- OneKey afirma ter reproduzido ataque no app Ethereum 1.22.1 da Ledger
- Ledger rebate e diz que nenhum usuário foi comprometido no mundo real
- Correção foi enviada em 13 de agosto na versão 1.22.2 do aplicativo
A fabricante de carteiras OneKey e a empresa de cibersegurança Anzen afirmaram nesta quarta-feira ter conseguido reproduzir um ataque contra a versão 1.22.1 do aplicativo Ethereum da Ledger. A concorrente publicou detalhes técnicos do experimento e usou uma frase direta: “nós hackeamos a Ledger”. A empresa francesa respondeu horas depois com um desmentido explícito. “Nenhum usuário da Ledger foi hackeado”, disse o CTO da companhia, Charles Guillemet.
O episódio ganhou tração no X e mexeu com uma comunidade sensível: quem guarda ETH em cold wallet. O ativo, que opera a US$ 2.496,81 (R$ 12.838,60) com alta de 1,3% em 24 horas, tem grande parte da custódia de longo prazo concentrada justamente em dispositivos como os fabricados pelas duas empresas envolvidas na polêmica.
O que a OneKey afirma ter reproduzido
Segundo o fundador da OneKey, Yishi Wang, a equipe de segurança da empresa executou um chamado ataque de substituição de transação. O golpe ocorre enquanto o usuário revisa, na tela do próprio hardware, uma transação legítima. O conteúdo exibido pode ser trocado antes da assinatura, abrindo espaço para desvio de fundos sem que a vítima perceba.
Wang recomendou que quem ainda usa versões antigas do app Ethereum da Ledger atualize imediatamente para a versão 1.22.3. A demonstração foi divulgada como prova de conceito, sem qualquer relato de vítima real. Ainda assim, o vocabulário escolhido — “hackeamos a Ledger” — foi lido pela empresa alvo como sensacionalismo comercial vindo de uma concorrente direta no mercado de carteiras físicas.
Ledger classifica teste como exercício de laboratório
Guillemet foi contundente na resposta pública. “Reproduzir um bug já corrigido não é hackear a Ledger”, escreveu. O executivo acrescentou que não houve exploração no ambiente real e que rodar um exploit contra versão antiga, depois que o patch foi distribuído, é um exercício de laboratório, não uma descoberta de vulnerabilidade.
Um porta-voz da fabricante afirmou que a OneKey “pegou achados já divulgados e tentou replicá-los em ambiente controlado”. A equipe interna de pesquisa da Ledger, chamada Donjon, complementou a versão oficial: o reparo foi entregue em 13 de agosto na versão 1.22.2, ou seja, antes mesmo da versão 1.22.3 citada por Wang. A cronologia enfraquece a narrativa de descoberta original apresentada pela concorrente. Mais detalhes estão no blog oficial da Ledger.
No histórico recente, a Ledger enfrentou episódios reais e graves, como o comprometimento do Ledger Connect Kit em dezembro de 2023 e a onda de golpes com apps falsos que exigiu resposta de exchanges. Ainda assim, casos concretos de perda em versões atualizadas do firmware são raros — ponto que a empresa fez questão de reforçar agora.
O que muda para o investidor brasileiro
Para o investidor no Brasil, a regra prática é a mesma de sempre: manter firmware e aplicativos das carteiras sempre atualizados. A adesão à autocustódia no país cresceu nos últimos ciclos, empurrada tanto pela desconfiança em corretoras estrangeiras quanto pelas novas regras do Banco Central que reduziram a demanda por criptoativos em 58% em julho. Nesse cenário, a Ledger segue sendo uma das marcas mais vendidas em varejo cripto brasileiro.
