Em 13 de outubro de 2026, a Ledger vinculou roubos superiores a US$ 86 milhões envolvendo centenas de carteiras de hardware a dispositivos vendidos pela CryptoBilis, sua revendedora autorizada na Malásia. A Ledger confirmou um implante não autorizado em um dispositivo afetado; ela não estabeleceu onde o implante foi inserido.
Principais conclusões
- A Ledger vinculou roubos superiores a US$ 86 milhões a centenas de carteiras vendidas pela revendedora autorizada malaia CryptoBilis em 13 de outubro de 2026.
- A ZERO DAY informou que frases-semente roubadas por implantes foram usadas para sequestrar mais de 300 contas no incidente Ledger-CryptoBilis.
- Uma versão defeituosa do firmware da Coldcard foi associada à retirada de mais de 1.000 bitcoin de 1.196 carteiras em uma janela de 41 minutos em agosto de 2026.
- A Block abriu pré-vendas da Bitkey em mais de 95 países em 2023.
- A Ledger Stax foi fabricada pela Foxconn em 2022.
Um vendedor autorizado pode entregar um dispositivo não verificado
A ZERO DAY informou que implantes roubaram frases-semente usadas para sequestrar mais de 300 contas e estimou o roubo em cerca de US$ 100 milhões. Sua estimativa e o valor da Ledger descrevem o mesmo incidente, não duas perdas a serem somadas.
A autorização da CryptoBilis deu aos clientes um motivo legítimo para aceitar a venda. Ela não estabelece quando nem onde um dispositivo afetado foi alterado. A Ledger disse que o volume de dispositivos impactados foi limitado; sua confirmação de um implante não estabelece o número de unidades comprometidas. Duas fontes publicaram três artigos sobre a CryptoBilis entre 12 e 14 de outubro de 2026; nenhuma reconstrói a custódia do estoque. Nenhum termo de revenda, registro de auditoria ou conclusão forense fornecido estabelece que a CryptoBilis violou um requisito de manuseio ou identifica quem inseriu o implante.
Uma lista de revendedores responde quem pode vender uma carteira. Sem uma verificação vinculada à unidade individual, ela não pode dizer ao comprador se aquela carteira ainda corresponde ao que o fabricante aprovou. A custódia do estoque e a verificação pelo comprador importam mesmo enquanto a responsabilidade por este incidente permanece sem resolução.
Outras falhas de carteiras identificam pontos de controle diferentes
A integridade do hardware nunca pôde ser reduzida a um logotipo. Em 2022, o pesquisador Joe Grand usou injeção de falhas contra uma Trezor One sob sua posse física para recuperar chaves de proprietários que haviam perdido seu PIN. Foi um ataque a um dispositivo que já estava em mãos, não uma evidência de adulteração antes da venda. Isso mostra por que a implementação e as condições físicas importam junto com o projeto de um chip de segurança.
O software introduz testes separados. Em agosto de 2026, uma versão defeituosa do firmware da Coldcard foi associada à retirada de mais de 1.000 bitcoin de 1.196 carteiras em uma janela de 41 minutos. Naquele abril, um clone malicioso do Ledger Live na App Store da Apple pareceu retirar mais de US$ 9,5 milhões de mais de 50 vítimas em uma semana. Um aplicativo falso da Trezor com avaliação de cinco estrelas na App Store havia sido implicado no roubo de cerca de US$ 600.000 em bitcoin em 2021. A versão da Coldcard e os clones de aplicativos não provam uma falha comum na cadeia de suprimentos com a CryptoBilis. Eles mostram por que um comprador precisa de meios distintos para estabelecer qual firmware foi instalado e qual software está pedindo que ele use a carteira.
