Roubo de criptomoedas com eSIM em carteiras Ledger: o que aconteceu
Em resumo, neste artigo vai perceber como uma Ledger Nano X genuína pode, alegadamente, ser alterada com um implante móvel oculto que lê a frase de recuperação na ligação ao ecrã e a transmite através de uma eSIM integrada. O caso é grave, mas trata-se de um ataque à cadeia de fornecimento — não de uma falha em todas as carteiras Ledger nem nas eSIM de viagem comuns.
O que aconteceu no caso do roubo com eSIM em carteiras Ledger?
Investigadores de segurança documentaram dispositivos Ledger Nano X modificados com componentes adicionais. O implante fica escondido dentro de uma carteira que, de resto, é genuína. Durante a configuração, interceta os dados enviados do elemento seguro para o ecrã OLED quando são apresentadas as 24 palavras da frase de recuperação.
A placa oculta consegue reconstruir essas palavras a partir dos dados do ecrã, guardá-las e enviá-las ao atacante por uma ligação móvel. As versões mais recentes terão um modem, uma antena e uma SIM integrada. Assim, a eSIM funciona como canal de comunicação do implante — não é uma funcionalidade legítima da Ledger.
Em 9 de outubro de 2026, a Ledger afirmou estar a investigar relatos de fundos roubados associados a dispositivos vendidos pela CryptoBilis, um revendedor autorizado que opera em partes do Sudeste Asiático. A empresa pediu ao revendedor que suspendesse as vendas e os envios. Naquele momento, acrescentou que não tinha recebido relatos semelhantes relativos a dispositivos comprados diretamente à Ledger.
⚠️ As estimativas de perdas publicadas variam bastante. Algumas notícias apontaram para um roubo de cerca de 15 milhões de dólares, enquanto investigadores independentes de transações em blockchain associaram posteriormente montantes muito superiores a endereços potencialmente relacionados. Quando emitiu o alerta, a Ledger ainda não tinha confirmado um valor de perdas nem que o implante fosse a causa.
Como pode uma carteira de hardware genuína ser comprometida?
Normalmente, uma carteira de hardware mantém as chaves privadas dentro de um elemento seguro reforçado. Esse chip consegue gerar chaves e assinar transações sem revelar o segredo. No entanto, durante a configuração, a carteira tem de mostrar uma vez as palavras de recuperação. Para isso, envia informação visual para o ecrã.
O implante descrito explora esse percurso, em vez de quebrar o elemento seguro. Os investigadores da Tibane Labs descrevem várias gerações do dispositivo. Os primeiros exemplares utilizavam fios visíveis e uma bateria de substituição mais pequena. As versões recentes recorrem a circuitos flexíveis personalizados, revestimentos da mesma cor, marcações de componentes raspadas e peças de comunicação móvel escondidas sob o ecrã.
O ataque é especialmente perigoso porque várias verificações habituais podem continuar a parecer normais:
- O elemento seguro pode ser genuíno, pelo que a autenticação por software pode ser aprovada.
- A carteira pode iniciar, carregar, ligar-se e assinar transações normalmente.
- A embalagem e a caixa exterior podem não apresentar sinais evidentes de adulteração.
- O implante dispõe da sua própria ligação móvel, sem precisar do telemóvel ou do Wi-Fi da vítima.
💡 Imagine um pequeno espião preso ao cabo do ecrã. Não precisa de abrir o cofre se conseguir observar o segredo quando este aparece.
O que a eSIM faz — e o que não faz
A expressão «roubo de criptomoedas com eSIM» pode induzir em erro. Neste incidente, a SIM integrada parece ser apenas um componente de equipamento de vigilância não autorizado. Permite ao implante enviar discretamente os dados capturados através de redes LTE, LTE-M ou NB-IoT.
Este método não é um ataque de SIM swapping. Num ataque desse tipo, o criminoso assume o controlo do número de telemóvel da vítima para intercetar chamadas ou códigos enviados por SMS. Aqui, a eSIM escondida não substitui a linha telefónica do proprietário. Pertence ao implante e funciona de forma independente.
