Um pesquisador de segurança lá do Brasil, que usa o nome de Past_Computer2901 no Reddit, tá achando que topou com um esquema danado de falsificação de carteira física da Ledger. E num é só pra roubar criptomoeda não, viu? O trem ainda consegue infectar sistema Android, Windows, macOS e até iOS.
O estudo dele acabou se espalhando que nem notícia boa em rede social, com um monte de gente republicando e comentando por aí.
E ó, nessa mesma semana, apareceu mais golpe: uns malandro fizeram mais de 50 vítimas distribuindo uma versão falsa da carteira da Ledger dentro da App Store da Apple. Apesar de cada ataque ser de um jeito diferente, o alvo é tudo o mesmo povo.
O brasileiro lá também resolveu documentar tudim direitinho. Já fez três postagens no Reddit e disse que até entrou em contato com o pessoal da Ledger pra avisar do problema.
No primeiro relato, que ele soltou na quarta-feira (15), o caboclo contou que comprou uma tal de “Ledger Nano S” num marketplace chinês. Só que quando o trem chegou, já viu que tinha coisa errada.
Segundo ele, o preço tava meio esquisito e a embalagem até enganava de longe, mas na hora de abrir ficou claro que era falsificação. Em vez de jogar fora, ele resolveu abrir o bichim pra ver o que tinha dentro.
Fuçando lá, descobriu que o chip original foi trocado por outro, um tal de ESP32-S3, e ainda lixaram as marcações pra dificultar de identificar. Trem bem armado, viu.
Uai, continua que o trem vai ficando mais feio ainda, viu:
O firmware que aparecia no aparelho vinha com o nome de “Ledger Nano S+ V2.1”, só que essa versão aí nem existe, uai.
A parte mais cabulosa é que as frases semente — aquelas 12 ou 24 palavrinhas — ficavam salvas em texto puro, sem proteção nenhuma, e depois eram mandadas direto pra um servidor dos hackers, desses de comando e controle.
E num para por aí não: além de roubar as criptomoedas, essa carteira falsa ainda distribuía arquivo malicioso — um .exe pra Windows ou um .dmg pra macOS, e até esquema usando TestFlight no iOS pra passar batido pela revisão da App Store. Trem bem arquitetado, sô.
Segundo o pesquisador, “nós tamo lidando com cinco frentes diferentes: hardware, Android, Windows, macOS e iOS”. Ou seja, o golpe é bem espalhado.
Depois que a primeira postagem dele deu um tantão de comentário — quase 100 — o caboclo voltou na quinta-feira (16) pra explicar melhor umas partes que o povo ficou na dúvida.
Ele contou, por exemplo, que o tal do Genuine Check do Ledger Live até consegue perceber que a carteira é falsa.
Mas aí que tá o pulo do gato: dentro da caixa vem um cartão com QR code que leva a pessoa pra um site falso da Ledger. Aí pronto, já viu, né?
“É aí que tá o golpe. O usuário nem chega a entrar no site verdadeiro”, explicou ele. E o pior: o programa falsificado ainda faz parecer que a carteira falsa tá tudo certinha.
Mostrando mais fotos, o pesquisador também revelou que tanto o PIN quanto as palavras-chave que dão acesso ao dinheiro ficam guardados em texto puro. Um descuido danado — ou melhor, golpe bem planejado mesmo.
Uai, ele terminou dando aquele recado direto, sem rodeio:
“Baixem o Ledger Live só pelo site oficial, o ledger.com. Comprem o aparelho só por lá também. E se o dispositivo falhar naquele tal de Genuine Check, pode parar de usar na hora”, avisou.
Brasileiro responde as críticas
A segunda postagem dele rendeu mais um tanto de comentário, viu. Fora isso, a investigação se espalhou por outras redes, tipo no X, com o povo compartilhando pra todo lado.
Por causa disso, o pesquisador voltou na sexta-feira (17) com uma terceira publicação pra responder umas críticas que apareceram.
“Eu comprei pra usar de verdade”, explicou o Past_Computer2901, depois que teve gente dizendo que ele já sabia que era falsificado.
Ele contou que tá na China e que conseguir uma Ledger oficial por lá não é tão simples assim não. Importar, principalmente não sendo cidadão chinês, dá uma dor de cabeça danada.
“O anúncio tava com o mesmo preço da loja oficial, parecia tudo certo. Eu até tinha uma desconfiança lá no fundo? Tinha sim — por isso pensei em conferir direitinho antes de colocar dinheiro de verdade. Mas minha ideia era usar, não sair desmontando”, escreveu.
Indo mais a fundo, ele disse que até é fácil perceber uma carteira falsa quando você tem uma original do lado pra comparar. Só que, segundo ele, muita gente — principalmente quem tá começando — nem repara nesses detalhes.
“Agora pega aquele trem falso sozinho, novinho, saído da caixa com embalagem caprichada… eu te garanto que a maioria vai achar que é verdadeiro. E é aí que mora o perigo. O alvo não é quem já conhece e sabe o que olhar. É quem tá comprando a primeira carteira.”
Pra fechar, o brasileiro disse que ainda pretende comprar outros modelos dessa mesma loja pra ver até onde vai esse esquema de falsificação. Ele quer até fazer algumas transferências pra acompanhar como acontece o roubo.
“Vou documentar tudo direitinho pra montar um relatório formal pra equipe de segurança da Ledger”, finalizou.$XRP ,$USDC ,$USD1