O Ledger do Mercado Livre que não estava lacrado

Março 2025. Um titular em Belém compra um "novo na caixa" Ledger Nano X no Mercado Livre por 499 BRL — bem abaixo dos 149 dólares que a Ledger cobra no próprio site, sem contar frete e impostos. A embalagem parece intacta. Ele configura, gera uma "nova" seed de 24 palavras exibida na tela do dispositivo, anota, transfere 34 mil USD em BTC para o endereço de recebimento. Duas semanas depois, a carteira é esvaziada.

Um Ledger genuíno, rodando o firmware da própria Ledger, não tem como ser configurado para mostrar uma seed conhecida como se fosse nova. O vendedor tinha trocado o miolo por componentes modificados que exibem uma seed pré-definida durante o "setup" e depois reembalou tudo com cuidado. Aparelhos assim em geral não passam na verificação de autenticidade do Ledger Live — um aviso apareceu na primeira vez que ele conectou o dispositivo, e ele fechou a janela. Uma versão mais grosseira da mesma armadilha dispensa até o trabalho no hardware: a caixa vem com um cartão de recuperação com as 24 palavras já preenchidas e um bilhete mandando o comprador usá-las.

Por que esse ataque é o mais difícil de detectar

O dispositivo funciona. O fluxo de setup parece normal. A seed phrase é mostrada na tela do dispositivo, exatamente como o modelo de segurança promete, e o único aviso que teria denunciado o golpe é fácil de ignorar. A única diferença é: o operador conhecia a seed antes da vítima abrir a caixa. Uma vez que a vítima abastece um endereço derivado dessa seed, o operador drena.

As cinco regras para compra de hardware wallet

  • Compre só do site do fabricante. Ledger: ledger.com. Trezor: trezor.io. Coldcard: coinkite.com. Nunca Mercado Livre, nunca Amazon (vendedores terceiros), nunca OLX, nunca "amigo de confiança". Os poucos reais economizados comprando em outro lugar são a parte mais barata da perda.
  • Desconfie de dispositivo "novo" bem abaixo do preço oficial vendido por qualquer um que não seja o fabricante. A Ledger faz promoções, mas elas acontecem no ledger.com. Um Nano X lacrado de vendedor qualquer com 40% de desconto é alerta, não pechincha.
  • Se o dispositivo não veio do fabricante, resetar não basta. Apagar o aparelho (três PINs errados no Ledger, reset de fábrica no Trezor) e gerar uma seed nova só protege contra a seed de um dono anterior num hardware genuíno. Não adianta nada contra componentes modificados. Rode a verificação de autenticidade do fabricante e, se aparecer qualquer aviso, pare e não coloque fundos.
  • Nunca use uma seed que veio na caixa. Um dispositivo genuíno sempre gera a seed sozinho, na própria tela. Cartão de recuperação impresso ou já preenchido significa dispositivo comprometido.
  • Não confie na embalagem. Selos e adesivos podem ser copiados por quem reembala com cuidado. A verificação de autenticidade feita pelo app do fabricante é um sinal muito melhor do que a aparência da caixa.

A opção de recuperação

Se suspeita de dispositivo pré-inicializado: não coloque fundos, nem valores pequenos, e não tente consertar com reset — um aparelho modificado pode mostrar de novo uma seed pré-definida "nova" depois de apagado. Deixe-o de lado. Se já há fundos nele, mova-os imediatamente para uma seed nova, gerada num dispositivo comprado direto do fabricante.

A regra que sigo

Trato toda hardware wallet que não veio direto do fabricante como aparelho de teste, usado só para valores minúsculos. O dispositivo de alto valor é sempre direto do fabricante, pago com cartão, enviado ao meu endereço real.