Este artigo foi compilado e organizado pela BlockWeeks
Esta semana, duas linhas principais — segurança cripto e regulamentação — esquentaram simultaneamente: de um lado, a cadeia de suprimentos da Ledgercarteira hardware foi implantada com hardware malicioso, causando o roubo em massa de aproximadamente US$ 91 milhões em ativos; do outro lado, o Office of the Comptroller of the Currency (OCC) dos EUA divulgou um relatório confirmando que o sistema bancário havia, sob o nome de "risco reputacional", praticado desbancarização de clientes legítimos, fornecendo uma corroboração parcial em nível oficial das alegações de longa data da indústria cripto.
Ataque à cadeia de suprimentos da Ledger: não quebrar chaves privadas, mas ler as seed phrases
A Ledger está investigando um roubo envolvendo aproximadamente US$ 91 milhões. Os usuários afetados compraram carteiras hardware por meio do distribuidor do Sudeste Asiático CryptoBilis, e a Ledger confirmou que pelo menos um dispositivo vendido foi implantado com um módulo de hardware capaz de ler a seed phrase exibida na tela. A CryptoBilis já foi listada no site oficial da Ledger como distribuidora autorizada para Indonésia, Malásia e Filipinas.
Em 9 de outubro, a Ledger pediu ao distribuidor que suspendesse todas as vendas e envios e notificasse os usuários que compraram dispositivos nos últimos 90 dias para não configurarem seus dispositivos; se já configurados, deveriam transferir imediatamente os fundos para um novo dispositivo e usar uma seed phrase recém-gerada. No dia seguinte, a Ledger confirmou que "o dispositivo de um usuário afetado continha um implante de hardware não autorizado". Na terça-feira, a Ledger explicou melhor como funciona: dentro da carcaça do dispositivo há um componente independente que lê a tela durante a configuração, captura a seed phrase de 24 palavras e então a envia para fora via rede LTE por meio de um eSIM pré-instalado. O módulo não toca no Secure Element nem no sistema operacional da Ledger, portanto dispositivos adulterados ainda podem passar no Genuine Check da Ledger.
Desmontagens independentes descobriram que o implante passou por pelo menos três gerações, sendo a versão mais recente um circuito flexível fabricado profissionalmente e oculto sob o display. A Ledger declarou que seus próprios sistemas e canais de venda direta não foram comprometidos, que o número de afetados é "limitado" e que todos os casos confirmados até agora envolvem dispositivos vendidos por meio da CryptoBilis. O distribuidor suspendeu todas as vendas de hardware.
Fluxos de fundos on-chain: 474 endereços, 88% do valor varrido em uma hora
On-chain, isso não parece vítimas dispersas sendo roubadas individualmente, mas sim uma colheita em massa. Estatísticas mostram que aproximadamente US$ 91 milhões saíram de 474 endereços de vítimas, abrangendo Bitcoin, Ethereum, Arbitrum, Polygon e TRON: cerca de US$ 64,5 milhões em USDT e TRX vieram de 146 endereços TRON; 213 BTC (cerca de US$ 17,6 milhões) vieram de 279 endereços Bitcoin; e outros US$ 8,8 milhões em ETH e stablecoins vieram de 49 endereços do tipo Ethereum. Se a BNB Chain, que ainda não foi incluída nas estatísticas, for contabilizada, empresas de rastreamento apresentam números ligeiramente maiores, de US$ 93 milhões a US$ 95 milhões; os US$ 91 milhões mencionados são o limite inferior.
A varredura dos endereços Bitcoin começou em 7 de outubro, mas 88% do valor — cerca de US$ 80 milhões — foi transferido de forma concentrada dentro de uma hora a partir das 05:00 UTC de 9 de outubro, exatamente a manhã do dia em que a Ledger emitiu sua primeira declaração. Quase todos os endereços Bitcoin das vítimas nunca haviam gastado antes, pertencendo a armazenamento frio, e a maioria dos fundos havia sido depositada nos últimos 90 dias; alguns endereços podem ser rastreados até 2021, consistente com seed phrases antigas sendo restauradas em dispositivos adulterados.
Até 15 de outubro, cerca de US$ 56,6 milhões permanecem em endereços controlados pelos atacantes: cerca de 208 BTC permanecem intocados em endereços de agregação Bitcoin; cerca de 12.800 ETH (muitos dos quais foram transferidos via bridge a partir do TRON) e 7,5 milhões de USDT permanecem em contas de trânsito TRON criadas na manhã do roubo. Cerca de 5.400 ETH (US$ 13,5 milhões) passaram pelo Tornado Cash, cerca de US$ 2 milhões parecem ter chegado a endereços de depósito de exchanges, e a Tether congelou US$ 10 milhões em USDT relacionados a este caso. Pelo menos uma vítima se dirigiu aos ladrões on-chain, declarando que uma certa porcentagem poderia ser dada se os ativos restantes fossem devolvidos.
O risco real não está nas curvas elípticas, mas nas cadeias de suprimentos e na economia dos ataques da era da IA
Uma análise de duas semanas atrás apontou que hoje poucas pessoas atacam diretamente a própria matemática da chave privada; os atacantes, em vez disso, atacam o elo que "diz à matemática o que fazer". O caso do roubo do distribuidor da Ledger é uma réplica no mundo físico dessa lógica. O Secure Element fez o seu trabalho; a frase semente foi simplesmente lida da tela por um chip que nunca deveria ter existido.
