Ledger Nano S+ falsificado esgota carteiras em 20 cadeias

Um pesquisador de segurança com base no Brasil expõe uma operação falsificada do Ledger Nano S+ usando firmware malicioso e aplicativos falsificados para esvaziar carteiras em 20 blockchains.

Um pesquisador de segurança brasileiro revelou uma das operações de falsificação do Ledger Nano S+ mais sofisticadas já documentadas. O dispositivo falso, adquirido em um mercado chinês, continha firmware malicioso personalizado e um aplicativo clonado. O atacante imediatamente roubou todas as frases-semente que os usuários inseriram.

O pesquisador comprou o dispositivo suspeitando de irregularidades de preço. Ao abri-lo, a natureza falsificada ficou óbvia. Em vez de descartá-lo, foi realizado um desmontagem completa.

O que estava escondido dentro do chip

O Ledger Nano S+ original usa um chip de Elemento Seguro ST33. Este dispositivo tinha um ESP32-S3 no lugar. As marcações do chip foram fisicamente lixadas para impedir a identificação. O firmware se identificava como “Ledger Nano S+ V2.1” — uma versão que não existe.

Investigadores encontraram frases-semente e PINs armazenados em texto simples após realizar um despejo de memória. O firmware enviava sinais para um servidor de comando e controle em kkkhhhnnn[.]com. Qualquer frase-semente inserida neste hardware era exfiltrada instantaneamente.

O dispositivo suporta aproximadamente 20 blockchains para esvaziar carteiras. Isso não é uma operação menor.

Cinco vetores de ataque, não um

O vendedor embutiu um aplicativo “Ledger Live” modificado com o dispositivo. Os desenvolvedores criaram o app com React Native usando Hermes v96 e assinaram com um certificado de depuração Android. Os atacantes não se preocuparam em obter uma assinatura legítima.

O aplicativo se conecta ao XState para interceptar comandos APDU. Usa requisições stealthy XHR para extrair dados silenciosamente. Investigadores identificaram dois servidores adicionais de comando e controle: s6s7smdxyzbsd7d7nsrx[.]icu e ysknfr[.]cn.

Isso não se limita ao Android. A mesma operação distribui um arquivo .EXE para Windows e um .DMG para macOS, semelhantes às campanhas rastreadas pelo Moonlock sob AMOS/JandiInstaller. Uma versão para iOS TestFlight também circula, contornando completamente a revisão da App Store — uma tática anteriormente ligada a golpes CryptoRom. No total, cinco vetores: hardware, Android, Windows, macOS, iOS.

A verificação de autenticidade não pode salvá-lo aqui

A orientação oficial da Ledger confirma que dispositivos genuínos possuem uma chave criptográfica secreta definida durante a fabricação. A Verificação de Autenticidade Ledger no Ledger Wallet verifica essa chave toda vez que um dispositivo se conecta. Segundo a documentação de suporte da Ledger, apenas um dispositivo genuíno pode passar nessa verificação.

O problema é simples. Uma violação durante a fabricação torna qualquer verificação de software inútil. O firmware malicioso imita o comportamento esperado o suficiente para passar pelas verificações básicas. O pesquisador confirmou isso diretamente na desmontagem.

Ataques anteriores na cadeia de suprimentos direcionados aos usuários da Ledger mostraram repetidamente que a verificação ao nível da embalagem é insuficiente. Casos documentados no BitcoinTalk relatam usuários individuais perdendo mais de $200.000 para carteiras de hardware falsificadas de mercados de terceiros.

Onde esses dispositivos estão sendo vendidos

Os marketplaces de terceiros são o principal canal de distribuição. Vendedores de terceiros na Amazon, eBay, Mercado Livre, JD e AliExpress têm históricos documentados de listar carteiras de hardware comprometidas, observou o pesquisador no post do Reddit no r/ledgerwallet.

O preço é deliberadamente suspeito. Essa é a isca. Uma fonte não oficial não oferece uma Ledger com desconto como uma oferta — ela vende um produto comprometido para beneficiar o atacante.

Os canais oficiais da Ledger são seu próprio site de comércio eletrônico em Ledger.com e lojas verificadas na Amazon em 18 países. Em nenhum outro lugar há garantia de autenticidade.

O que o pesquisador fará a seguir

A equipe preparou um relatório técnico abrangente para a equipe do Donjon da Ledger e seu programa de recompensas por phishing, e divulgará a análise completa após a conclusão da análise interna da Ledger.

O pesquisador disponibilizou IOCs para outros profissionais de segurança por mensagens diretas. Qualquer pessoa que tenha comprado um dispositivo de uma fonte duvidosa pode entrar em contato para assistência na identificação.

Os sinais vermelhos principais permanecem simples. Uma frase-semente pré-gerada incluída com o dispositivo é uma fraude. Documentação pedindo aos usuários que digitem uma frase-semente em um aplicativo também é uma fraude. Destrua o dispositivo imediatamente em qualquer caso.