Também não corresponde aos riscos de uma aplicação, perfil ou serviço proxy de eSIM de viagem pouco seguro. Para esse cenário distinto, consulte o nosso guia sobre riscos dos proxies eSIM gratuitos e roubo de códigos.
| Ameaça | Qual é o alvo? | Papel da rede móvel | Principal proteção |
|---|---|---|---|
| Implante físico | Palavras de recuperação mostradas numa carteira adulterada | Um modem oculto envia os dados capturados | Comprar por um canal de confiança e criar uma nova frase-semente em equipamento seguro |
| SIM swapping | O seu número de telemóvel e a verificação por SMS | O atacante transfere o número | Autenticação por aplicação ou chave de segurança física |
| Aplicação eSIM ou proxy malicioso | Credenciais da conta, tráfego ou códigos de ativação | Um serviço inseguro gere a ligação | Fornecedor de confiança e aplicação oficial |
| Phishing | A frase de recuperação ou os dados de acesso | Um site ou uma mensagem falsos recolhem os segredos | Nunca introduzir as palavras de recuperação na Internet |
Quem deve agir de imediato?
O alerta oficial mais claro dirigiu-se a clientes recentes da CryptoBilis. As pessoas que compraram uma Ledger a esse revendedor durante o período indicado de 90 dias foram aconselhadas a não configurar o dispositivo. Quem já o tivesse inicializado deveria transferir os ativos para uma nova carteira, usando uma frase de recuperação recém-gerada.
É igualmente prudente ter cautela quando a carteira foi comprada a um vendedor de marketplace, a um importador desconhecido, a um revendedor com propriedade pouco clara ou em segunda mão. Os investigadores obtiveram exemplares implantados mais recentes através de canais de terceiros no Japão, incluindo um anúncio num marketplace de grande dimensão. Contudo, não conseguiram demonstrar que esses exemplares tinham origem na CryptoBilis.
✅ Uma carteira comprada diretamente à Ledger não fica automaticamente abrangida por este caso. Na declaração de 9 de outubro, a empresa afirmou não ter relatos relacionados com compras diretas. Isso não elimina as regras habituais de segurança, mas altera a avaliação do risco imediato.
O que fazer se a sua Ledger puder estar afetada
Se o canal de compra corresponder ao alerta — ou se houver um motivo concreto para suspeitar de adulteração — considere potencialmente exposta qualquer frase de recuperação apresentada nesse dispositivo. Repor a mesma carteira e reutilizar as mesmas palavras não resolve o problema.
- Pare de usar o dispositivo suspeito. Não o inicialize, não restaure nele uma frase e não aprove novas transações.
- Obtenha uma substituição de confiança. Compre diretamente ao fabricante ou siga as instruções oficiais de substituição da Ledger.
- Crie uma frase de recuperação totalmente nova em equipamento de confiança. Nunca importe a frase antiga.
- Transfira os ativos com cuidado. Comece por uma pequena transação de teste, confirme o destino no dispositivo seguro e só depois mova o restante saldo.
- Preserve as provas. Guarde a carteira, a caixa, o comprovativo de compra, os dados do vendedor, o número de série e os registos de envio.
- Contacte o suporte da Ledger através do site oficial de suporte. Não siga ligações de apoio recebidas em mensagens não solicitadas.
- Comunique qualquer roubo. Contacte rapidamente a plataforma de câmbio envolvida, as autoridades locais de cibercrime e um investigador de blockchain qualificado.
⚠️ Nunca introduza as suas 24 palavras no Ledger Live, num site, num chat de suporte, num formulário ou numa ferramenta de «verificação». O suporte legítimo não deve pedir-lhe essa informação.
É possível detetar o implante em casa?
Não de forma fiável. As versões mais antigas alteravam a bateria e utilizavam fios soldados à mão, claramente visíveis. O exemplar documentado mais recente terá mantido a bateria original e escondido um circuito flexível com revestimento preto sob o ecrã. Depois de abrir a caixa, um fino fio de antena era um dos poucos indícios visíveis.
Abrir uma carteira pode danificá-la, destruir provas, criar riscos relacionados com a bateria e complicar pedidos de suporte ou garantia. Um exterior normal, a embalagem correta e uma verificação bem-sucedida de dispositivo genuíno não excluem a presença de componentes adicionais quando o próprio elemento seguro continua a ser autêntico.
