- Bug no app da Ledger permitia trocar transação de Ethereum durante a assinatura
- Versão 1.22.2 do aplicativo corrige a falha em Nano X, Nano S Plus, Stax e Apex
- CTO da Ledger e empresa TestMachine divergem sobre disponibilidade real do patch
Uma vulnerabilidade no aplicativo de Ethereum das carteiras físicas Ledger permitia que o dispositivo exibisse uma transação na tela enquanto assinava outra completamente diferente nos bastidores. A falha foi divulgada em 21 de agosto pela empresa de segurança TestMachine. Ela atinge modelos amplamente usados no Brasil, como Nano X, Nano S Plus, Stax e Apex.
De acordo com o relatório técnico, o problema aparece quando uma aplicação descentralizada com acesso ao WebHID — protocolo que conecta dApps do navegador diretamente ao hardware — envia comandos maliciosos durante a janela de revisão da operação. Dessa forma, o dispositivo pode se tornar vulnerável a ataques no momento de revisão.
O usuário vê na tela do Ledger, por exemplo, o envio de 0,01 ETH. Aprova. Mas o dispositivo termina assinando algo muito diferente: uma autorização abrindo saldo máximo de DAI para o atacante drenar depois.
A causa técnica, conforme a análise da TestMachine, está no gerenciamento de comandos enquanto a interface de revisão permanece aberta. O firmware antigo aceitava novas instruções de assinatura mesmo depois que o usuário já tinha começado a validar uma operação. A brecha permitia substituir o conteúdo real da transação sem tocar no que a tela mostrava.
O changelog no GitHub da versão 1.22.2 do app Ethereum, publicada em 12 de agosto, traz correções que batem diretamente com o vetor descrito: rejeição de comandos de assinatura recebidos com revisão pendente. Também houve fixação do modo de assinatura no início da operação e bloqueio de alterações durante os fragmentos de continuação. Além disso, foram adicionadas validações de estado e proteções contra fluxos concorrentes.
Guillemet rebate TestMachine sobre divulgação responsável
Charles Guillemet, CTO da Ledger, afirmou em sua conta oficial no X que a falha já havia sido identificada duas semanas antes pelo Ledger Donjon, equipe interna de segurança da fabricante, com auxílio de ferramentas de inteligência artificial. Segundo ele, o patch já foi distribuído e está disponível para os usuários. “Se você mantém seus aplicativos atualizados, está protegido. Essa é a história toda”, escreveu.
O executivo também criticou a conduta da TestMachine. Disse que a empresa procurou o programa de recompensas da Ledger depois do patch já ter sido enviado, não seguiu práticas de divulgação responsável e publicou o alerta dando a entender que o problema seguia aberto.
A pesquisadora, por sua vez, sustenta que a versão corrigida ainda não aparecia disponível para download via Ledger Live no momento da publicação — o que manteria o risco latente para quem depende do canal oficial de atualização.
O episódio chega em um ano ruim para o setor de custódia física. No fim de julho, um ataque a carteiras Coldcard resultou no roubo de mais de 2.000 BTC — cerca de US$ 154 milhões pela cotação atual do Bitcoin em US$ 77.207. Além disso, a sequência de incidentes reforça o argumento de que a segurança em cripto é modelo operacional, não dispositivo, como vem defendendo a BitGo.
