Monitor de incidentes de segurança em carteiras cripto
Em 2026-10-25, acompanhamos 60 incidentes de segurança que afetaram carteiras de autocustódia populares e seus usuários desde 2018, incluindo 20 hacks, explorações ou vulnerabilidades divulgadas e 5 ataques à cadeia de suprimentos. A maior parte das perdas dos usuários veio de phishing, drainers e aplicativos falsos, e não de falhas na criptografia das carteiras.
Fatos rápidos
- Quais foram os maiores incidentes envolvendo carteiras?
- Safe{Wallet} (Bybit) (2025-02, ~$1.5B); Endereços personalizados do Profanity (Wintermute) (2022-09, ~$160M); Coldcard (Coinkite) (2026-07, ~$116M); Atomic Wallet (2023-06, >$100M)
- Qual é o incidente mais recente?
- 2026-10-09: Dispositivos Ledger vendidos pela CryptoBilis, revendedora do Sudeste Asiático listada como autorizada pela Ledger, traziam um implante oculto que lia a frase de 24 palavras durante a configuração e a enviava por um módulo celular (LTE); a Ledger confirmou o implante em comunicado datado de 10 de outubro. A CryptoBilis suspendeu as vendas, a Ledger orientou os donos desses dispositivos a transferir os fundos para um novo dispositivo com uma nova seed e, em 13 de outubro, pediu a revendedores de sete mercados asiáticos que retirassem o estoque. A MediaMarktSaturn também suspendeu as vendas da Ledger. A documentação da Ledger diz que o Genuine Check verifica o elemento seguro e não consegue detectar modificações físicas.
- Qual é a principal lição?
- A maioria das perdas começa fora da criptografia da carteira: sites de phishing, aplicativos falsos, aprovações maliciosas e cadeias de suprimentos comprometidas. Verifique os downloads, nunca digite sua frase-semente em um site e confira o que você assina.
Linha do tempo
| Data | Carteira | Tipo | Perda relatada | O que aconteceu | Fonte |
|---|---|---|---|---|---|
| 2026-10-09 | Ledger | cadeia de suprimentos | ~$86M–$93M | Dispositivos Ledger vendidos pela CryptoBilis, revendedora do Sudeste Asiático listada como autorizada pela Ledger, traziam um implante oculto que lia a frase de 24 palavras durante a configuração e a enviava por um módulo celular (LTE); a Ledger confirmou o implante em comunicado datado de 10 de outubro. A CryptoBilis suspendeu as vendas, a Ledger orientou os donos desses dispositivos a transferir os fundos para um novo dispositivo com uma nova seed e, em 13 de outubro, pediu a revendedores de sete mercados asiáticos que retirassem o estoque. A MediaMarktSaturn também suspendeu as vendas da Ledger. A documentação da Ledger diz que o Genuine Check verifica o elemento seguro e não consegue detectar modificações físicas. | cryptoslate.com |
| 2026-10-01 | MetaMask | outro | — | A MetaMask divulgou um 'incidente de segurança em andamento' que afetava parte de sua infraestrutura e, por precaução, começou a desativar os validadores de seu serviço de staking não custodial (incluindo seus validadores no Lido, com saída prevista para terminar até 7 de outubro). Disse não ter encontrado indícios de que carteiras ou fundos de clientes tenham sido afetados e não divulgou a causa. | thehackernews.com |
| 2026-09-09 | Trezor | phishing | — | Atacantes invadiram a Brevo, fornecedora de e-mail marketing da Trezor, e enviaram a partir de [email protected] e-mails de phishing sobre uma falsa 'vulnerabilidade do microcontrolador' STM32, que levavam a uma página para roubar frases-semente. A Trezor derrubou o domínio em cerca de 20 minutos, suspendeu sua conta na Brevo e afirmou que nenhum outro sistema da Trezor foi atingido. | bleepingcomputer.com |