💡 Se o seu dispositivo estiver abrangido por um alerta de revendedor, siga as instruções do fabricante em vez de o desmontar em casa. Os laboratórios de segurança podem inspecionar o equipamento com microscopia, análise elétrica e desmontagem controlada.
Este incidente torna as eSIM de viagem inseguras?
Não. Uma eSIM de viagem para consumidores é um plano móvel digital instalado num telemóvel compatível. O componente malicioso descrito neste caso é uma SIM integrada e soldada em equipamento não autorizado. As duas tecnologias partilham um padrão de conectividade, mas têm finalidades e modelos de risco diferentes.
Ao escolher dados móveis para uma viagem, opte por um fornecedor conhecido, instale o perfil segundo as instruções oficiais, proteja a conta com autenticação forte e evite qualquer serviço que peça as palavras de recuperação de uma carteira. Uma empresa de conectividade de viagem nunca precisa da sua frase-semente de criptomoedas.
A nossa seleção atual de fornecedores de eSIM reconhecidos permite comparar opções legítimas de conectividade em viagem. Essa escolha não substitui as verificações de segurança de uma carteira de hardware.
O que este ataque muda na segurança das carteiras de hardware
A principal conclusão é que «chip genuíno» nem sempre significa «dispositivo intacto». Os elementos seguros continuam a ser importantes, mas fazem parte de um sistema físico mais vasto, com ecrã, linhas de alimentação, botões, barramentos de comunicação e dependências da cadeia de fornecimento.
Sempre que possível, compre diretamente ao fabricante. Gere a frase-semente apenas em equipamento no qual confia. Mantenha a frase de recuperação offline e confirme no ecrã do dispositivo todos os dados das transações. Para patrimónios elevados, considere distribuir o risco por carteiras adquiridas através de canais independentes ou por uma configuração de assinaturas múltiplas cuidadosamente planeada.
Por fim, é importante distinguir os factos confirmados do que permanece por esclarecer. Os investigadores demonstraram implantes móveis funcionais e documentaram modelos cada vez mais profissionais. A Ledger reconheceu relatos de roubos associados a um revendedor. Ainda assim, as provas públicas não permitem determinar toda a cadeia de distribuição, o número total de carteiras afetadas ou um valor final de perdas confirmado.
Perguntas frequentes
A Ledger adicionou uma eSIM à Nano X?
Não. A eSIM descrita faz parte de um implante não autorizado, acrescentado a dispositivos Nano X genuínos. Não é uma funcionalidade normal da carteira.
O implante consegue passar a verificação de dispositivo genuíno da Ledger?
Segundo os investigadores, sim, porque o elemento seguro continua a ser genuíno. O implante vigia a ligação ao ecrã em vez de substituir o chip seguro.
O implante consegue roubar a frase de recuperação sem acesso à Internet?
O equipamento terá um modem móvel, uma antena e uma SIM integrada próprios. Por isso, consegue transmitir as palavras capturadas sem utilizar o telemóvel, o Wi-Fi ou a ligação do computador do proprietário.
Todos os proprietários de uma Ledger devem transferir já as suas criptomoedas?
Não foi emitido um alerta geral para todos os dispositivos. A atuação imediata é mais relevante para clientes abrangidos pelo aviso da Ledger sobre o revendedor e para quem tenha motivos credíveis para suspeitar do canal de compra ou de adulteração física.
Repor a carteira suspeita é suficiente?
Não. Se a frase antiga tiver sido capturada, repor o mesmo dispositivo não volta a tornar essas palavras secretas. Gere uma nova frase em equipamento de confiança e transfira os ativos para endereços criados a partir dela.
Com paixão por viagens e tecnologia, combinei estes dois mundos para ajudar os viajantes a entender a selva das opções de internet no estrangeiro. Como engenheiro de software, coloco as minhas competências ao serviço de conteúdos simples, práticos e transparentes. O meu objetivo? Dar-lhe todas as ferramentas para se manter ligado facilmente e ao melhor preço durante as suas viagens. 🌍📲