O email do "update de firmware"

Março 2025. Um titular em Curitiba recebe um email de support@ledger-security.com com o assunto "Patch crítico de segurança — ação necessária em 24 horas". O email está bem formatado, inclui o logo Ledger, faz referência ao vazamento de dados de clientes de 2020 (que é informação pública) e leva a uma "ferramenta de update de firmware". A ferramenta pede a frase de recuperação de 24 palavras "para verificar a posse do dispositivo antes do patch".

A frase é digitada. Em 40 minutos, a carteira é esvaziada.

O rastro de cinco anos do vazamento Ledger

Em 2020, uma base de marketing da Ledger foi violada. Cerca de 270.000 endereços de email, nomes e endereços físicos vazaram. Cinco anos depois, esses endereços ainda são vendidos em mercados underground, e golpistas ainda mandam emails de phishing direcionados a essa lista. Se você comprou um Ledger antes de 2021 na loja oficial, assuma que seu endereço e email estão lá.

As três regras que a Ledger declara explicitamente

  • O Ledger Live nunca pede suas 24 palavras numa tela. A seed phrase é digitada apenas no próprio dispositivo, usando os botões físicos. Qualquer tela de computador, aba de navegador ou link de email que peça essas palavras é golpe, 100% das vezes.
  • Updates de firmware acontecem dentro do Ledger Live. Não por link de email. Não por ferramenta baixada. Abra o Ledger Live, vá em Manager, e os updates aparecem automaticamente.
  • A Ledger não manda email com urgência de segurança. Emails de marketing, sim. "Atualize em 24 horas ou seus fundos estão em risco" — nunca.

O que o email realmente quer

O site de phishing é um clone de ledger.com com uma diferença de caractere no domínio — ledger-security.com, ledger-live-app.com, ledgerwallet-support.com. Passe o cursor antes de clicar. Se o domínio não é exatamente ledger.com, é golpe.

O que faço com esses emails

Reporto para reportphishing@apwg.org, depois para o endereço de phishing da própria Ledger (phishing@ledger.fr), aí deleto. Não clique em "desinscrever" — isso só confirma que o endereço está ativo.