| 2026-08-16 | SafePal | vazamento de dados | — | Um atacante explorou uma falha de autorização em um plug-in de rastreamento de pedidos da loja on-line da SafePal e obteve nomes, e-mails, telefones, endereços de entrega e detalhes de pedidos feitos entre março de 2025 e abril de 2026; frases-semente e chaves não foram expostas. A SafePal corrigiu a falha, contratou uma empresa de segurança externa e derrubou mais de 30 sites de phishing. | bleepingcomputer.com |
| 2026-08-11 | Rabby Wallet (extensão de navegador) | vulnerabilidade | — | O pesquisador V12 relatou uma falha de 'extração silenciosa de assinaturas' na extensão Rabby: um site malicioso ao qual o usuário tivesse se conectado podia obter assinaturas sem nenhum aviso quando o bloqueio automático estava configurado para 10 minutos. A Rabby lançou uma correção em 11 de agosto de 2026, disse que o aplicativo móvel não foi afetado e informou não ter conhecimento de exploração. | techflowpost.com |
| 2026-08-10 | Trezor | vazamento de dados | — | A ShipMonk, fornecedora de logística da Trezor, foi invadida por meio de uma vulnerabilidade no Metabase, expondo nomes, e-mails, telefones e endereços de entrega de pedidos feitos entre 10 de maio e 8 de agosto de 2026. Em 7 de setembro, a Trezor informou que também foram expostos dados de 67.000 clientes dos EUA que fizeram pedidos entre novembro de 2019 e agosto de 2021, porque a ShipMonk não os havia apagado. A Trezor disse que seus próprios sistemas e dispositivos não foram comprometidos e alertou para possíveis ondas de phishing subsequentes. | bleepingcomputer.com |
| 2026-07-30 | Coldcard (Coinkite) | vulnerabilidade | ~$116M | Um erro de configuração de build presente desde o firmware 4.0.1 do Coldcard (março de 2021) fez com que seeds em modelos Mk2/Mk3 afetados e, em menor grau, nos firmwares de Mk4, Mk5 e Q, viessem de um RNG de software fraco em vez da fonte de entropia de hardware, o que permitia descobri-las por força bruta; os roubos começaram em 30 de julho de 2026. A Coinkite lançou firmware corrigido em 31 de julho (Mk3 4.2.0, Mk4/Mk5 5.6.0, Q 1.5.0Q) e orientou os donos de seeds expostas a criar uma nova seed e transferir os fundos; a atualização protege apenas seeds novas. | trmlabs.com |
| 2026-07-24 | Sparrow Wallet (imitada) | aplicativo falso | ~$1.8M | Três usuários processaram a Apple em um tribunal federal da Califórnia, alegando que um aplicativo falso 'Sparrow Wallet' para iOS (a Sparrow verdadeira não tem versão para iOS) roubou suas frases-semente e bitcoins em meados de 2025. A Apple não quis comentar o processo, mas disse que no momento não havia imitações da Sparrow Wallet na App Store. | decrypt.co |
| 2026-06-03 | Trezor (Safe 7, chip TROPIC01) | vulnerabilidade | — | O Donjon, da Ledger, encontrou uma falha de injeção de falhas por laser no chip seguro TROPIC01 usado na Trezor Safe 7; ela exige posse física, decapsulação e equipamento de laboratório, e não pode ser corrigida por firmware nos chips existentes. A Trezor disse que as chaves da carteira e o backup não ficam armazenados nesse chip, de modo que fundos, PIN e backup não podem ser revelados, e que os usuários não precisam tomar nenhuma providência. | trezor.io |
| 2026-04-20 | Várias (MetaMask, Ledger, Trust Wallet, Coinbase e outras imitadas) | aplicativo falso | — | A Kaspersky relatou 26 aplicativos de carteira falsos na App Store da Apple, parte de uma campanha ativa desde pelo menos o outono de 2025. Eles induziam os usuários a instalar versões de carteiras com trojan por meio de um perfil de desenvolvedor ou pediam a frase de recuperação em telas falsas. | kaspersky.com |
