ZachXBT chama carteiras de hardware de “lixo” após o roubo $282M

O investigador onchain ZachXBT criticou carteiras de hardware como “completo lixo” e disse que a Ledger é a pior entre as principais fornecedoras, após um roubo em 10 de janeiro, quando uma vítima perdeu mais de US$ 282 milhões em Bitcoin e Litecoin em um golpe de engenharia social. O ataque envolveu aproximadamente 2,05 milhões de LTC e 1.459 BTC, com o atacante convertendo os fundos roubados em Monero por meio de exchanges instantâneas e usando a Thorchain para mover Bitcoin entre redes, segundo relatos da Wu Blockchain e da The Defiant. A declaração de ZachXBT questiona a recomendação comum de segurança em cripto de usar carteiras de hardware, argumentando que esses dispositivos não protegem os usuários contra falhas de segurança operacional, ataques de phishing, vazamentos na cadeia de suprimentos (supply-chain) ou táticas de engenharia social.

ZachXBT liga roubo de US$ 282 milhões à engenharia social em 10 de janeiro

ZachXBT destacou o roubo de 10 de janeiro depois que a The Defiant informou que um usuário de carteira de hardware perdeu mais de US$ 282 milhões em Bitcoin e Litecoin. O ataque envolveu cerca de 2,05 milhões de LTC e 1.459 BTC. O atacante teria convertido os fundos roubados em Monero por meio de exchanges instantâneas e usado a Thorchain para mover Bitcoin entre redes. Os comentários de ZachXBT, reportados pela Wu Blockchain e republicados no X, vieram após ele examinar os detalhes do roubo. O ataque reportado foi descrito como um golpe de engenharia social, e não como uma quebra criptográfica de um dispositivo de hardware.

Ledger enfrenta violação de dados via processador de pagamentos Global-e

Em janeiro, a Bit2Me informou que ZachXBT alertou sobre uma exposição de dados relacionada à Ledger envolvendo a Global-e, um processador externo de pagamentos usado no processo de vendas da Ledger. A violação expôs informações pessoais como nomes, e-mails, números de telefone e endereços físicos. O relatório destacou que chaves privadas e fundos dos usuários não foram comprometidos diretamente. A Ledger tem enfrentado, há anos, escrutínio sobre campanhas de phishing, dispositivos falsificados, aplicativos falsos da Ledger Live e o recurso Ledger Recover. A empresa disse repetidamente que seus dispositivos são projetados para manter chaves privadas seguras.

Carteiras de hardware não resolvem riscos de segurança humanos

A crítica de ZachXBT se concentra em falhas de segurança operacional, e não na criptografia do dispositivo. Carteiras de hardware são comercializadas como mais seguras do que carteiras de software porque mantêm a frase-semente e a assinatura de transações isoladas de dispositivos conectados à internet. No entanto, ZachXBT argumenta que dispositivos de hardware não conseguem impedir que os usuários insiram frases-semente em sites de phishing, aprovem transações maliciosas, comprem dispositivos falsificados ou se tornem alvos porque seus dados pessoais foram expostos por fornecedores ou processadores de pagamento. Assim que criminosos sabem que uma pessoa comprou uma carteira de hardware, eles podem mirá-la com e-mails de phishing personalizados, mensagens falsas de suporte, tentativas de SIM swap ou intimidação física. Para grandes detentores, a avaliação de ZachXBT sugere que a autocustódia exige carteiras de multis assinatura, dispositivos separados para assinatura, listas de endereços permitidos, simulação de transações, máquinas off-line dedicadas e regras rigorosas contra inserir frases-semente em qualquer lugar, exceto no próprio dispositivo.

FAQ

O que ZachXBT disse sobre carteiras de hardware?
ZachXBT chamou as carteiras de hardware de “completo lixo” e disse que não recomenda usá-las, afirmando que a Ledger é a pior entre os principais provedores, segundo postagens em redes sociais reportadas pela Wu Blockchain.

Quanto de criptomoeda foi roubado no roubo de 10 de janeiro citado por ZachXBT?
Uma vítima perdeu mais de US$ 282 milhões em Bitcoin e Litecoin em um golpe de engenharia social em 10 de janeiro, envolvendo aproximadamente 2,05 milhões de LTC e 1.459 BTC, segundo o relatório da The Defiant citando ZachXBT.

Quais informações pessoais foram expostas na violação de dados da Ledger?
A violação via processador de pagamentos Global-e expôs nomes, e-mails, números de telefone e endereços físicos de clientes da Ledger, embora as chaves privadas e os fundos dos usuários não tenham sido comprometidos diretamente, de acordo com o relatório da Bit2Me sobre o alerta de ZachXBT em janeiro.