ZachXBT chama “lixo” às carteiras de hardware depois do roubo de $282M

O investigador on-chain ZachXBT criticou as carteiras de hardware como “lixo completo” e classificou a Ledger como a pior entre os principais fornecedores, na sequência de um roubo a 10 de Janeiro em que uma vítima perdeu mais de 282 milhões de dólares em Bitcoin e Litecoin num esquema de engenharia social. O ataque envolveu aproximadamente 2,05 milhões de LTC e 1.459 BTC, com o atacante a converter os fundos roubados em Monero através de trocas instantâneas e a usar a Thorchain para mover Bitcoin entre redes, segundo relatórios da Wu Blockchain e da The Defiant. A afirmação de ZachXBT desafia a recomendação comum de segurança em criptomoedas para usar carteiras de hardware, argumentando que estes dispositivos não protegem os utilizadores contra falhas de segurança operacional, ataques de phishing, fugas na cadeia de fornecimento ou tácticas de engenharia social.

ZachXBT liga roubo de 282 milhões de dólares a engenharia social a 10 de Janeiro

ZachXBT destacou o roubo de 10 de Janeiro depois de a The Defiant ter reportado que um utilizador de uma carteira de hardware perdeu mais de 282 milhões de dólares em Bitcoin e Litecoin. O ataque envolveu cerca de 2,05 milhões de LTC e 1.459 BTC. O atacante terá convertido os fundos roubados em Monero através de trocas instantâneas e usado a Thorchain para mover Bitcoin entre redes. Os comentários de ZachXBT, reportados pela Wu Blockchain e republicados no X, surgiram depois de ele ter analisado os detalhes do roubo. O ataque referido foi descrito como um esquema de engenharia social, e não como uma quebra criptográfica de um dispositivo de hardware.

Ledger enfrenta violação de dados via processador de pagamentos Global-e

Em Janeiro, a Bit2Me reportou que ZachXBT alertou para uma exposição de dados relacionada com a Ledger envolvendo a Global-e, um processador de pagamentos externo usado no processo de vendas da Ledger. A violação expôs informação pessoal como nomes, emails, números de telefone e moradas físicas. O relatório referiu que as chaves privadas e os fundos dos utilizadores não foram comprometidos directamente. A Ledger tem enfrentado anos de escrutínio por campanhas de phishing, dispositivos falsificados, aplicações falsas do Ledger Live e a sua funcionalidade Ledger Recover. A empresa tem reiteradamente afirmado que os seus dispositivos foram concebidos para manter as chaves privadas seguras.

Carteiras de hardware não resolvem riscos humanos de segurança

A crítica de ZachXBT incide em lacunas de segurança operacional, mais do que na criptografia do dispositivo. As carteiras de hardware são comercializadas como mais seguras do que as carteiras de software, porque mantêm as frases-semente e a assinatura de transacções isoladas de dispositivos ligados à internet. Contudo, ZachXBT argumenta que os dispositivos de hardware não conseguem impedir que os utilizadores introduzam frases-semente em sites de phishing, aprovem transacções maliciosas, comprem dispositivos falsificados ou se tornem alvos porque os seus dados pessoais foram expostos através de fornecedores ou processadores de pagamentos. Assim que os criminosos sabem que uma pessoa comprou uma carteira de hardware, podem direcioná-la com emails de phishing personalizados, mensagens falsas de suporte, tentativas de SIM-swap ou intimidação física. Para detentores de grande dimensão, a avaliação de ZachXBT sugere que a auto-custódia exige carteiras com multis assinatura, dispositivos de assinatura separados, listas de permissões de endereços, simulação de transacções, máquinas offline dedicadas e regras estritas contra a introdução de frases-semente em qualquer lugar excepto no próprio dispositivo.

FAQ

O que disse ZachXBT sobre carteiras de hardware?
ZachXBT chamou às carteiras de hardware “lixo completo” e disse que não recomenda a sua utilização, classificando a Ledger como a pior entre os principais fornecedores, segundo publicações em redes sociais reportadas pela Wu Blockchain.

Quanto de criptomoeda foi roubado no assalto de 10 de Janeiro que ZachXBT referiu?
Uma vítima perdeu mais de 282 milhões de dólares em Bitcoin e Litecoin num esquema de engenharia social a 10 de Janeiro, envolvendo aproximadamente 2,05 milhões de LTC e 1.459 BTC, segundo o relatório da The Defiant que cita ZachXBT.

Que informação pessoal foi exposta na violação de dados da Ledger?
A violação via o processador de pagamentos Global-e expôs nomes, emails, números de telefone e moradas físicas de clientes da Ledger, embora, segundo o relatório da Bit2Me sobre o alerta de ZachXBT em Janeiro, as chaves privadas e os fundos dos utilizadores não tenham sido comprometidos directamente.