| 2026-04-07 | Ledger (imitada) | aplicativo falso | ~$9.5M | Um aplicativo falso do Ledger Live na Mac App Store da Apple coletava frases de recuperação; ZachXBT associou a ele cerca de US$ 9,5 milhões em roubos entre 7 e 13 de abril de 2026, com três vítimas perdendo mais de US$ 1 milhão cada. A Apple removeu o aplicativo sem explicar como ele passou pela revisão. | theblock.co |
| 2026-02-14 | Trezor, Ledger | phishing | — | Cartas físicas em papel timbrado falso da Trezor e da Ledger afirmavam que uma 'Authentication Check' ou 'Transaction Check' obrigatória era necessária e usavam QR codes para levar os destinatários a sites de phishing que coletavam frases de recuperação. As duas empresas afirmam que nunca pedem a frase de recuperação. | bleepingcomputer.com |
| 2026-01-05 | Ledger | vazamento de dados | — | A Global-e, processadora de pagamentos de parte dos pedidos da Ledger.com, foi invadida, e nomes e dados de contato de clientes foram expostos. A Ledger disse que seu próprio hardware, software e plataforma não foram invadidos e que nenhum fundo corria risco. | bravenewcoin.com |
| 2025-12-24 | Trust Wallet (extensão de navegador) | cadeia de suprimentos | ~$8.5M | Uma versão maliciosa 2.68 da extensão para Chrome, publicada fora do processo de lançamento da própria Trust Wallet, extraiu frases de recuperação de usuários que fizeram login entre 24 e 26 de dezembro. A Trust Wallet diz ter alto grau de confiança de que o ataque teve origem no worm de npm Sha1-Hulud, de novembro de 2025, que expôs segredos de desenvolvedores no GitHub e uma chave de API da Chrome Web Store. A empresa lançou a v2.69, revogou suas APIs de publicação, derrubou o domínio usado para extrair os dados e abriu um processo de solicitações para reembolsar os usuários afetados. | trustwallet.com |
| 2025-12-20 | Geral (envenenamento de endereços) | phishing | ~$50M | Um trader copiou um endereço parecido, inserido em seu histórico de transações por um script de envenenamento de endereços, e enviou quase US$ 50 milhões em USDT para ele após uma pequena transferência de teste. O atacante lavou os fundos via DAI, ETH e Tornado Cash; a vítima ofereceu uma recompensa de US$ 1 milhão. | theblock.co |
| 2025-12-16 | Exodus | política | — | O OFAC, do Departamento do Tesouro dos EUA, anunciou um acordo de US$ 3.103.360 com a Exodus Movement por 254 aparentes violações das sanções contra o Irã (12 consideradas graves). Entre outubro de 2017 e janeiro de 2019, a equipe de suporte da Exodus ajudou usuários no Irã, em alguns casos ajudando-os a acessar corretoras parceiras e, em 12 ocasiões, sugerindo VPNs. Não foi um hack; nenhum fundo de usuário foi afetado. | ofac.treasury.gov |
| 2025-09-08 | Geral (cadeia de suprimentos do npm) | cadeia de suprimentos | ~$600 | Depois de aplicar phishing em um mantenedor, atacantes publicaram versões maliciosas do chalk, do debug e de cerca de 18 outros pacotes npm. O código interceptava window.ethereum e chamadas de rede nos navegadores para trocar endereços de destinatários de criptomoedas. As versões maliciosas foram detectadas rapidamente e renderam muito pouco aos atacantes. | thehackernews.com |
| 2025-06-23 | Trezor | phishing | — | Atacantes enviaram solicitações pelo formulário de suporte da Trezor em nome das vítimas para que os próprios e-mails de resposta automática da Trezor levassem conteúdo de phishing. A Trezor disse que seus sistemas e dados não foram acessados, fez com que o site de phishing fosse derrubado e afirmou estar trabalhando para evitar novos abusos. | theblock.co |
| 2025-05-07 | Geral (Inferno Drainer) | drainer | >$9M | A Check Point relatou que o Inferno Drainer voltou a ser usado, atraía vítimas por meio de páginas falsas de verificação do Collab.Land no Discord e passou a usar contratos de uso único e configuração on-chain criptografada para evitar detecção. | decrypt.co |
