Ledger Nano S+ falsificado drena carteiras em 20 blockchains

Um pesquisador de segurança com base no Brasil expõe uma operação falsificada do Ledger Nano S+ usando firmware malicioso e aplicativos falsos para drenar carteiras em 20 blockchains.

Um pesquisador de segurança com sede no Brasil revelou uma das operações de falsificação do Ledger Nano S+ mais sofisticadas já documentadas. O dispositivo falso, adquirido em um mercado chinês, continha firmware malicioso personalizado e um aplicativo clonado. O atacante imediatamente roubou todas as frases-semente que os usuários inseriram.

O pesquisador comprou o dispositivo suspeitando de irregularidades de preço. Ao abri-lo, a natureza falsificada ficou óbvia. Em vez de descartá-lo, foi realizado um desmontagem completa.

O que estava escondido dentro do chip

O Ledger Nano S+ original usa um chip de Elemento Seguro ST33. Este dispositivo tinha um ESP32-S3. As marcações do chip foram fisicamente lixadas para impedir a identificação. O firmware se identificava como “Ledger Nano S+ V2.1” — uma versão que não existe.

Investigadores encontraram frases-semente e PINs armazenados em texto simples após realizar um despejo de memória. O firmware se comunicava com um servidor de comando e controle em kkkhhhnnn[.]com. Qualquer frase-semente inserida neste hardware era exfiltrada instantaneamente.

O dispositivo suporta aproximadamente 20 blockchains para drenagem de carteiras. Isso não é uma operação menor.

Cinco vetores de ataque, não um

O vendedor enviou um aplicativo “Ledger Live” modificado junto com o dispositivo. Os desenvolvedores criaram o app com React Native usando Hermes v96 e assinaram com um certificado de depuração Android. Os atacantes não se preocuparam em obter uma assinatura legítima.

O aplicativo se conecta ao XState para interceptar comandos APDU. Usa requisições XHR furtivas para extrair dados silenciosamente. Investigadores identificaram dois servidores adicionais de comando e controle: s6s7smdxyzbsd7d7nsrx[.]icu e ysknfr[.]cn.

Isso não se limita ao Android. A mesma operação distribui um arquivo .EXE para Windows e um .DMG para macOS, semelhantes às campanhas rastreadas pelo Moonlock sob AMOS/JandiInstaller. Uma versão para iOS TestFlight também circula, contornando completamente a revisão da App Store — uma tática anteriormente ligada a golpes CryptoRom. No total, cinco vetores: hardware, Android, Windows, macOS, iOS.

A verificação de autenticidade não pode te salvar aqui

A orientação oficial da Ledger confirma que dispositivos genuínos carregam uma chave criptográfica secreta definida durante a fabricação. A Verificação de Autenticidade Ledger no Ledger Wallet verifica essa chave toda vez que um dispositivo se conecta. Segundo a documentação de suporte da Ledger, apenas um dispositivo genuíno pode passar nessa verificação.

O problema é simples. Uma violação durante a fabricação torna qualquer verificação de software inútil. O firmware malicioso imita o comportamento esperado o suficiente para passar pelas verificações básicas. O pesquisador confirmou isso diretamente na desmontagem.

Ataques anteriores na cadeia de suprimentos direcionados aos usuários da Ledger mostraram repetidamente que a verificação apenas na embalagem é insuficiente. Casos documentados no BitcoinTalk relatam usuários individuais perdendo mais de US$200.000 para carteiras de hardware falsificadas de mercados de terceiros.

Onde esses dispositivos estão sendo vendidos

Os marketplaces de terceiros são o principal canal de distribuição. Vendedores de terceiros na Amazon, eBay, Mercado Livre, JD e AliExpress têm históricos documentados de listar carteiras de hardware comprometidas, observou o pesquisador no post do Reddit no r/ledgerwallet.

O preço é deliberadamente suspeito. Essa é a isca. Uma fonte não oficial não oferece uma Ledger com desconto — ela vende um produto comprometido para beneficiar o atacante.

Os canais oficiais da Ledger são seu próprio site de comércio eletrônico em Ledger.com e lojas verificadas na Amazon em 18 países. Em nenhum outro lugar há garantia de autenticidade.

O que o pesquisador fará a seguir

A equipe preparou um relatório técnico abrangente para a equipe do Donjon da Ledger e seu programa de recompensas por phishing, e divulgará a análise completa após a conclusão da análise interna da Ledger.

O pesquisador disponibilizou IOCs (Indicadores de Comprometimento) para outros profissionais de segurança por mensagens diretas. Qualquer pessoa que tenha comprado um dispositivo de uma fonte duvidosa pode entrar em contato para assistência na identificação.

Os sinais vermelhos principais permanecem simples. Uma frase-semente pré-gerada incluída com o dispositivo é uma fraude. Documentação pedindo aos usuários que digitem uma frase-semente em um aplicativo também é uma fraude. Destrua o dispositivo imediatamente em qualquer caso.