Vulnerabilidades de carteiras hardware 2026: escândalo com MediaMarkt, hacks da Ledger e módulos LTE escondidos

Vulnerabilidades de carteiras hardware 2026: escândalo com MediaMarkt, hacks da Ledger e módulos LTE escondidos

4.2 BTC se foram em três dias. Um cara de Berlim simplesmente entrou em uma MediaMarkt oficial, comprou um Ledger Nano X zerado, configurou conforme o guia e transferiu as moedas. Saldo – zero. A transação voou direto para uma carteira já marcada na base de hacks da CryptoBilis. Sem phishing, sem semente anotada em papel sob o teclado. Por dentro, havia um chip modificado com um módulo LTE microscópico – em resumo, a carteira conectou sozinha na rede e entregou as chaves para os hackers.

Pesado.

MediaMarkt tira Ledger das prateleiras

A MediaMarktSaturn já parou as vendas de todo o hardware da Ledger em toda a sua rede. Os centros de serviço na Alemanha e Áustria estão entupidos de reclamações sobre carteiras que ganharam vida própria. Antes, pensava–se que era uma história puramente asiática com revendedores paralelos, como a malaia CryptoBilis. Agora está claro: o lote infectado infiltrou–se nos canais oficiais da União Europeia.

O esquema é vergonhosamente simples. A carga é interceptada no caminho do armazém, as caixas são abertas discretamente com um secador e os componentes de fábrica são trocados por placas customizadas com um transmissor embutido. Na caixa, os lacres originais permanecem, os hologramas estão no lugar – não dá para notar nada. O dispositivo espera calmamente até você gerar a semente e, no mesmo instante, a envia via torre de celular para um servidor remoto. A Ledger agora joga a culpa na logística, mas o estrago está feito: o conceito de “cofre de ferro” sofreu uma rachadura enorme.

$93 milhões sumiram no vazio

Enquanto a Ledger tenta rastrear os $93 milhões que escaparam pelos dispositivos da CryptoBilis, o buraco real é obviamente mais profundo. Sim, os franceses conseguiram congelar cerca de $10 milhões em plataformas CEX – uma gota no oceano. O resto já foi misturado via Tornado Cash e pontes.

É um beco sem saída. Você compra um hardware para fugir de intermediários e, no fim, seus bitcoins dependem da honestidade de um fiscal de alfândega ou de um estoquista sonolento na Polônia. Se a carteira é soldada antes mesmo de chegar na vitrine, a própria palavra “cold” perde o sentido.

O mercado reagiu na hora:

• Alguns entram em pânico e mudam para antigos ThinkPad sem placas Wi–Fi.
• Os fundos promovem alegremente o Bitcoin ETF – dizem para esquecer o hardware e entregar as moedas para custodiantes com seguros bilionários.

Batalha de conceitos: ETF contra “ferro”

A briga sobre ETF e carteiras pessoais pegou fogo novamente. Antes, repetiam como um mantra: “Not your keys, not your coins”. Em 2026, essa frase soa com uma armadilha. Se as chaves são conhecidas por um chip soldado lá dentro – de quem elas são, afinal?

Os fundos tocam na ferida. Por que arriscar o depósito e pegar um hardware com surpresa, se você pode comprar cotas de ETF direto da conta da corretora? Sem firmwares bugados, sem placas escondidas. Por outro lado, em vez de bitcoin, você recebe apenas um recibo do banco. Se algo acontecer – a conta é congelada em um segundo.

Como verificamos as carteiras agora

Comprar um hardware e já depositar todo o patrimônio é loucura. Nós, dentro do time, mudamos essa abordagem.

Aqui estão as regras:

• Olhamos o corpo do aparelho com uma lupa sob luz forte – qualquer sinal de cola ou frestas manda o dispositivo para o lixo.
• Nada de carteiras solo: apenas multisig 2–de–3, misturando marcas diferentes (por exemplo, Coldcard mais Trezor). Mesmo que uma seja comprometida, o dinheiro continua lá.
• Gaiolas de Faraday. O dispositivo desligado fica em uma capa de proteção para que o módulo não se conecte às torres.
• Monitoramento de endereços para evitar pequenos spams e ataques de poeira.

Mantemos os detalhes técnicos e análises de ataques na seção de ferramentas para carteiras – lá é pura prática, sem conversa fiada de marketing.

O que fazer com dinheiro sujo

Os hackers estão enviando o que foi roubado para sistemas P2P e pequenas corretoras. O mercado está sendo inundado com cripto tóxica. Se você pegar um rastro desses em uma exchange, sua conta vai ser banida até que tudo seja esclarecido. Você passará meses provando para o suporte que não é um laranja.

Cada transação recebida precisa ser checada antes das moedas caírem na carteira principal. Nosso AML–checker identifica a origem com um clique. Se a pontuação de sujeira for maior que 50% – apenas cancele o negócio.

Reunimos as plataformas normais, que congelam instantaneamente as carteiras dos invasores e não repassam sujeira para os clientes, na seção de análises de exchanges.

O futuro da custódia própria

O tempo das soluções prontas de caixa está acabando. Os fabricantes não dão conta do controle de suprimentos – é um fato. Logo todos chegarão aos dispositivos DIY, como o SeedSigner, onde os componentes são encomendados separadamente de vendedores de placas e telas que não possuem ligação entre si.

A MediaMarkt segue em silêncio por enquanto, mas em certas jurisdições mais duas grandes redes se preparam para tirar a Ledger de venda – o insider confirmou. Por conta dessa história, nós refizemos nossa estratégia de armazenamento a frio e atualizamos as fatias em nosso portfólio. Não há mais confiança em caixas de fábrica.