| 2025-04 | Ledger | phishing | — | Usuários da Ledger receberam cartas físicas exigindo uma 'validação obrigatória da carteira' via QR code e a digitação da frase de recuperação. A Ledger confirmou que as cartas eram golpe e disse que nunca pede as 24 palavras. | theblock.co |
| 2025-03-05 | Trezor | vulnerabilidade | — | O Donjon, da Ledger, mostrou que aplicar voltage glitching em um microcontrolador dessoldado podia contornar algumas proteções da cadeia de suprimentos da antiga Trezor Safe 3. A Trezor divulgou o problema, classificou-o como difícil de explorar, destacou as passphrases e as verificações de firmware e observou que a Safe 5 usa um chip resistente a glitches. | theblock.co |
| 2025-02-21 | Safe{Wallet} (Bybit) | cadeia de suprimentos | ~$1.5B | Atacantes atribuídos ao Lazarus comprometeram a máquina de um desenvolvedor da Safe{Wallet} e alteraram o JavaScript do front-end no bucket AWS S3 da Safe, o que levou os signatários da Bybit a aprovar uma transação maliciosa disfarçada em sua cold wallet. A Safe reconstruiu sua infraestrutura, trocou todas as credenciais, restabeleceu o serviço e afirmou que seus smart contracts não eram vulneráveis. | slowmist.medium.com |
| 2025-02-06 | Geral (SparkCat) | aplicativo falso | — | A Kaspersky encontrou o SDK SparkCat em aplicativos da App Store e do Google Play; ele usava OCR no próprio dispositivo para encontrar capturas de tela de frases de recuperação nas galerias de fotos e enviá-las. As duas lojas removeram os aplicativos. | thehackernews.com |
| 2025-01-21 | Ledger | outro | — | Balland e sua companheira foram sequestrados na França para pagamento de resgate em cripto e libertados pela polícia em poucos dias, depois que o dedo de Balland foi ferido; dez suspeitos foram presos. É um caso emblemático do aumento dos 'wrench attacks', ataques físicos contra detentores de cripto. | thelocal.fr |
| 2025-01 | Geral (envenenamento de endereços) | phishing | >$83.8M | Um estudo apresentado no USENIX Security 2025 mediu cerca de 270 milhões de tentativas de envenenamento de endereços no Ethereum e na BSC ao longo de aproximadamente dois anos, com pelo menos US$ 83,8 milhões perdidos. | arxiv.org |
| 2024-12-30 | Tangem | vulnerabilidade | — | Um bug de registro (logging) no aplicativo móvel gravava chaves privadas nos logs quando o usuário criava uma carteira com frase-semente, e esses logs podiam chegar ao suporte da Tangem. A Tangem corrigiu o problema em 30 de dezembro de 2024, apagou os logs do suporte, contatou os usuários afetados e disse que nenhum fundo foi perdido, mas foi criticada por divulgar pouco publicamente. | cointelegraph.com |
| 2024-09 | WalletConnect (imitado) | aplicativo falso | ~$70,000 | A Check Point encontrou um aplicativo falso 'WalletConnect' no Google Play que esvaziou carteiras por cerca de cinco meses, o primeiro drainer de cripto exclusivamente móvel que a empresa havia visto. O aplicativo foi removido. | thehackernews.com |
| 2024-05-17 | Geral (Pink Drainer) | drainer | ~$85M | O Pink Drainer, operação de drainer como serviço conhecida por sequestrar contas do Discord e do X, anunciou seu encerramento após cerca de US$ 85 milhões em roubos (ScamSniffer). | theblock.co |
| 2024-05-03 | Geral (envenenamento de endereços) | phishing | ~$68M | Uma baleia enviou US$ 68 milhões em WBTC para um endereço parecido envenenado. Após negociações on-chain, o atacante devolveu quase todos os fundos em cerca de uma semana. | unchainedcrypto.com |
