Uma possível adulteração de um dispositivo Ledger vendido na Europa e uma vulnerabilidade entretanto corrigida no XRP Ledger voltaram a pôr em foco a segurança da custódia e do código das redes de criptoativos. A falha no software poderia, em teoria, ter permitido criar mais de 18 biliões de XRP. Não há indícios de que tenha sido explorada, nem de que o dispositivo europeu tenha causado perdas ou de que o problema se tenha disseminado.
Dispositivo Ledger suspeito em loja MediaMarkt
Johannes, utilizador da rede X, afirmou ter comprado um dispositivo Ledger na retalhista europeia de eletrónica MediaMarkt há duas semanas e ter encontrado no interior um componente que aparentava ter sido instalado posteriormente. As fotografias que publicou mostram um modelo aparentemente antigo, semelhante a um dispositivo com um implante encontrado em unidades distribuídas na Ásia pela CryptoBilis. Até ao momento, não há provas de que o dispositivo europeu tenha levado à perda de fundos.
Johannes disse que o dispositivo poderá simplesmente estar «inoperacional» ou ser um sinal de que alguém espera que mais unidades modificadas entrem em circulação. Mark Karpeles, antigo diretor executivo da Mt. Gox, participou na análise do caso anterior, envolvendo dispositivos Ledger na Ásia. Segundo Karpeles, as marcações na antena sugerem tratar-se de uma «versão eurasiática», o que poderá indicar que foram preparados implantes diferentes para regiões com bandas de rede móvel distintas. A Ledger ainda não confirmou qualquer ligação entre o dispositivo europeu e o caso asiático.
Anteriormente, foram encontrados dispositivos Ledger modificados utilizados por clientes na Ásia. A distribuição foi feita pela CryptoBilis, revendedora autorizada da Ledger que mudou recentemente de proprietário. A alteração poderia permitir a um atacante obter a frase de recuperação de uma carteira e transferir os fundos, sem impedir que o dispositivo passasse pelas verificações de autenticidade. Assim, uma verificação de rotina poderá não ser suficiente para detetar a adulteração.
A Ledger pediu à CryptoBilis que suspendesse as vendas e os envios. Recomendou também que os clientes que compraram dispositivos à revendedora nos 90 dias anteriores considerassem transferir os seus ativos para um novo dispositivo Ledger. Na atualização mais recente, a empresa disse que o número de unidades afetadas era limitado. A empresa de cibersegurança Yfarmx estimou que o incidente envolveu 471 endereços e perdas de cerca de 93,4 milhões de dólares, mas a Ledger não confirmou esse valor.
A CryptoBilis constava como revendedora autorizada da Ledger na Indonésia, na Malásia e nas Filipinas. Se o dispositivo europeu vier a ser associado ao caso asiático, a investigação poderá abranger não apenas um canal regional de vendas, mas também a distribuição, a revenda e os controlos da cadeia de abastecimento de versões concebidas para mercados específicos.
Falha corrigida no XRP Ledger poderia inflacionar a oferta
A empresa de segurança Veria Labs recebeu uma recompensa de 250.000 dólares por identificar uma vulnerabilidade de overflow em código relacionado com o XRP. O problema estava presente no XRP Ledger desde 2015 e já foi corrigido. Não há provas de que tenha sido explorado.
Cayden Liao, cofundador da Veria Labs, afirmou que os agentes de inteligência artificial da empresa detetaram duas vulnerabilidades de menor gravidade durante uma análise do rippled, o software utilizado para operar o XRP Ledger. Cada uma teria um impacto limitado isoladamente, mas os investigadores conseguiram combiná-las numa possível via de ataque com consequências muito maiores.
Segundo Liao, uma única transação de ataque poderia, em teoria, ter criado mais de 18 biliões de XRP — 184 vezes a oferta total atual. Com o valor total de mercado do XRP em cerca de 94 mil milhões de dólares, a exploração poderia ter afetado o valor dos ativos em toda a rede. A dimensão teórica superaria os maiores ataques a criptomoedas registados até à data, mas não significa que esses XRP tenham sido efetivamente criados ou que tenham ocorrido perdas.
