A Ledger, fabricante de uma das carteiras de hardware mais populares em criptografia, confirmou na segunda-feira que um tesouro de dados de clientes foi exposto em uma violação ligada ao seu processador de pagamentos terceirizado, Global-e, enviando novas ondas de preocupação através da comunidade criptográfica.
Embora a Ledger afirme que as chaves privadas, os fundos da carteira e as informações de pagamento não foram acedidas, o incidente expôs os nomes e detalhes de contacto dos utilizadores que compraram dispositivos através da sua loja online, reacendendo temores de longa data sobre fugas recorrentes de dados e os riscos no mundo real que podem criar.
Poucas horas após a divulgação, os usuários começaram a relatar um aumento no número de e-mails de phishing e tentativas de golpes. Os fraudadores se passando por suporte da Ledger ou da Global-e pareciam estar explorando os dados vazados para pressionar os destinatários a entregar informações confidenciais.
Esta não é a primeira violação de dados que a Ledger enfrenta. Em 2020, a plataforma foi vítima de outra violação em grande escala que afetou quase 300.000 utilizadores. Em 2021, os golpistas enviaram carteiras de hardware Ledger falsas aos usuários após essas tentativas de phishing.
Pesquisadores de segurança alertam que campanhas semelhantes após vazamentos anteriores do Ledger levaram a aquisições de carteiras, perdas financeiras e, em alguns casos, preocupações sobre alvos físicos nos chamados “ataques de chave inglesa”.
O último vazamento de dados da Ledger levanta questões urgentes sobre quem está em maior risco e o que os usuários podem fazer de forma realista para se protegerem.
Quem está em risco?
Especialistas em segurança dizem que o risco vai além daqueles cujos dados foram expostos. Qualquer pessoa conhecida por possuir uma carteira de hardware pode se tornar alvo de phishing ou engenharia social, independentemente de suas informações aparecerem em um banco de dados vazado.
“Se você faz parte do vazamento, o risco é ainda maior porque faz de você um alvo oficial datado”, disse Ouriel Ohayon, CEO da Zengo Wallet e especialista em segurança de carteira, ao CoinDesk.
Certos tipos de dados vazados aumentam significativamente o risco de ameaça de uma pessoa Alexander Urbelis, Diretor de Segurança da Informação da e um especialista em segurança cibernética disse que as informações de endereço físico são particularmente sensíveis. Um “endereço residencial em um conjunto de dados violado que poderia ser vinculado a uma carteira de hardware”, disse ele, “aumenta o perfil de risco para essas pessoas”.
Como é o ataque de phishing direcionado ao Ledger agora?
Os usuários relataram receber e-mails não solicitados alegando ser do suporte da Ledger, mesmo quando não possuem uma carteira Ledger. Especialistas dizem que os invasores geralmente dependem menos de explorações técnicas e mais de pressão psicológica.
“Os melhores golpes de phishing são jogos de confiança: eles utilizam como arma a confiança e a pressão de tempo, não necessariamente o código”, disse Urbelis. “Eles começam lisonjeando sua confiança usando seu nome real e detalhes reais do pedido e depois se voltam para o medo e a urgência com um ‘alerta de segurança’ ou ‘dispositivo de substituição’ que exige que você aja agora.”
Estas mensagens, acrescentou, chegam cada vez mais “por SMS ou como chamadas convincentes de ‘suporte’ não solicitadas”, e não apenas por e-mail.
O que pode ser feito para se proteger?
Os especialistas enfatizam que nenhuma empresa legítima jamais solicitará uma frase de recuperação – e que o contato não solicitado é, em si, um sinal de alerta.
“Obviamente, nunca compartilhe sua frase-semente com ninguém. Nunca”, disse Ohayon sobre Zengo. Ele acrescentou que os usuários devem sempre verificar o verdadeiro remetente de um e-mail e evitar responder a “mensagens diretas não solicitadas ou mensagens de suporte ao cliente que chegam ‘fora dos canais’ (e-mails, aplicativos de mensagens ou até mesmo cartas em papel)”.
Você precisa movimentar fundos ou trocar de carteira?
Ambos os especialistas alertaram contra atividades on-chain impulsionadas pelo pânico. A movimentação de fundos não reduz necessariamente o risco e pode introduzir novos perigos se os utilizadores agirem precipitadamente.
“Uma vez identificado como proprietário da carteira, não importa onde a criptografia está armazenada. Você, e não a carteira em si, é o alvo”, disse Ohayon. Ele acrescentou que a movimentação de fundos pode ser contraproducente porque “a movimentação de fundos seria pública e os hackers também seguiriam o rastro”.
Urbelis repetiu esse conselho, alertando que a pressa para mover ativos pode expor os usuários a tentativas de phishing oportunas.
“Eu não aconselharia pressa para movimentar fundos porque é assim que alguém poderia ser vítima de um ataque de phishing na hora certa”, disse ele. “Vazamentos off-chain como este apresentam riscos de phishing, portanto os usuários devem agir com maior cautela ao lidar com e-mails, mensagens SMS, responder a mensagens de voz, chamadas, etc., no futuro próximo.”
Ele acrescentou que a ação on-chain deve ser reservada para sinais claros de comprometimento: “Se um usuário auditar uma conta e observar atividades incomuns, é hora de agir on-chain”.
Proteger sua privacidade é fundamental
Especialistas dizem que a privacidade continua sendo a defesa mais forte a longo prazo. Ohayon pediu aos usuários que limitassem o quanto revelam sobre si mesmos, tanto online quanto offline.
“Proteja a privacidade deles a todo custo. Não divulgue publicamente o que você possui ou faz”, disse ele. “Os hackers procuram sinais públicos sobre sua riqueza potencial ou riqueza criptográfica.”
Urbelis enquadrou a ameaça como algo que, em última análise, depende de erro humano.
“Nossos cérebros são nosso melhor baluarte contra a fraude: diminua a velocidade, questione a história e confirme a fonte antes de clicar ou conectar-se”, disse ele. “Só depois disso vem a regra fundamental da segurança criptográfica: nunca, sob nenhuma circunstância, compartilhe sua frase de recuperação.”
Leia mais: Ledger, empresa de carteira criptografada, enfrenta violação de dados de clientes por meio do processador de pagamentos Global-e
Fontecoindesk