| 2024-02-12 | Safe (explorada pelo Angel Drainer) | drainer | ~$403,000 | O Angel Drainer implantou um contrato malicioso de cofre Safe e levou vítimas a assinar aprovações Permit2, com o selo 'verified' do Etherscan transmitindo uma falsa sensação de segurança. A Blockaid disse que a própria Safe não foi atacada. | cointelegraph.com |
| 2024-02-06 | Exodus (imitada) | aplicativo falso | ~$490K | Um snap falso de carteira 'Exodus' na Snap Store do Ubuntu roubava frases de recuperação; a Canonical o colocou em quarentena após uma denúncia em 12 de fevereiro. Um snap falso do Ledger Live, em setembro de 2023, havia custado cerca de US$ 10 mil a um usuário. | blog.popey.com |
| 2024-01-17 | Trezor | vazamento de dados | — | Um atacante acessou um portal de tickets de suporte de terceiros e expôs nomes e e-mails de pessoas que haviam contatado o suporte da Trezor desde dezembro de 2021; pelo menos 41 receberam phishing em busca da frase-semente. A Trezor enviou e-mails aos usuários afetados e disse que nenhum ativo foi comprometido. | forklog.com |
| 2023-12-14 | Ledger (Connect Kit) | cadeia de suprimentos | ~$600,000 | A conta npm de um ex-funcionário vítima de phishing foi usada para publicar um Ledger Connect Kit malicioso que injetava um drainer em dApps que usavam a biblioteca. A Ledger lançou uma correção, comprometeu-se a indenizar integralmente as vítimas e anunciou que eliminaria gradualmente a assinatura às cegas (blind signing) em favor do Clear Signing. | cointelegraph.com |
| 2023-12-12 | OKX Wallet / OKX DEX | hack | ~$2.7M | Um suposto vazamento de uma chave de administrador de proxy permitiu que atacantes atualizassem um contrato descontinuado da OKX DEX e drenassem tokens que os usuários haviam aprovado. A OKX revogou as permissões e se comprometeu a reembolsar os usuários afetados. | theblock.co |
| 2023-11-14 | Geral (BitcoinJS 'Randstorm') | vulnerabilidade | — | A Unciphered divulgou o 'Randstorm', aleatoriedade fraca em carteiras de navegador baseadas em BitcoinJS geradas entre 2011 e 2015 (a partir do JSBN SecureRandom e do Math.random do navegador), que pode permitir descobrir chaves por força bruta. Os donos foram orientados a transferir os fundos. | forklog.com |
| 2023-11 | Geral (Inferno Drainer) | drainer | >$80M | O Inferno Drainer, ativo desde novembro de 2022 e imitando mais de 100 marcas de cripto em mais de 16.000 domínios de phishing, anunciou seu encerramento em novembro de 2023 (Group-IB). | group-ib.com |
| 2023-10-19 | Ledger Live (imitado) | aplicativo falso | ~$768,000 | Um aplicativo falso do Ledger Live na Microsoft Store, disponível desde 19 de outubro de 2023, roubava frases de recuperação, conforme alertado por ZachXBT. A Microsoft o removeu. | bitdefender.com |
| 2023-09-05 | Geral (vazamento do LastPass) | vazamento de dados | >$35M | Pesquisadores associaram uma série de roubos de cripto a frases-semente guardadas em cofres do LastPass roubados no vazamento de 2022 e quebrados offline. Eles disseram que a ligação era provável, mas não conclusiva. | krebsonsecurity.com |
| 2023-08-08 | Libbitcoin Explorer (bx) — 'Milk Sad' | vulnerabilidade | >$900,000 | O comando `bx seed` usava um PRNG inicializado pelo horário com apenas 32 bits de entropia (CVE-2023-39910), o que permitia descobrir as seeds por força bruta. A Libbitcoin contestou que se tratasse de um bug, citando os avisos em sua documentação. | unchainedcrypto.com |
| 2023-06-03 | Atomic Wallet | hack | >$100M | Fundos de milhares de usuários da Atomic Wallet foram drenados em um ataque que a Elliptic atribuiu ao Lazarus Group, da Coreia do Norte. A Atomic nunca confirmou a causa raiz, listando quatro vetores possíveis; trabalhou com corretoras, Chainalysis e Crystal para congelar fundos e não anunciou reembolso. | decrypt.co |