A Veria Labs comunicou a vulnerabilidade às equipas relevantes a 22 de setembro; a RippleX concluiu a correção três dias depois. Liao disse que a possibilidade de combinar dois problemas de menor gravidade poderá explicar por que razão a falha permaneceu tanto tempo por detetar. Sem sinais de exploração, é importante distinguir o impacto potencial no código de um incidente efetivamente ocorrido na blockchain.
Buterin defende atenção aos riscos da IA para a criptografia
Vitalik Buterin, cofundador da Ethereum, apoiou o alerta do investigador Justin Drake sobre uma proposta de «modo bunker». Drake argumenta que os avanços da investigação matemática impulsionados pela inteligência artificial poderão pressionar os sistemas criptográficos usados pelas blockchains antes de os computadores quânticos representarem uma ameaça direta.
Buterin disse que os utilizadores não devem apressar-se a transferir fundos para novas carteiras, mas que o setor deve levar a sério os riscos criptográficos que poderão surgir se a IA acelerar a investigação matemática. Drake pediu que a indústria se prepare para a possibilidade de agentes de IA descobrirem novas estruturas matemáticas com impacto na criptografia de curvas elípticas ou na criptografia baseada em reticulados.
A OpenAI anunciou recentemente centenas de resultados de investigação matemática que não tinham sido resolvidos por humanos. Esses resultados não envolvem atualmente criptografia, e não há provas de que os agentes de IA estejam perto de quebrar os algoritmos criptográficos usados pelas blockchains existentes. Algumas equipas de projetos e analistas consideram, por isso, que os alertas poderão exagerar o risco a curto prazo. Os defensores da precaução contrapõem que o ritmo dos avanços da IA noutras áreas da matemática complexa torna insuficiente basear as avaliações de segurança apenas na ausência de ataques atuais.
Samsung prepara transferências de USDC para utilizadores nos EUA
A Samsung planeia disponibilizar transferências de USDC através da Samsung Wallet a utilizadores elegíveis de dispositivos Galaxy nos Estados Unidos durante a última semana de outubro. O serviço deverá chegar a cerca de 82 milhões de utilizadores. Os clientes poderão enviar USDC para carteiras compatíveis no estrangeiro ou transferir fundos para contas bancárias elegíveis. A oferta abrange mais de 60 países, onde os destinatários poderão receber moeda local.
Será necessária verificação de identidade. A Bastion fornecerá a infraestrutura para contas e pagamentos em stablecoins, enquanto a Coinbase atuará como subcustodiante através da Coinbase Prime Vault. Solana e Sui figuram como parceiras tecnológicas. A integração coloca as transferências de stablecoins num canal de pagamentos móveis já existente, embora os países abrangidos, os sistemas bancários disponíveis e a elegibilidade das contas dependam das regras regionais em vigor no lançamento.
Bitcoin, Ether e XRP fecham a semana em queda
No final da semana, a Bitcoin recuava 2,8%, para 83.435 dólares. A Ether perdia 6,5%, para 2.562 dólares, e o XRP caía 7%, para 1,40 dólares. A capitalização total do mercado de criptomoedas situava-se em cerca de 2,82 biliões de dólares.
Entre os 100 maiores criptoativos por valor de mercado, as maiores subidas semanais foram as da StarkNet, com 91%, da Binance Life, com 25,4%, e da Celestia, com 20,8%. A valorização da StarkNet surgiu após o anúncio de que a rede transitará para uma camada 1 pós-quântica.
As maiores descidas foram as da Venice Token, que caiu 18,5%, da Sky, com uma perda de 16,2%, e da Uniswap, que recuou 15,4%.
Tom Lee aponta para Ether entre 25.000 e 50.000 dólares
Tom Lee, presidente da Bitmine, afirmou na sexta-feira, durante o evento Token2049, que a Ether poderá ultrapassar os 5.000 dólares até ao final do ano e chegar «facilmente» a valores entre 25.000 e 50.000 dólares até ao fim do ciclo atual. Os números refletem a opinião pessoal de Lee sobre o mercado e não um resultado garantido.
