Implante espião em carteiras Ledger e como proteger suas criptomoedas

13/10/2026

Última atualização: 13 de outubro de 2026

No início de outubro, mais de $86 milhões foram roubados de carteiras de hardware Ledger. A Ledger confirmou que o dispositivo de pelo menos uma vítima continha um implante de hardware não autorizado: uma pequena placa que captura a frase de recuperação e a envia aos atacantes.

Todos os casos confirmados envolvem a CryptoBilis, uma revendedora autorizada da Ledger no Sudeste Asiático. A Ledger afirma que sua infraestrutura e suas vendas diretas não foram afetadas. No entanto, softwares não conseguem detectar implantes como esse, e pesquisadores independentes já estão encontrando esses implantes fora da Ásia.

A PassimPay é um gateway de pagamentos em criptomoedas para empresas. Muitas empresas B2B do nosso mercado mantêm receitas e reservas em carteiras de hardware Ledger, assim como em dispositivos Trezor, Tangem e de outras marcas. Por isso, decidimos compartilhar esta notícia. A seguir, apresentamos os fatos verificados e medidas práticas para ajudar você a avaliar rapidamente o risco para seus ativos.

Cronologia

9 de outubro. O analista on-chain Specter rastreou mais de $86 milhões retirados de centenas de carteiras nas redes Bitcoin, Ethereum e TRON. No mesmo dia, a Ledger iniciou uma investigação e pediu à CryptoBilis que interrompesse as vendas e os envios.
10 de outubro. A Ledger confirmou a presença de um implante no dispositivo de uma vítima e afirmou que estava trabalhando com as autoridades policiais. A CryptoBilis suspendeu as vendas de todas as carteiras de hardware.
11 de outubro. A Ledger descreveu o número de dispositivos afetados como "limitado" e orientou os revendedores a adquirir estoque apenas por canais autorizados e a nunca revender dispositivos devolvidos.
12 de outubro. Analistas da Bitquery estimaram as perdas em cerca de $93 milhões de 315 carteiras em seis redes. A Tether congelou cerca de 10 milhões de USDT. A Ledger não confirmou esses números.
13 de outubro. A equipe de segurança da Ledger, Ledger Donjon, publicou sua análise do ataque e confirmou como o implante funciona. A Ledger afirmou que não verificou nenhum esvaziamento de carteira vinculado a um dispositivo comprado de um vendedor que não fosse a CryptoBilis. O número total de vítimas e o prejuízo total ainda não foram confirmados: segundo a Ledger, os números que circulam na internet vêm de terceiros.

Como o implante funciona

O implante lê a frase de recuperação na tela durante a configuração da carteira. Mark Karpelès, que abriu um dispositivo Ledger lacrado comprado na Malásia, e pesquisadores da Tibane Labs foram os primeiros a descrever seu funcionamento. Em 13 de outubro, a equipe de segurança da Ledger, Ledger Donjon, confirmou o mecanismo:

Uma placa separada com um microcontrolador, um módulo LTE, um eSIM e uma antena fica sob a tela, no local normalmente ocupado pelo acolchoamento do visor.
Quando o dispositivo exibe as 24 palavras, a placa lê a tela e armazena a frase de recuperação.
A frase é enviada aos atacantes pela rede móvel, e eles restauram a carteira em seu próprio dispositivo. Depois disso, não precisam mais da carteira de hardware.

O chip Secure Element permanece original, então a carteira passa pela verificação de autenticidade Genuine Check da Ledger. A própria Ledger afirma que essa verificação não consegue detectar implantes adicionados. A única maneira de encontrar a placa é abrir a carcaça. Segundo a Ledger Donjon, o implante não modifica o Secure Element nem o sistema operacional da Ledger, e não altera transações ou assinaturas. Sua única função é roubar a frase.

Foram encontrados implantes tanto no Ledger Stax quanto no Nano X, e esse Stax foi comprado da CryptoBilis. Um usuário na Alemanha relatou dois dispositivos Ledger comprometidos, adquiridos em lojas MediaMarkt diferentes, e enviou um deles à Ledger para análise. A Ledger ainda não confirmou os casos europeus, mas afirma que está analisando relatos de implantes em outros dispositivos e locais.

Recomendações de segurança

A maneira mais segura de se proteger é transferir seus ativos para outro endereço com uma nova frase de recuperação, pelo menos por enquanto. O implante rouba a própria frase. Alterar seu PIN ou atualizar o firmware não vai ajudar: se a frase vazou, os atacantes já têm acesso.

Transfira seus ativos para outro lugar se sua carteira não foi comprada diretamente do fabricante. Use uma nova carteira com uma nova frase de recuperação gerada em um dispositivo em que você confia. Não se baseie apenas na janela dos "últimos 90 dias" mencionada na orientação da Ledger. Segundo a Bitquery, mais de 80% das carteiras esvaziadas receberam fundos pela primeira vez em junho ou depois, portanto compras anteriores também podem estar em risco.
Não configure um novo dispositivo da CryptoBilis ou de outro vendedor terceirizado enquanto a investigação estiver em andamento. Não insira nem restaure nenhuma frase de recuperação em um dispositivo desse tipo. Compre novas carteiras apenas no site oficial do fabricante.
Distribua o risco. Grandes quantias ficam mais seguras em uma carteira com múltiplas assinaturas que exige vários dispositivos para assinar uma transação. Se um dispositivo for comprometido, o atacante ainda assim não poderá movimentar os fundos.
Cuidado com o phishing. Golpistas já estão se aproveitando do incidente. A Ledger nunca liga, nunca envia mensagens diretas e nunca pede sua frase de recuperação. O suporte funciona apenas por meio de support.ledger.com.
Se você já perdeu fundos, entre em contato com o suporte da Ledger e registre um boletim de ocorrência. Não envie o dispositivo a ninguém nem o abra antes de falar com o suporte da Ledger ou com a polícia.