Uma distribuição mais ampla dá ao fabricante mais transferências de custódia para contabilizar
A Stax da Ledger foi fabricada pela Foxconn em 2022, antes de qualquer venda no varejo. Em 2023, a Block abriu pré-vendas da Bitkey em mais de 95 países. Nenhum dos dois fatos conecta a Foxconn ou a Bitkey ao incidente da CryptoBilis. Juntos, eles descrevem a forma comercial da autocustódia em hardware: produção especializada e amplo alcance no varejo exigem que um fabricante mantenha garantias entre organizações e ao longo da distância.
Isso difere de compras de drones restritas pela origem, que podem excluir uma classe de produtos antes da venda. Um revendedor autorizado de carteiras pode ser aprovado enquanto uma unidade específica permanece em questão. À medida que fornecedores acrescentam rotas até os compradores, verificar cada unidade se torna mais consequente do que publicar uma lista mais longa de vendedores aprovados.
Uma verificação de procedência deve cobrir o que o atacante pode alterar
Um fabricante poderia vincular uma identidade de dispositivo ao hardware que aprova, permitir que um comprador verifique essa identidade no recebimento e na configuração, e conectar verificações posteriores de firmware à mesma unidade. Também precisaria de uma forma confiável de direcionar compradores ao software complementar genuíno. As reportagens citadas não estabelecem que algum fabricante de carteiras ofereça essa cadeia completa.
Perguntas frequentes
Quais modelos de carteiras Ledger foram afetados pelos roubos ligados à CryptoBilis?
As reportagens fornecidas não identificam os modelos Ledger afetados. Elas descrevem centenas de carteiras vendidas pela CryptoBilis e confirmam um implante em um dispositivo.
Algum outro revendedor da Ledger foi publicamente ligado ao incidente?
Nenhum outro revendedor é citado nas evidências fornecidas. Os dispositivos afetados relatados foram vendidos pela CryptoBilis, uma revendedora autorizada malaia.
Foi anunciado um recall, programa de substituição ou plano de reparação aos clientes?
As evidências fornecidas não descrevem um recall, programa de substituição ou plano específico de reparação. Elas se concentram na confirmação pela Ledger de um implante e no ponto ainda não resolvido em que ele foi inserido.
Quais criptomoedas foram levadas no roubo Ledger-CryptoBilis?
As evidências fornecem estimativas de perdas em dólares, mas não apresentam uma divisão por ativo. Elas se referem de forma ampla a roubos de criptomoedas e frases-semente roubadas.
Os investigadores revelaram como o implante confirmado foi detectado?
Nenhum método de detecção ou procedimento forense é descrito nas reportagens fornecidas. A Ledger confirmou um implante não autorizado em um dispositivo, mas as evidências não dizem como ele foi encontrado.
Incidentes reportados de segurança de carteiras por ponto de controle
| Incidente | Quando | Ponto de controle implicado | Impacto reportado |
|---|---|---|---|
| Aplicativo falso da Trezor | 2021 | Software complementar | Cerca de US$ 600.000 em bitcoin roubados |
| Clone malicioso do Ledger Live | Abril de 2026 | Software complementar | Mais de US$ 9,5 milhões retirados de mais de 50 vítimas em uma semana |
| Versão defeituosa do firmware da Coldcard | Agosto de 2026 | Firmware | Mais de 1.000 bitcoin retirados de 1.196 carteiras em 41 minutos |
| Carteiras Ledger vendidas pela CryptoBilis | 13 de outubro de 2026 | Dispositivo físico / distribuição | Mais de US$ 86 milhões roubados de centenas de carteiras |
Uma assinatura que prove que um chip de segurança é genuíno não provaria, por si só, que outro componente não pode observar uma frase-semente durante a configuração. Se uma verificação mede apenas o chip, um componente adicionado pode permanecer fora de sua resposta. Para a carteira que um cliente recebe de um revendedor autorizado, o fabricante precisa distinguir sua configuração aprovada dessa configuração com um implante. Caso contrário, o comprador pode verificar um componente e deixar passar a alteração que a Ledger encontrou em um dispositivo.