| 2023-05 | Ledger (Recover) | política | — | A Ledger anunciou o Ledger Recover (16 de maio de 2023), um serviço pago opcional que criptografa a frase-semente e a divide entre três custodiantes. Usuários objetaram que o firmware poderia extrair chaves, e o CEO Pascal Gauthier pediu desculpas pela comunicação, prometeu acelerar a abertura do código e adiou o lançamento. | forklog.com |
| 2023-04-22 | Trust Wallet (extensão de navegador) | vulnerabilidade | ~$170,000 | Uma falha de entropia em WebAssembly no Trust Wallet Core tornou adivinháveis algumas carteiras geradas pela extensão, e duas explorações se seguiram. A Trust Wallet corrigiu o problema, protegeu a maior parte dos fundos em risco e organizou reembolsos. | theblock.co |
| 2023-02 | OneKey | vulnerabilidade | — | A Unciphered publicou um vídeo extraindo segredos de um OneKey Mini por meio de uma falha de firmware em cerca de um segundo. A OneKey disse que havia corrigido a falha. | unciphered.com |
| 2022-12 | BitKeep (hoje Bitget Wallet) | aplicativo falso | ~$8M | APKs Android do BitKeep com trojan, distribuídos por sites de phishing, roubavam chaves privadas; a versão do Google Play não foi afetada. | halborn.com |
| 2022-10-18 | BitKeep Swap (hoje Bitget Wallet) | hack | ~$1M | O recurso Swap do BitKeep foi explorado na BNB Chain e na Polygon. O BitKeep suspendeu o Swap e prometeu 100% de compensação por meio de um portal de solicitações. | web3.bitget.com |
| 2022-10-11 | Rabby Wallet | hack | — | Menos de um mês após o lançamento, uma exploração no contrato roteador do Rabby Swap drenou tokens que os usuários haviam aprovado. A Rabby orientou os usuários do Swap a revogar todas as aprovações. | theblock.co |
| 2022-09-20 | Endereços personalizados do Profanity (Wintermute) | vulnerabilidade | ~$160M | A formadora de mercado Wintermute perdeu US$ 160 milhões, o que foi amplamente atribuído ao fato de sua hot wallet de administração ser um endereço personalizado (vanity) gerado pelo Profanity, cuja chave podia ser descoberta por força bruta. A 1inch havia divulgado a falha do Profanity uma semana antes. | theblock.co |
| 2022-08-02 | Slope Wallet | vulnerabilidade | ~$4M–$5M | O aplicativo móvel da Slope enviava frases-semente a um servidor de logs do Sentry, onde eram armazenadas sem criptografia (Otter Sec). A Slope orientou os usuários a transferir os fundos; a Phantom disse que seus sistemas não foram comprometidos e que os usuários da Phantom afetados haviam importado seeds da Slope. | theblock.co |
| 2022-06-16 | MetaMask, Phantom (e Brave) | vulnerabilidade | — | A divulgação 'Demonic', da Halborn, mostrou que arquivos de 'restauração de sessão' do navegador podiam armazenar frases-semente sem criptografia no disco. MetaMask e Phantom lançaram correções. | theblock.co |
| 2022-04-17 | MetaMask (iOS) | phishing | ~$650,000 | Um golpe por telefone tomou o controle do Apple ID de um usuário e usou o backup no iCloud de seu cofre da MetaMask para esvaziar a carteira. A MetaMask alertou os usuários e publicou instruções para desativar o backup do aplicativo no iCloud. | decrypt.co |
| 2022-04-03 | Trezor | phishing | — | Uma invasão com ajuda interna na Mailchimp fez com que clientes da Trezor recebessem e-mails de phishing que promoviam um falso aplicativo 'Trezor Suite' criado para roubar frases-semente. A Trezor derrubou o domínio e pausou as newsletters. | siliconrepublic.com |
| 2021-06-16 | Ledger | phishing | — | Usando dados do vazamento de 2020, criminosos enviaram pelo correio dispositivos Ledger Nano X falsos e adulterados, apresentados como 'substitutos', que instruíam as vítimas a executar um software e digitar sua frase de recuperação. A Ledger reiterou que nunca pede a frase. | bleepingcomputer.com |
