- Acesso não autorizado na Global-e expôs nomes e dados de contato de clientes da Ledger.
- A Ledger confirma que frases de recuperação de fundos ou chaves privadas de carteiras não foram acessadas.
- Especialistas em segurança alertam que o vazamento de dados de contato aumenta os riscos de phishing e golpes.
O fabricante de carteiras de hardware Ledger está lidando com uma nova exposição de dados após um acesso não autorizado ocorrer nos sistemas de sua processadora de pagamentos terceirizada, a Global-e. O incidente envolveu detalhes pessoais de clientes, como nomes e informações de contato, extraídos da infraestrutura em nuvem da Global-e. Não há indicação de que fundos de carteiras, chaves privadas ou frases de recuperação tenham sido comprometidos em nenhum momento.
A Global-e notificou os clientes afetados por e-mail, informando que detectou atividade incomum em parte de seu ambiente em nuvem e iniciou uma investigação. A mensagem não revelou quantos clientes da Ledger foram impactados nem o momento exato do ataque. A notificação circulou publicamente pela primeira vez após ser compartilhada pelo investigador blockchain ZachXBT no X.
A Ledger confirmou o incidente, afirmando que a violação ocorreu inteiramente dentro dos sistemas da Global-e. A empresa disse que a Global-e atuou como controladora dos dados e, portanto, emitiu as notificações aos clientes.
Violação de Terceiros Confirmada pela Global-e
A Global-e disse que identificou atividade irregular e rapidamente aplicou controles de segurança para conter o problema. Em seguida, a empresa contratou especialistas forenses externos para revisar o incidente em detalhes.
Essa revisão confirmou acesso indevido a um conjunto limitado de dados pessoais de clientes.
Em seu e-mail, a Global-e informou aos clientes: “Contratamos especialistas forenses independentes para conduzir uma investigação sobre o incidente.” Acrescentou que os investigadores confirmaram que “alguns dados pessoais, incluindo nome e informações de contato, foram acessados de forma indevida”. A declaração não mencionou dados de pagamento ou credenciais de autenticação.
A Ledger posteriormente reforçou essas conclusões. A empresa informou que o acesso não autorizado afetou dados de pedidos armazenados nos sistemas de informação da Global-e. A Ledger reiterou que o incidente não afetou sua infraestrutura interna, dispositivos ou aplicativos.
Resposta da Ledger e Escopo da Segurança
A Ledger ressaltou que seus produtos de autocustódia permanecem inalterados pelo incidente.
A empresa esclareceu que a Global-e não pode acessar frases de recuperação, saldos de carteiras ou segredos de ativos digitais. A Ledger informou que seus sistemas de hardware e software continuam operando normalmente.
“Isto não foi uma violação da plataforma, hardware ou sistemas de software da Ledger”, disse a empresa.
Acrescentou que a Global-e apenas processava informações de compra e pedidos de clientes que compravam através do Ledger.com. Os canais de mídia social da Ledger atualmente não listam incidentes de segurança ativos.
A empresa também explicou por que a Global-e contatou os clientes diretamente. A Ledger afirmou que a Global-e controlava os dados afetados e, portanto, era responsável pelas notificações sobre a violação. Até o momento da publicação, nenhuma das empresas divulgou uma estimativa de clientes afetados.
Relacionado: CTO da Ledger alerta titulares de carteiras após hackeamento de conta NPM
Violações Anteriores e Riscos Atuais
O incidente segue vários eventos de segurança anteriores envolvendo a Ledger. Em junho de 2020, uma API terceirizada mal configurada expôs dados de marketing e e-commerce. Esse vazamento expôs aproximadamente um milhão de endereços de e-mail e dados de contato detalhados de 9.500 clientes.
Em 2023, atacantes exploraram uma biblioteca de software comprometida vinculada à Ledger. O ataque drenou entre US$ 484.000 e US$ 600.000 em criptomoedas em cinco horas. Aplicativos afetados incluíram SushiSwap, Zapper, MetalSwap e Harvest Finance.
ZachXBT posteriormente sugeriu que os clientes utilizassem informações de contato mínimas ou alternativas ao adquirir carteiras de hardware. A abordagem visa reduzir a eficácia de ataques de phishing direcionados caso bancos de dados sejam expostos. Especialistas em segurança continuam alertando que o vazamento de dados de contato pode alimentar ataques de engenharia social mesmo sem acesso à carteira.