Na era da IA, a forma como as vulnerabilidades de segurança cibernética são expostas está mudando. Pesquisas recentes discutiram se a IA acabará por quebrar o ECDSA, mas a ameaça iminente não é um avanço matemático. Nenhuma das perdas deste trimestre exigiu um avanço matemático: a falha de compilação de firmware da Coldcard, a vulnerabilidade do cache de validação da Liquid, o produto de segurança de terceiros comprometido da Bitget e, agora, o circuito flexível e o eSIM. Nenhum desses incidentes foi atribuído a ferramentas de IA, nem deveria ser. Mas a IA está mudando a economia de tudo o que envolve as chaves privadas.
Os modelos de fronteira já conseguem encontrar vulnerabilidades reais em código amplamente utilizado, e a janela entre a divulgação da vulnerabilidade e a sua exploração está a colapsar. A Hacken atribuiu 77% das perdas do terceiro trimestre a ferramentas de fornecedores e desenvolvedores, correções divulgadas mas não implementadas e infraestrutura fora do âmbito de auditoria. As mesmas ferramentas também permitem que as operações de ataque escalem a baixo custo: uma loja aparentemente credível, um "atendimento ao cliente" responsivo e um backend que arquiva centenas de frases semente e aguarda a chegada dos depósitos. Para quem constrói ou detém ativos neste setor, isso significa que se deve assumir que cada dependência e cada elo da cadeia de suprimentos está a ser continuamente sondado por adversários incansáveis e, antes que os adversários o façam, aplicar a mesma automação à revisão do próprio código, firmware e fornecedores.
O risco único dos ativos digitais ao portador: não podem ser confiscados, nem recuperados
É assim que os ativos digitais ao portador se parecem quando a custódia falha. A propriedade que torna o Bitcoin impossível de confiscar também o torna impossível de recuperar. Não há emissor a responsabilizar, não há mecanismo de reembolso e nenhuma ordem judicial que possa reverter diretamente uma transferência on-chain. A finalidade dos ativos é uma vantagem quando estão seguros e torna-se uma perda irreversível quando são roubados.
Relatório do OCC: bancos desbancarizaram sob "risco reputacional", setor cripto obtém vindicação parcial
A revisão do OCC confirmou que os bancos se basearam em políticas de "risco reputacional" sem padrões claros e mensuráveis, e usaram-nas para cortar serviços devido às opiniões políticas, religiosas e sociais dos clientes. Os casos incluem um processador de pagamentos detido pelo JPMorgan tendo a sua conta encerrada porque um comerciante vendia produtos MAGA, e uma linha de negócios da Capital One rejeitando grupos políticos de ambos os partidos. Restrições informais ao nível do setor a armas de fogo, carvão, perfuração no Ártico, prisões privadas, tabaco e ativos digitais atingiram mais duramente as pequenas e médias empresas, enquanto grandes clientes altamente lucrativos frequentemente obtêm exceções.
O OCC também alertou que alguns bancos estão a renomear o risco reputacional como "risco de franquia" ou "risco de marca", e que nenhum banco reconheceu publicamente decisões passadas de desbancarização. Para o setor cripto, isto é uma vindicação parcial: a inclusão dos ativos digitais na lista de restrições ao nível do setor na desbancarização bancária mostra que a exclusão anterior não era puramente um julgamento comercial.
Desde a crise financeira de 2008, os bancos foram mais profundamente incorporados no sistema regulatório do governo dos EUA. A Lei Dodd-Frank e os requisitos de capital mais elevados para os bancos globalmente sistemicamente importantes (GSIBs) tornaram-se uma forma eficaz de o governo regular o sistema financeiro em geral. A relação entre os bancos e os reguladores também mudou em conformidade: na narrativa do campo de Elizabeth Warren, os bancos eram outrora o inimigo da "Main Street", mas agora são vistos como nós-chave para garantir que a regulação seja aplicada e a vontade do governo seja implementada.
Esta politização não é abstrata na tomada de decisões internas dos bancos. Uma mesa de negociação viveu semanas tensas após o motim no Capitólio de 6 de janeiro, com os chefes de negócios a discutir se continuariam a prestar serviços bancários a Donald Trump, sendo a questão central precisamente o risco reputacional. O relatório do OCC equivale a um reconhecimento de que tais padrões vagos podem ser usados para filtrar opiniões políticas, religiosas e sociais.
Mas o próprio relatório não fornece automaticamente proteção futura. O OCC alertou que alguns bancos estão a mudar os rótulos, e nenhum banco reconheceu publicamente decisões passadas. Se os reguladores continuam a aplicar a lei, se o Congresso legisla e se os bancos mudam os incentivos determinará se a desbancarização regressa sob uma nova forma.
Para os participantes do mercado, o incidente da Ledger e o relatório do OCC apontam juntos para a mesma coisa: segurança e acesso não são slogans abstratos. O primeiro exige incorporar cadeias de suprimentos, firmware, ferramentas de terceiros e rastreamento on-chain ao controle de riscos diário; o segundo lembra ao setor que a absolvição regulatória é apenas um ponto de partida, e a proteção institucional ainda precisa ser continuamente conquistada.
