Em 29 de setembro de 1982, uma menina de 12 anos tomou uma cápsula de Tylenol Extra Forte nos arredores de Chicago e morreu poucas horas depois. Nos dias seguintes, outras seis pessoas da mesma região morreram do mesmo jeito. Havia cianeto nas cápsulas.
A investigação chegou a uma conclusão que assustou mais do que o próprio veneno. Os comprimidos tinham saído perfeitos da fábrica da Johnson & Johnson. Alguém comprou os frascos, abriu, trocou o conteúdo e devolveu às prateleiras de farmácias comuns, onde clientes comuns pagaram o preço de sempre. O crime nunca foi solucionado.
A empresa recolheu 31 milhões de frascos. A resposta que ficou, porém, não foi um remédio melhor. Em novembro daquele ano, a FDA, a agência americana de medicamentos, publicou a primeira regra de embalagem à prova de violação: lacre de alumínio na boca do frasco, tampa que denuncia quem abriu, caixa selada. A indústria entendeu que um produto vendido fechado é tão seguro quanto o caminho mais fraco entre a fábrica e a mão de quem compra. A pílula estava certa. O caminho, não.
Quarenta e quatro anos depois, o mesmo raciocínio acaba de custar mais de US$ 90 milhões a quem confiou numa carteira de bitcoin.
Um aparelho bom, vendido numa loja oficial
Na sexta-feira, 9 de outubro, pouco antes das 2h da manhã no horário de Brasília, centenas de carteiras foram esvaziadas ao mesmo tempo. Segundo a Bitquery, empresa que rastreia transações em blockchain, a operação levou 47 minutos para passar por seis redes diferentes. Na segunda, a conta estava em US$ 102 milhões, tirados de 324 carteiras. A maior vítima perdeu 7 milhões de dólares digitais numa carteira abastecida em 15 de setembro.
Valor drenado das carteiras compradas na CryptoBilis, por rede, segundo a Bitquery
Todas tinham uma coisa em comum: o aparelho, uma Ledger, a marca francesa mais conhecida de carteira física. E todos os casos confirmados vieram de uma única loja, a CryptoBilis, que vende na Malásia, na Indonésia e nas Filipinas. No dia 10, a Ledger confirmou ter encontrado um "implante de hardware não autorizado" em pelo menos um dos aparelhos das vítimas. A empresa diz que os seus sistemas e a sua loja direta não foram afetados.
O detalhe que muda a história está no site da própria Ledger. A CryptoBilis aparece na lista oficial de revendedores da marca para os três países. Conferi a página: ela continua lá, agora com a observação "vendas temporariamente pausadas". Não era um camelô nem um anúncio suspeito. Era a farmácia de esquina com o selo do fabricante na porta.
A Ledger não descreveu o implante. Pesquisadores que abriram aparelhos adulterados do mesmo modelo, comprados em canais de revenda no Japão, encontraram uma pequena placa escondida dentro do aparelho. Ela lê o que aparece na tela no momento em que o dono anota as 24 palavras da carteira e transmite tudo por um chip de celular. O chip de segurança da Ledger fica intacto, e por isso o teste de autenticidade que a própria Ledger oferece passa normalmente.
Roubaram a chave no primeiro dia e o dinheiro meses depois
Reparem na ordem dos acontecimentos. As palavras foram capturadas quando cada vítima configurou a carteira, talvez semanas ou meses antes. Durante esse tempo, nada aconteceu. Os donos depositaram, conferiram o saldo, viram tudo no lugar e ganharam confiança. Segundo a Bitquery, os ladrões fizeram testes pequenos desde 25 de setembro e só depois levaram tudo, de todo mundo, na mesma madrugada.
É o que torna esse ataque diferente de um golpe comum. Não há link falso para clicar nem ligação suspeita para desconfiar. A vítima fez tudo certo depois de abrir a caixa. O erro já estava dentro dela.
O que fazer com isso
Primeiro, a conclusão que eu não tiro: carteira física continua sendo a forma mais segura de guardar bitcoin em volume relevante. Nada indica falha no chip de segurança nem na loja direta da Ledger, e nada indica aparelhos afetados no Brasil. O problema foi o caminho.
Segundo, o caminho mais curto é o mais seguro. Compre direto no site do fabricante, mesmo que custe mais e demore mais. Revendedor, marketplace e importador acrescentam mãos entre a fábrica e você, e o caso de agora mostra que até a revenda autorizada pode ser essa mão. Se o seu aparelho veio de qualquer outro lugar, mudar para uma carteira nova, com palavras novas, num aparelho comprado direto, custa uma tarde.
Terceiro, as 24 palavras nascem na sua frente, geradas pelo próprio aparelho. Qualquer caixa que já venha com palavras escritas num cartão deve ir para o lixo junto com o aparelho.
Quarto, para patrimônio grande, não dependa de um único aparelho. A estrutura que os profissionais usam é a multiassinatura: dois de três aparelhos, de fabricantes diferentes e comprados em lugares diferentes, precisam assinar cada saída. Um aparelho adulterado sozinho não move nada. É o equivalente a exigir duas chaves para abrir o cofre.
Depois de 1982, ninguém deixou de comprar remédio. As pessoas aprenderam a olhar o lacre antes de abrir o frasco. A autocustódia passa agora pelo mesmo aprendizado: guardar o próprio bitcoin continua certo, desde que você saiba de onde veio o cofre.
No dia 19 de outubro, às 19h10, eu faço uma aula online e gratuita no YouTube sobre onde o capital pode mais multiplicar nos próximos doze meses, e sobre como eu procuro esse tipo de ativo. O link do cadastro está aqui.
Um grande abraço,
André Franco.
