Uma transferência de 80 bitcoins, então avaliados em cerca de 6,6 milhões de dólares, ocorreu a 9 de outubro, apenas 10 dias depois de os fundos terem sido enviados para uma carteira de hardware Ledger recém-comprada. A Ledger pediu ao revendedor do Sudeste Asiático CryptoBilis que suspendesse as vendas enquanto investiga o caso. Ainda não foi confirmado se o dispositivo foi adulterado.
O incidente voltou a colocar em foco a origem e a configuração das carteiras de hardware, além da perda de uma quantia elevada em bitcoin. A Ledger ainda não divulgou conclusões, e empresas de análise da blockchain apresentaram estimativas diferentes para o total de fundos potencialmente envolvidos.
80 BTC transferidos numa única operação a 9 de outubro
A plataforma de monitorização da blockchain Lookonchain afirmou que o titular comprou os 80 bitcoins cerca de quatro meses antes, a um preço médio de aproximadamente 65.000 dólares por moeda. O custo total terá sido de cerca de 5,2 milhões de dólares. Os registos públicos da blockchain mostram que os fundos chegaram à carteira a 29 de setembro e saíram numa única operação às 05h54 UTC de 9 de outubro.
Na altura da transferência, o bitcoin era negociado acima dos 83.000 dólares. Com base nesse preço, a Lookonchain estimou que a posição acumulava uma mais-valia não realizada de cerca de 1,38 milhões de dólares antes de os fundos serem movimentados. O mesmo conjunto de transações incluiu pelo menos outras seis transferências de grande dimensão para endereços que analistas consideram estar ligados ao incidente. Essa associação baseia-se na análise da blockchain e não foi confirmada de forma independente.
Ledger pede suspensão das vendas à CryptoBilis
Horas depois da transferência, a Ledger pediu à CryptoBilis que deixasse de vender o dispositivo e recomendou aos clientes que o tivessem comprado recentemente que não o configurassem por enquanto. A empresa não esclareceu se algum equipamento foi alterado durante a venda ou o transporte. Também não identificou o modelo envolvido nem publicou os resultados da investigação.
As carteiras de hardware são normalmente utilizadas para guardar criptoativos offline, mas a causa do incidente permanece desconhecida. A informação disponível não permite determinar se a transferência esteve relacionada com a própria carteira, com o canal de venda, com a configuração inicial do dispositivo ou com outro fator. A Ledger indicou que divulgará atualizações à medida que a investigação avançar.
Estimativas de perdas associadas ultrapassam 80 milhões de dólares
A empresa de análise da blockchain Arkham estimou que as perdas relacionadas com o incidente excedem 80 milhões de dólares, ressalvando que a causa ainda não foi confirmada. A MistTrack, um serviço de rastreamento operado pela empresa de segurança SlowMist, apontou para um total potencial superior, de até 90 milhões de dólares.
A MistTrack afirmou ainda que a Tether, emissora da stablecoin USDT, congelou USDT detidos em endereços associados ao roubo. A Tether pode restringir transferências dos tokens que emite. A medida abrange os USDT nesses endereços e não significa que os próprios bitcoins tenham sido congelados.
Caso reacende dúvidas sobre a segurança das carteiras de hardware
Os fabricantes de carteiras de hardware voltaram a estar sob escrutínio após vários problemas de segurança registados este ano. Em agosto, foi noticiado que uma vulnerabilidade no firmware da Coldcard permitiu a atacantes movimentar cerca de 70 milhões de dólares em bitcoin.
A investigação da Ledger continua em curso. Entre as questões por esclarecer estão a possibilidade de o dispositivo ter sido adulterado, a existência de falhas no processo de venda ou entrega do revendedor e a parcela dos fundos identificados por análise da blockchain que pode ser efetivamente ligada ao caso.