Continuam saindo dados sobre o caso dos Ledger manipulados fisicamente e o assunto parece bem mais complexo do que se pensava no início.
Por um lado, a Bitquery atualizou sua análise on-chain e estima que foram roubados cerca de
102 milhões de dólares de 335 wallets, distribuídas entre seis redes (TRON, Bitcoin, Ethereum, Solana, BNB Chain e Polygon).
Segundo a investigação,
a Tether teria conseguido congelar cerca de 10 milhões de USDT e, na data de 16 de outubro, cerca de 81 milhões de dólares ainda podiam ser rastreados on-chain.
Importante: esses
102 milhões não são um número oficial confirmado pela Ledger, e sim uma estimativa da Bitquery acompanhando as wallets e movimentações na blockchain.
Os implantes podem ter aparecido em outros distribuidores
Mark Karpelès, CEO da Karpelès Lab e ex-CEO da Mt. Gox, afirma ter encontrado implantes semelhantes em dispositivos comprados de
outros dois distribuidores autorizados da Ledger, um em Singapura e outro na Alemanha.
Segundo Karpelès, um apareceu em um Ledger Flex comprado na Metapod, no aeroporto de Changi (Singapura), e outro em um Nano X comprado na MediaMarkt na Alemanha.
Ele também afirma que as versões mais recentes do implante parecem bem mais preparadas para serem instaladas em escala, passando de modificações mais artesanais para placas projetadas especificamente para encaixar nos dispositivos.
Isso ainda precisa ser visto com cautela porque
a Ledger não confirmou que esses dispositivos façam parte do mesmo ataque relacionado à CryptoBilis.
Na verdade, a Ledger afirma que enviou equipes à Alemanha, comprou dispositivos diretamente em lojas e analisou também amostras vindas de armazéns, e que
todas as unidades examinadas estavam limpas.
A Ledger sustenta ainda que os roubos que conseguiu relacionar diretamente ao incidente de 9 de outubro correspondem a dispositivos vendidos pela CryptoBilis.
A Ledger já teria recebido avisos meses antes
Esta é provavelmente a novidade mais interessante.
Segundo o Cointelegraph, Karpelès afirma conhecer
pelo menos dois casos em que a Ledger foi avisada sobre dispositivos manipulados desde dezembro de 2025, meses antes dos roubos de outubro.
Além disso, o pesquisador de segurança Joe Grand declarou ao Cointelegraph que em
4 de março de 2026 avisou diretamente a Ledger sobre um implante malicioso encontrado em um Nano X.
Esse dispositivo havia sido comprado na Lazada Tailândia em agosto de 2025.
Segundo Grand, a Ledger reconheceu a descoberta e comunicou que estava investigando internamente. Grand e Karpelès agora questionam por que esses avisos anteriores não resultaram em um alerta público mais amplo aos usuários.
Aqui também há uma nuance importante: o vendedor daquele Nano X aparecia como
“LedgerXXX” na Lazada, e atualmente não consta entre os distribuidores autorizados da Ledger na Tailândia. O Cointelegraph aponta que não está claro qual era exatamente sua condição quando o dispositivo foi comprado.
Portanto, isso
não demonstra que a Ledger sabia que a CryptoBilis estava comprometida nem que conhecia de antemão o roubo que ocorreria em outubro.
O que isso indica é que a Ledger havia recebido informações sobre a existência de dispositivos fisicamente manipulados bem antes de o incidente atual estourar.
Como funcionava o ataque?
O que está confirmado oficialmente pela Ledger é o funcionamento geral do implante analisado no caso CryptoBilis.
Os atacantes compravam dispositivos Ledger autênticos, os abriam, instalavam componentes eletrônicos ocultos e depois os reintroduziam na cadeia de distribuição.
O implante podia interceptar as
24 palavras de recuperação que apareciam na tela durante a configuração e transmiti-las por comunicação móvel/LTE.
Dessa forma, não precisavam quebrar diretamente o Secure Element nem comprometer o Ledger OS ou os servidores da Ledger.
A Ledger insiste que seus chips, sistema operacional e servidores
não foram comprometidos, e descreve o ocorrido como um ataque localizado ao canal de distribuição depois que os dispositivos saíram do seu controle.
Resumindo o que se sabe até agora
- $102 milhões / 335 wallets: estimativa da Bitquery, não é um número oficial confirmado pela Ledger.
- $10 milhões em USDT congelados: segundo o rastreamento da Bitquery.
- CryptoBilis: continua sendo o distribuidor relacionado aos roubos confirmados pela Ledger.
- Singapura e Alemanha: Karpelès afirma ter encontrado implantes em dispositivos vindos de outros distribuidores autorizados, mas a Ledger ainda não os relacionou oficialmente aos roubos.
- Avisos anteriores: Karpelès fala de alertas desde dezembro de 2025 e Joe Grand afirma ter comunicado diretamente à Ledger um Nano X manipulado em 4 de março de 2026.
- Sistemas da Ledger: até agora não há evidências de que o Secure Element, o Ledger OS ou os servidores da empresa tenham sido comprometidos.
Para mim, a pergunta interessante agora é até que ponto a Ledger conhecia o problema dos implantes antes de outubro e se, diante dos avisos anteriores, deveria ter alertado seus usuários antes.
Isso não significa que conhecessem o ataque da CryptoBilis de antemão, mas parece sim que o risco de manipulação física de dispositivos já tinha chegado às mãos deles meses antes.
Fontes:
Ledger — resposta oficial sobre o ataque:
https://support.ledger.com/article/Ledger-s-Response-to-the-Hardware-Implant-Attack
Bitquery — análise on-chain e estimativa de $102M / 335 wallets:
https://www.bitquery.io/investigations/ledger-cryptobilis-hack
Cointelegraph — avisos sobre dispositivos manipulados desde 2025 e comunicação de Joe Grand à Ledger:
https://cointelegraph.es/news/ledger-early-implant-warnings-mark-karpeles
DiarioBitcoin — Karpelès questiona a resposta da Ledger diante dos alertas anteriores:
https://www.diariobitcoin.com/estaf...ledger-ante-alertas-por-implantes-maliciosos/
Unchained — implantes encontrados por Karpelès em dispositivos de outros distribuidores:
https://unchainedcrypto.com/mark-ka...-in-devices-from-2-more-authorized-resellers/
BleepingComputer — investigação do ataque e medidas sobre os distribuidores:
https://www.bleepingcomputer.com/ne...ware-wallet-spy-implant-behind-crypto-thefts/
