia que o prazo e as descobertas de Karpelès podem ter motivado a ação. Nenhuma fonte consultada traz confirmação.
• Alertas anteriores. Segundo a Cointelegraph, Karpelès diz que a Ledger foi avisada meses antes sobre riscos de adulteração e questiona sua resposta. A fonte consultada é apenas o resumo, e a Ledger não é citada com resposta.
• Recuperação dos fundos. Houve congelamento de USDT, mas as conclusões da YFarmX sobre o destino dos recursos não foram verificadas de forma independente.
• Quem está por trás. A Ledger fala em grupo organizado. Nas fontes consultadas, não há identificação de pessoas ou entidades.

O que isso significa para quem tem Ledger no Brasil

Nenhuma das fontes consultadas cita brasileiros afetados ou revendedores brasileiros. O alerta da Ledger vale para quem comprou da CryptoBilis, e os casos confirmados pela fabricante se limitam a essa revenda. Mesmo assim, o episódio reabre a pergunta sobre o caminho do aparelho até o comprador.

Transparência: a KriptoBR, empresa do mesmo grupo do KriptoHoje, é revendedora de Ledger. Por isso, as informações a seguir sobre ela vêm da própria empresa e não foram verificadas de forma independente pelo KriptoHoje.

O que conferir

• Origem da compra. Lembre onde e de quem comprou. A Ledger recomenda adquirir de revendedores autorizados, conforme sua página de suporte. O caso mostra que a autorização do revendedor não elimina todo o risco, e a CryptoSlate lembra que a CryptoBilis era autorizada.
• Canal oficial. Dúvidas devem ir ao suporte oficial. A Ledger diz que nunca pede as 24 palavras por ligação ou mensagem.
• Genuine Check. Faça a verificação, mas sem tratá-la como prova de que nada foi adicionado ao aparelho. A própria documentação da Ledger reconhece o limite.
• Lacre e embalagem. Confira se há sinais de violação. Karpelès sugeriu embalagens com lacre contra violação e disse, em tradução livre, que encerrar o programa de revendedores seria "provavelmente drástico demais". Nenhuma fonte afirma que o lacre sozinho impede a adulteração.
• Frase de recuperação. Se o aparelho veio da CryptoBilis, siga a orientação da Ledger. A frase só vale como segredo se foi gerada sem que alguém a tenha copiado.

A especialista em segurança Taylor Monahan, segundo a Unchained, disse que mantém seus fundos distribuídos entre vários aparelhos, locais e backups em papel. O coapresentador Austin Griffith citou configurações multisig, em que a carteira de hardware é um de vários assinantes e pode ser substituída. São práticas descritas por eles, não recomendação do KriptoHoje.

Golpes que exploram o caso

A SlowMist divulgou capturas de um e-mail que pede ao destinatário que conecte a carteira de hardware para "proteger o dispositivo contra ameaças emergentes de spyware", citando incidentes na Malásia. A Protos diz que a campanha não aparecia, até então, na página da Ledger sobre golpes de phishing em andamento.

Taylor Monahan disse, em 14/10, que os relatos mais recentes que atendeu não eram esvaziamentos por implante, e sim golpes contra donos em pânico. Ela citou anúncios falsos no Google ao buscar o Ledger Live, aplicativos falsos, sites de phishing, e-mails de alarme e ligações. Não informou quantos casos viu. Segundo ela, os aparelhos afetados nos relatos que acompanhou foram comprados entre junho e o início de outubro. Em setembro, a Zscaler ThreatLabz descreveu outra campanha de anúncios falsos que levava a uma página pedindo frases de recuperação, mas nenhum relatório ligou essas campanhas aos casos de Monahan.

Fontes

• CryptoSlate, 17/10/2026: Who opened your crypto wallet before it reached your hands?
• Protos, 16/10/2026: campanha de firmware falso e contexto da CryptoBilis.
• Unchained, 16/10/2026: Karpelès e implantes em mais dois revendedores.
• Unchained, 16/10/2026: Taylor Monahan e golpes de pânico.
• Decrypt, 16/10/2026: golpista e Chainalysis.
• Exame, 16/10/2026: perda do golpista e versão do ex-fundador da CryptoBilis.
• Portal do Bitcoin, 16/10/2026: tradução de reportagem da Decrypt.
• CryptoPotato, 16/10/2026: Atom e novas regras de revenda.
• CryptoSlate, 16/10/2026: Atom, controles de revenda e Chainalysis.
• Wu Blockchain, 16/10/2026: resumo do artigo da Ledger Donjon.
• Cointelegraph, 16/10/2026: alertas anteriores segundo Karpelès (apenas resumo).
• The Defiant, 16/10/2026: resumo sobre inspeções na Alemanha (apenas resumo).
• The Defiant, 15/10/2026: grupo organizado e regras de revenda.
• The Defiant, 15/10/2026: orientação aos compradores.
• Decrypt, 14/10/2026: sete mercados asiáticos e MediaMarkt Saturn.
• CryptoSlate, 13/10/2026: carta da Trezor a revendedores.
• Ledger Support, 09/10/2026: aviso inicial e compra em revendedor autorizado.
• Também foram usadas reportagens de 09/10 a 13/10 de Decrypt, The Block, BeInCrypto, Bitcoin.com News, Protos e The Defiant, citadas nas notas anteriores do KriptoHoje.

Leituras relacionadas