O email do "update de firmware"

Março 2025. Um titular em Curitiba recebe um email de [email protected] com o assunto "Patch crítico de segurança — ação necessária em 24 horas". O email está bem formatado, inclui o logo Ledger, faz referência ao vazamento de dados de clientes de 2020 (que é informação pública) e leva a uma "ferramenta de update de firmware". A ferramenta pede a frase de recuperação de 24 palavras "para verificar a posse do dispositivo antes do patch".

A frase é digitada. Em 40 minutos, a carteira é esvaziada.

O rastro de cinco anos do vazamento Ledger

Em 2020, invasores entraram na base de e-commerce e marketing da Ledger. Em dezembro daquele ano os dados foram despejados publicamente num fórum hacker, incluindo cerca de 270 mil registros com nome, endereço postal e telefone. Anos depois, essa lista continua circulando, e golpistas seguem mandando phishing direcionado a quem está nela. Se você comprou um Ledger na loja oficial antes de 2021, parta do princípio de que seus dados podem estar lá.

As três regras que a Ledger declara explicitamente

  • O Ledger Live nunca pede suas 24 palavras numa tela. A seed phrase é digitada apenas no próprio dispositivo, usando os botões físicos. Qualquer tela de computador, aba de navegador ou link de email que peça essas palavras é golpe, 100% das vezes.
  • Updates de firmware acontecem dentro do Ledger Live. Não por link de email. Não por ferramenta baixada. Abra o Ledger Live, vá em My Ledger (o antigo Manager), e as atualizações disponíveis aparecem ali.
  • A Ledger não manda email com urgência de segurança. Emails de marketing, sim. "Atualize em 24 horas ou seus fundos estão em risco" — nunca.

O que o email realmente quer

O site de phishing é um clone de ledger.com hospedado num domínio parecido — ledger-security.com, ledger-live-app.com, ledgerwallet-support.com. Passe o cursor antes de clicar. Se o domínio não é o próprio ledger.com (ou um subdomínio que termina em .ledger.com), é golpe.

O que faço com esses emails

Reporto para [email protected], depois para o endereço de phishing da própria Ledger ([email protected]), aí deleto. Não clique em "desinscrever" — isso só confirma que o endereço está ativo.