Alguns proprietários estão agora pesando suas carteiras e comparando o resultado com o peso de fábrica para detectar uma placa adicional sem abrir o dispositivo. Isso não é garantia. Em uma versão do implante, os invasores colocaram uma bateria menor, de modo que o peso pode continuar igual.

Se você não comprou na CryptoBilis e quer inspecionar o interior da sua carteira, a Ledger publicou um guia para abrir o dispositivo. Certifique-se primeiro de ter uma cópia de segurança da sua frase-semente, pois abrir o dispositivo pode danificá-lo.

O que isso significa para as empresas

A segurança das criptomoedas depende tanto de como sua carteira chegou até você quanto de qual carteira você escolheu. Mesmo um vendedor autorizado não pode garantir que ninguém abriu o dispositivo durante o trajeto.

Por isso, verifique onde sua equipe comprou as carteiras e não mantenha todas as suas reservas em um único dispositivo. Essas são práticas de segurança padrão que todos devem seguir, por mais confiável que seja uma carteira ou um serviço. A regra de ouro para quaisquer ativos se aplica aqui: não coloque todos os ovos na mesma cesta.

A PassimPay ajuda empresas a aceitar pagamentos em criptomoedas e manter seus ativos seguros. Também já ajudamos nossos comerciantes a proteger seus fundos mais de uma vez quando seus serviços sofreram ataques de hackers. Se quiser conversar sobre como aceitar pagamentos em criptomoedas e gerenciar as receitas da sua empresa com segurança - entre em contato conosco.

Perguntas frequentes

A própria Ledger foi hackeada?

Não há evidências disso. A Ledger afirma que seus sistemas e suas vendas diretas não foram comprometidos. Os implantes foram adicionados aos dispositivos durante o trajeto até os compradores.

Apenas a Ledger Nano X está em risco?

Não. Um implante também foi encontrado em uma Ledger Stax, o modelo premium da empresa, comprada na CryptoBilis.

Isso afeta apenas a Ásia?

Todos os casos confirmados pela Ledger envolvem a CryptoBilis, uma revendedora na Indonésia, na Malásia e nas Filipinas. No entanto, um usuário na Alemanha relatou dois dispositivos com implantes comprados na MediaMarkt, e a Ledger afirma que está analisando relatos de implantes em outros locais.

Comprei minha Ledger no site oficial. Preciso fazer alguma coisa?

A Ledger afirma que os dispositivos vendidos diretamente não foram afetados. As medidas urgentes se aplicam a quem comprou por meio de revendedores, marketplaces ou de segunda mão.

Isso afeta outras marcas?

Até agora, implantes só foram encontrados em dispositivos Ledger. A CryptoBilis também vendia carteiras de outros fabricantes, incluindo a Trezor, então seus proprietários podem considerar transferir seus ativos para uma nova frase-semente.

Posso verificar minha carteira sem abri-la?

Não há uma maneira confiável. Pesar o dispositivo pode revelar um sinal de alerta, mas não comprova que ele esteja livre de implantes. A melhor opção é criar uma nova frase-semente em um dispositivo no qual você confia.

Devo parar completamente de usar carteiras de hardware?

Não. O ataque ocorreu na cadeia de suprimentos. Uma carteira de hardware comprada diretamente do fabricante continua sendo uma das formas mais seguras de armazenar criptomoedas, especialmente quando combinada com múltiplas assinaturas.

Uma empresa pode aceitar criptomoedas diretamente em uma carteira Ledger?

Sim. Você pode fornecer o endereço da sua carteira a um cliente e receber a transferência. Mas a conciliação de pagamentos com pedidos, as notificações de status de pagamento, os relatórios e as verificações de risco das transações são recursos que a empresa terá de configurar separadamente.

Qual é a diferença entre a PassimPay e a Ledger?

A Ledger ajuda você a controlar suas chaves e assinar transações pela sua carteira. A PassimPay ajuda empresas a aceitar e processar pagamentos de clientes por meio de checkout, faturas, uma API e outras ferramentas de pagamento. Elas atendem a diferentes partes do processo e podem ser usadas em conjunto.

Um cliente pode pagar uma fatura da PassimPay usando uma carteira Ledger?

Sim, desde que a Ledger seja compatível com o ativo e a rede. O cliente envia os fundos para o endereço indicado na fatura. Antes de enviar, deve conferir cuidadosamente a rede, o endereço e o valor.

O que devo fazer se meus fundos já tiverem desaparecido?

Entre em contato com o suporte da Ledger pelo site support.ledger.com e registre um boletim de ocorrência. Não envie o dispositivo a ninguém nem o abra antes de falar com o suporte da Ledger ou com a polícia. Não confie em "serviços de recuperação de criptomoedas" que entrem em contato com você por iniciativa própria.