O CEO da Ledger afirma que toda a gente é vítima de pirataria informática!

O CEO da Ledger, Pascal Gauthier, esteve no programa Bloomberg Crypto a 10 de novembro e afirmou que toda a gente acabará por ser vítima de um ataque informático em algum momento. Acrescentou que o mesmo se aplica à Ledger e que o panorama das ameaças se agrava a cada ano que passa.

É uma afirmação válida, enquanto constatação de facto. Mas soa um pouco menos bem vinda de alguém cuja empresa vende um dispositivo concebido para transmitir exatamente o contrário. O Crypto X reparou nisso em poucas horas.

A questão por trás da resposta

Os apresentadores Isabelle Lee e Tim Stenovec perguntaram como é que a Ledger pode tranquilizar os clientes após o que aconteceu em outubro. Tinham razão. A 9 de outubro, os utilizadores que compraram dispositivos Ledger através da CryptoBilis, um revendedor autorizado que abrange a Malásia, a Indonésia e as Filipinas, começaram a relatar carteiras esvaziadas. O Apoio ao Cliente da Ledger aconselhou os compradores desse revendedor a não configurarem os seus dispositivos. Um dia depois, confirmou que pelo menos uma unidade afetada continha um implante de hardware não autorizado.

Segundo a Ledger, o implante copiava frases de recuperação e enviava-as através de uma ligação móvel. O próprio Secure Element não foi comprometido. Portanto, o chip cumpriu a sua função. Tudo o resto à sua volta, não.

As estimativas de prejuízo variam. A Bitquery contabilizou cerca de 102 milhões de dólares em 324 carteiras na sua atualização de 12 de outubro, enquanto outros rastreadores apontaram valores entre 72 milhões e 93 milhões de dólares. Gauthier referiu cerca de 90 milhões de dólares na Bloomberg. A Tether congelou cerca de 10 milhões de dólares em USDT, e parte do ETH roubado passou pelo Tornado Cash.

A defesa dos 0,01%

O argumento de Gauthier baseou-se numa proporção. 90 milhões de dólares, argumentou ele, representam cerca de 0,01% do que a Ledger protege, e estão muito abaixo dos cerca de 6 mil milhões de dólares perdidos na violação da Binance. O BTC-ECHO estima que o ataque de 29 de outubro tenha envolvido 6,4 mil milhões de dólares e afirma que o FBI o atribui a atacantes norte-coreanos. Outros meios de comunicação referem 6,3 mil milhões de dólares. Seja como for, não é um valor insignificante.

Ele também afirmou que as plataformas centralizadas são o alvo mais importante, porque concentram tantas criptomoedas num único local, citando a FTX e a Bybit. De acordo com o resumo da Wu Blockchain, acrescentou que o mercado ainda precisa dos bancos e da Binance. Numa perspetiva mais ampla, estimou os roubos de criptomoedas em cerca de 9 mil milhões de dólares no ano passado e em aproximadamente 12 mil milhões de dólares até agora em 2026, com os ataques assistidos por IA e, eventualmente, a computação quântica a tornarem a situação mais difícil.

Uma ressalva quanto aos cálculos. À primeira vista, 0,01% implica que a Ledger protege cerca de 900 mil milhões de dólares, e esse denominador é uma estimativa da própria Ledger. Ninguém verificou este valor de forma independente.

A cronologia

A publicação da BeInCrypto chamou a atenção de muitas pessoas, e as respostas não foram nada gentis. Um utilizador, 0xdxve, perguntou por que razão alguém se daria ao trabalho de guardar moedas num Ledger se, de qualquer forma, toda a gente acaba por ser alvo de pirataria. Bert considerou estranho que o CEO de uma carteira de hardware dissesse tal coisa. Jeremy afirmou que apostaria fortemente contra a Ledger se esta fosse uma empresa cotada em bolsa. StarPlatinum salientou que todo o negócio da Ledger assenta num dispositivo concebido para impedir ataques informáticos.

Compreendo a indignação. Também acho que grande parte dela não tem em conta o que realmente aconteceu. Não se tratou de uma falha do chip de segurança. Foi uma falha na cadeia de abastecimento a montante do cliente, que é o tipo de ataque ao processo que Gauthier referiu, ainda em 2019, ser responsável pela maioria dos ataques a criptomoedas, de acordo com uma entrevista antiga à Breaker. Ele foi coerente. Apenas escolheu uma semana complicada para ser coerente.

O que a Ledger não detectou a tempo

A questão mais difícil é a rapidez. O antigo CEO da Mt. Gox, Mark Karpelès, publicou fotos de um dispositivo de espionagem implantado num Nano X a 16 de setembro, semanas antes do primeiro aviso público da Ledger. Mais tarde, ele e Gauthier trocaram farpas publicamente sobre o assunto, segundo o BTC-ECHO.

Depois, a notícia espalhou-se. Um cliente alemão que comprou um Nano X na MediaMarkt também comunicou a presença de um dispositivo espião, e outro comprador, Johannes, afirmou que uma segunda unidade, proveniente de uma loja diferente da mesma cadeia, também o tinha. A MediaMarktSaturn suspendeu as vendas da Ledger em 11 países a 13 de outubro. A Ledger afirma que não foram confirmadas perdas fora do Sudeste Asiático, e o The Block noticiou que não se verificaram perdas de fundos no caso alemão. A Trezor afirmou posteriormente ter encontrado um dispositivo adulterado proveniente do mesmo revendedor da CryptoBilis, de acordo com o 24/7 Wall St.

O que a Ledger vai lançar a seguir

Gauthier dedicou boa parte da entrevista ao Ledger Atom, um telemóvel seguro com um ecrã fiável. Afirmou que a empresa o lançou enquanto estava sob ataque. As entregas estão previstas para julho de 2027, de acordo com a reportagem da Incrypted. A Ledger não revelou quando as vendas na MediaMarkt Saturn serão retomadas.