Cuidado com carteiras frias! Usuários de Trezor e Ledger estão recebendo cartas físicas contendo QR Codes de phishing

As técnicas de fraude em criptomoedas voltaram a evoluir, com vários utilizadores de carteiras físicas, incluindo Trezor, Ledger e outros, a reportar recentemente o recebimento de cartas físicas disfarçadas de notificações oficiais. Essas cartas solicitam a digitalização de um código QR para uma verificação forçada, na verdade, enganando os utilizadores para inserirem a frase-semente, permitindo assim o roubo de ativos. Este tipo de ataque não é novo e reforça os riscos de vazamento de dados pessoais e de engenharia social a longo prazo.

Cartas físicas disfarçadas de notificações oficiais exigem “verificação de identidade” dentro de um prazo

A equipa de cibersegurança Dmitry Smilyanets destacou que vários utilizadores receberam cartas impressas assinadas por Trezor ou Ledger, contendo afirmações de que é necessário completar uma “verificação de identidade (Authentication Check)” ou uma “verificação de transação (Transaction Check)” dentro de um prazo específico, sob pena de limitação do dispositivo.

Segundo relatos, as cartas apresentam um acabamento detalhado, incluindo assinaturas falsificadas, logótipos de marcas e etiquetas anti-falsificação, além de um código QR de verificação. Em alguns casos, as cartas até usaram a assinatura do CEO da Trezor, Matěj Žák.

Digitalizar o QR Code leva a um site falso, induzindo a inserir a frase-semente

Dmitry Smilyanets relatou que o QR Code nas cartas direciona o destinatário para um site malicioso que imita a página oficial, solicitando a inserção da frase-semente da carteira para completar uma suposta “verificação de segurança”. Uma vez inserida, a informação é enviada através de uma API de backend para os atacantes, permitindo que eles importem a carteira em outros dispositivos e transfiram os ativos.

Os representantes oficiais da Trezor e Ledger reiteram que nunca solicitam, por email, website ou carta física, que os utilizadores forneçam a frase-semente. Uma frase-semente vazada equivale a perder o controlo total da carteira.

Origem do ataque: vazamentos de dados do Ledger no passado tornaram-se alvo

Este tipo de fraude por carta física consegue atingir os destinatários com precisão devido a vazamentos de dados ocorridos nos últimos anos. Em 2020, a Ledger sofreu um incidente de segurança com o parceiro de comércio eletrónico Shopify, que expôs nomes e endereços físicos de dezenas de milhares de clientes. Em 2023, a Ledger Connect Kit também foi alvo de um ataque na cadeia de abastecimento. No início de 2024, a Trezor reportou a fuga de dados de contacto de 66.000 utilizadores.

No mês passado, a Ledger foi vítima de um ataque ao seu terceiro fornecedor de pagamentos, Global-e, que resultou na fuga de nomes e contactos de utilizadores. Apesar de a empresa afirmar que chaves privadas e informações de pagamento não foram comprometidas, esses dados podem ser utilizados em ataques de phishing. Mesmo que o dispositivo de carteira em si esteja seguro, a fuga de dados pessoais pode ser explorada repetidamente.

(Global-e, fornecedor de pagamentos da Ledger, sofre vazamento de dados; resposta oficial: “O dispositivo de carteira está seguro”)

Evolução das fraudes: de emails para engenharia social física

Observando as tendências recentes, os ataques de phishing evoluíram de emails e mensagens falsas de suporte ao cliente para a falsificação de aplicações, envio de dispositivos físicos falsificados e cartas físicas. As cartas físicas reduzem a desconfiança do utilizador, especialmente quando o design é altamente realista, tornando mais fácil a confusão. Essa sucessão de ataques reflete os riscos na proteção de dados e na dependência de terceiros na indústria de criptomoedas.

Dmitry Smilyanets alerta que, para os utilizadores, a principal linha de defesa continua a ser o princípio básico: “Nunca revele a frase-semente a ninguém, sob nenhuma circunstância.” Num contexto de incidentes de segurança cada vez mais frequentes, aumentar a vigilância dos utilizadores e a segurança da cadeia de abastecimento continuará a ser um desafio importante para a indústria.

Este artigo, Cuidado com carteiras frias! Utilizadores de Trezor e Ledger recebem cartas físicas com QR Codes de phishing, foi originalmente publicado na Chain News ABMedia.