Desenvolvedores da Zilliqa revelaram uma falha grave no aplicativo oficial da criptomoeda para carteiras Ledger, capaz de expor chaves privadas de usuários a partir de dados públicos da rede.
A equipe da Zilliqa (ZIL) divulgou oficialmente, na quarta-feira (22), a existência de uma vulnerabilidade crítica em seu aplicativo desenvolvido para as carteiras de hardware Ledger. A falha é considerada grave porque, segundo os próprios desenvolvedores, ela permite que um agente malicioso recupere a chave privada de um usuário utilizando exclusivamente dados disponíveis publicamente na blockchain — sem necessidade de acesso físico ao dispositivo.
A divulgação ocorre em um momento particularmente delicado para o projeto. No início da mesma semana, diversas corretoras precisaram suspender depósitos e saques de ZIL após uma delas reportar um ataque bem-sucedido. Segundo informações publicadas pelo portal Livecoins, que noticiou o caso, o valor subtraído no incidente não foi completamente detalhado pela equipe da Zilliqa até o momento da publicação.
A vulnerabilidade levanta preocupações sérias sobre o processo de auditoria de aplicativos para dispositivos de hardware. A Ledger, uma das fabricantes de hardware wallets mais utilizadas no mundo, mantém uma loja de aplicativos — o Ledger Live — por onde usuários instalam integrações com diferentes redes blockchain. Qualquer falha no código desses aplicativos pode comprometer a segurança do ativo mesmo quando o hardware em si funciona corretamente.
Como a falha funciona na prática
O cenário descrito pelos desenvolvedores da Zilliqa é tecnicamente preocupante: um terceiro com acesso a dados on-chain — ou seja, informações já registradas publicamente na rede — seria capaz de derivar a chave privada associada a uma carteira gerada pelo aplicativo comprometido. Em termos práticos, isso significa que qualquer endereço ZIL criado por meio do app para Ledger pode estar exposto, independentemente de o usuário nunca ter compartilhado sua seed phrase.
A exploração usa apenas dados públicos da blockchain ZIL para reconstruir a chave privada — sem acesso físico ao dispositivo Ledger.
Endereços ZIL gerados via aplicativo Ledger são potencialmente vulneráveis, mesmo que o usuário nunca tenha exposto sua seed phrase.
Múltiplas exchanges suspenderam depósitos e saques de ZIL no início da semana após um ataque confirmado contra uma das plataformas.
A equipe optou por disclosure público da vulnerabilidade, prática recomendada no setor para alertar usuários antes que a falha seja amplamente explorada.
Por que isso importa além da Zilliqa?
Casos como este reforçam que a segurança de uma hardware wallet depende não apenas do firmware do dispositivo, mas também da qualidade do código dos aplicativos de terceiros integrados a ele. Um hardware wallet não é uma solução imune por definição — ele é tão seguro quanto o software que roda sobre sua infraestrutura.
A situação da Zilliqa também evidencia um padrão recorrente no ecossistema cripto: vulnerabilidades em integrações com carteiras físicas raramente são descobertas antes de um incidente real. A comunidade de segurança tem cobrado maior rigor nos processos de revisão de código antes que aplicativos sejam disponibilizados em plataformas como o Ledger Live.
Usuários que mantêm ZIL em carteiras Ledger são aconselhados, pela própria equipe do projeto, a acompanhar os canais oficiais da Zilliqa para orientações sobre migração de fundos e atualizações do aplicativo. Até a publicação desta reportagem, não havia confirmação sobre um patch disponível ou prazo para correção.
📰 Fonte
As informações desta reportagem foram apuradas com base na cobertura do portal Livecoins e nos comunicados oficiais da equipe da Zilliqa. O KriptoHoje não teve acesso independente ao código-fonte do aplicativo vulnerável.
Para entender como golpes sofisticados exploram brechas técnicas e de engenharia social no ecossistema cripto, leia também nosso guia completo de criptomoedas.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Sua hardware wallet veio de uma fonte confiável?
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🛡️ Chave privada: o que é e como proteger a suaA chave privada é o ativo mais sensível de qualquer carteira cripto. Saiba como mantê-la segura.
⚡ Exploits em cripto: como funcionam os principais vetores de ataqueDe vulnerabilidades em contratos inteligentes a falhas em aplicativos de carteira: conheça os riscos.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.