Hacker vaza dados da Ledger e levanta debate sobre segurança de hardware wallets

A custódia de criptoativos é uma das questões mais delicadas — e complexas — deste mercado. No último domingo (20), o debate voltou à tona com o vazamento de dados de milhares de usuários da Ledger, hardware wallet (carteira física, semelhante a um pen drive) que sempre foi considerada uma das formas mais seguras de guardar os ativos digitais.

Apesar de não ter acesso aos dados das carteiras propriamente ditas, como chaves privadas ou outros dados de acesso, o hacker por trás da ação divulgou informações confidenciais privadas que estavam armazenadas online. Foram vazados mais de 1 milhão de endereços de email registrados na newsletter da Ledger, além de dados pessoais de mais de 272 mil pessoas que compraram uma carteira Ledger recentemente, incluindo emails, endereços físicos, números de telefone e outras informações.

As carteiras físicas de criptoativos, que têm na Ledger e na Trezor suas duas principais marcas, sempre foram apontadas como a opção mais segura porque, diferentemente das wallets online e das exchanges, não podem ser invadidas ou fechadas. É, segundo especialistas, uma das únicas formas de realmente ter a posse dos próprios criptoativos, sem depender de terceiros.

• Quer entender como funciona o mercado de criptoativos? Conheça a EXAME Research!

O hack do último final de semana não coloca diretamente em risco os ativos de quem usa hardware wallets Ledger, mas pode se tornar um problema à medida que os usuários poderão sofrer tentativas de golpes, como phishing (emails e sites falsos que se passam pela empresa e roubam dados de acesso).

"Este vazamento representa um grande risco para as pessoas afetadas por ele", disse Alon Gal, da empresa de segurança de rede Hudson Rock, primeiro a divulgar o vazamento. "Indivíduos que compraram na Ledger tendem a ter um alto valor líquido em criptomoedas e agora estarão sujeitos a assédios cibernéticos e físicos em uma escala maior do que antes".

Depois da notícia do hack, muitos usuários da Ledger relataram, nas redes sociais, ter sido alvos de tentativas de phishing. Alguns afirmaram ter recebido emails bastante convincentes que solicitavam atualização do software da carteira.

Em comunicado, a Ledger afirmou: "Estamos trabalhando continuamente com a aplicação da lei para processar hackers e impedir esses golpistas. Retiramos do ar mais de 170 sites de phishing desde a violação original", disse a empresa, em referência a um ataque sofrido em junho, no qual a companhia acredita que os dados vazados no último fim de semana foram obtidos.

A companhia também ressaltou a importância de nunca compartilhar as palavras da frase de recuperação com ninguém, reforçando que esse tipo de informação nunca é solicitada pela empresa, e informando que a Ledger não entra em contato com seus usuários por mensagem de texto ou telefonemas.

O vazamento de dados, claro, não significa que as hardware wallets são inseguras, ao contrário: esta ainda é a forma mais eficiente de fazer a custódia dos seus criptoativos. No entanto, o acontecimento deixa claro que mesmo elas exigem atenção e cuidados por parte de seus usuários.

Apesar do hack não afetar diretamente os ativos dos usuários, e mesmo diante do problema se manter como uma opção de custódia segura, as hardware wallets enfrentam resistência especialmente dos pequenos investidores, já que seu custo é relativamente alto, com modelos básicos a partir de 250 reais. Além disso, se forem perdidas, não há como recuperar os fundos, que são armazenados no próprio equipamento.