| 2021-01-22 | Trezor (imitada) | aplicativo falso | >$1M | Um aplicativo falso 'Trezor' na App Store da Apple, disponível de 22 de janeiro a 3 de fevereiro de 2021, coletou frases-semente; uma imitação semelhante apareceu no Google Play. | malwarebytes.com |
| 2020-12-20 | Ledger | vazamento de dados | — | O banco de dados de e-commerce da Ledger roubado em junho de 2020 foi divulgado publicamente no RaidForums, alimentando anos de campanhas de phishing, extorsão e dispositivos falsos. A Ledger havia desativado a chave de API explorada e notificado a CNIL, da França, em julho de 2020. | decrypt.co |
| 2020-03-24 | Geral (aprovações ilimitadas de tokens) | vulnerabilidade | — | A ZenGo mostrou que a maioria das carteiras para dApps concedia permissões (allowances) ERC-20 ilimitadas que um dApp mal-intencionado poderia drenar depois. A Trust Wallet disse que faria atualizações; MetaMask e Brave já ofereciam controles avançados de permissões. | cointelegraph.com |
| 2020-01-31 | Trezor | vulnerabilidade | — | O Kraken Security Labs extraiu seeds criptografadas de dispositivos Trezor em menos de 15 minutos de acesso físico usando voltage glitching; a falha do microcontrolador não pode ser corrigida. A Trezor disse que uma passphrase BIP39 neutraliza o ataque. | theblock.co |
| 2019-04 | Electrum | outro | — | Uma botnet espalhada via Smoke Loader/RIG lançou ataques DDoS contra servidores Electrum legítimos para empurrar clientes antigos para servidores maliciosos de phishing. A Electrum usou uma falha de DoS em clientes anteriores à versão 3.3 para forçar atualizações e publicou orientações para operadores de servidores. | malwarebytes.com |
| 2019-02-22 | Coinomi | vulnerabilidade | — | Um usuário mostrou que a carteira para desktop da Coinomi enviava o texto do campo de restauração, incluindo frases-semente, para a API de verificação ortográfica do Google. A Coinomi atribuiu o problema a um plug-in mal configurado e o corrigiu em 22 de fevereiro de 2019. | theblock.co |
| 2018-12-27 | Trezor, Ledger | vulnerabilidade | — | A equipe do wallet.fail demonstrou no 35C3 ataques contra a Trezor One (extração da chave sem passphrase) e os Ledger Nano S/Blue. A Trezor prometeu uma correção de firmware e criticou a falta de divulgação coordenada. | crowdfundinsider.com |
| 2018-12-21 | Electrum | phishing | >$4M | Servidores Electrum maliciosos exploraram a capacidade do cliente de exibir mensagens de erro em rich text para mostrar falsos avisos de 'atualização' com links para carteiras com trojan que roubavam seeds ou redirecionavam pagamentos. A Electrum corrigiu o problema nas versões 3.3.3/3.3.4 e depois forçou atualizações. | malwarebytes.com |
Como se proteger
Baixe carteiras apenas do site oficial ou da página na loja de aplicativos, digitando o endereço você mesmo; nunca digite uma frase-semente em um site nem a compartilhe com o "suporte"; leia cada transação e aprovação antes de assinar; confira cada caractere de um endereço colado, não apenas os primeiros e os últimos, porque o envenenamento de endereços copia justamente esses; e mantenha valores altos em uma carteira de hardware. Veja segurança da frase-semente e golpes com carteiras cripto.
Metodologia e citação
As entradas vêm de relatórios pós-incidente dos fornecedores, pesquisadores de segurança e cobertura jornalística confiável; cada linha indica sua fonte. Os valores de perdas são os relatados na época. Jornalistas e pesquisadores podem citar esta página; pedimos que incluam um link para ela. Os dados podem ser baixados gratuitamente em nossa página de imprensa. Correções são bem-vindas.