Módulos LTE ocultos foram encontrados em aparelhos Ledger vendidos por revendedor do Sudeste Asiático
Dispositivos captavam a frase de recuperação de 24 palavras na configuração e a enviavam por ligação celular, permitindo saques remotos enquanto investigações rastreiam fundos.
A Ledger informou que investigações iniciadas após relatos públicos em 9 de outubro encontraram eletrônica não autorizada em unidades vendidas pelo revendedor do Sudeste Asiático CryptoBilis. Esses módulos liam a tela do dispositivo durante a configuração e transmitiam a frase de recuperação por um link LTE/eSIM.
Análises técnicas mostram que os implantes foram colocados ao lado do Secure Element da Ledger, que permanece intacto, de modo que a Genuine Check da empresa ainda pode passar. Ao mesmo tempo, o hardware adicional registrava as 24 palavras da seed e as exfiltrava. Isso permite que atacantes restaurassem e esvaziassem carteiras remotamente.
Firms independentes de análise on‑chain traçaram fluxos suspeitos de roubo na casa de dezenas de milhões de dólares, com estimativas frequentemente citadas entre US$86 milhões e US$91 milhões; a Ledger diz que esses totais ainda não foram verificados, enquanto a polícia e peritos continuam o trabalho forense.
A Chainalysis identificou um operador de um “task scam” que deixou os produtos do golpe em três endereços Ledger que foram esvaziados em 9 de outubro por cerca de 60 BTC, equivalentes a aproximadamente US$4,8–4,9 milhões — um exemplo do uso criminoso de carteiras comprometidas e de roubos secundários.
Revendedores, inclusive o CryptoBilis, interromperam vendas após pedido da Ledger; alguns fornecedores romperam relações. Usuários foram orientados a não inicializar dispositivos comprados do revendedor nos últimos 90 dias e a mover fundos caso já tenham configurado um aparelho, enquanto investigações e congelamentos prosseguem.