Lee disse também que a Bitmine está perto de atingir o objetivo de deter 5% da oferta total de Ethereum. A empresa possui atualmente cerca de 6 milhões de ETH e precisaria de comprar aproximadamente mais 100.000 para alcançar essa meta. Segundo Lee, 5% é o limite da empresa, que não aumentará as suas posições para além dessa parcela da oferta de Ethereum.
Coldcard investiga ligação de phishing na conta oficial do X
A Coldcard, fabricante de carteiras físicas para Bitcoin, afirmou que no domingo surgiu uma ligação de phishing não autorizada na sua conta oficial do X. A empresa disse que a publicação foi feita apesar de a conta utilizar autenticação de dois fatores offline. A mensagem foi entretanto removida, e a Coldcard recordou aos utilizadores que o seu único site oficial é coldcard.com.
O rastreador de ataques da DefiLlama estima em 115 milhões de dólares as perdas associadas a um ataque envolvendo a Coldcard em julho. A empresa não explicou como surgiu a ligação desta vez nem indicou se algum utilizador perdeu fundos depois de ver a publicação.
THORChain diz que 1,45 milhões de USDT foram congelados temporariamente
Chad Barraford, cofundador técnico da THORChain, acusou a emissora de stablecoins Tether de incluir numa lista negra, sem explicação, os endereços de tesouraria da rede que detinham USDT. A restrição foi levantada algumas horas depois.
Na sexta-feira, Barraford disse que a Tether tinha congelado cerca de 1,45 milhões de USDT distribuídos por quatro carteiras da THORChain. Cerca de duas horas mais tarde, afirmou que os endereços tinham sido desbloqueados e que as transações seriam retomadas. Não foram divulgados mais detalhes sobre uma eventual explicação da Tether ou sobre se a medida fazia parte de uma análise mais ampla de conformidade ou risco.
Alex Mashinsky fica impedido de atuar em setores relacionados em Nova Iorque
A procuradora-geral de Nova Iorque, Letitia James, chegou a um acordo com Alex Mashinsky, antigo diretor executivo da Celsius. Nos termos do acordo, Mashinsky fica permanentemente impedido de atuar nas indústrias de criptomoedas, valores mobiliários e matérias-primas, podendo ainda ter de pagar até 35 milhões de dólares em pagamentos condicionais.
O acordo, divulgado na sexta-feira, está relacionado com uma ação civil apresentada em 2023. O processo acusava Mashinsky de ter induzido dezenas de milhares de investidores em erro quanto à segurança da plataforma Celsius antes do seu colapso, em 2022. Mashinsky está atualmente a cumprir pena de prisão. Um tribunal federal já o tinha condenado a 12 anos por fraude e ordenado, num processo separado, a perda de mais de 48 milhões de dólares.
França regista 90 incidentes violentos ligados a criptoativos em sete meses
As autoridades francesas registaram 90 casos de rapto, extorsão, ameaças e roubo com violência relacionados com criptoativos ao longo de sete meses. Os dados colocam em destaque a segurança física dos titulares de criptomoedas: o risco não se limita à proteção de contas e carteiras, abrangendo também a custódia dos ativos no mundo real.
A atividade de empréstimo em criptoativos também aumentou 55% desde julho. Entre os riscos para o setor estão ataques apoiados por inteligência artificial e a possibilidade de falhas em cascata quando vários protocolos interligados enfrentam problemas. A proteção dos fundos em exchanges, protocolos de empréstimo e carteiras individuais continua a depender dos respetivos controlos de segurança, modelos de custódia e gestão de liquidez.
Raoul Pal, fundador da Real Vision, afirmou que uma pausa na subida das ações ligadas à IA e um dólar mais fraco poderiam redirecionar parte do capital para criptoativos. Disse ainda que os agentes de IA poderão apoiar uma utilização mais ampla da Ethereum e da Solana. São opiniões de mercado; no fecho da semana, Bitcoin, Ether e XRP registavam todos perdas.