OneKey revela vulnerabilidade na antiga app Ethereum do Ledger – e a Ledger age

Tenho que admitir: quando soube desse ataque à app Ethereum do Ledger, fiquei chocado. Não porque eu seja usuário do Ledger — mas porque isso me lembrou, mais uma vez, como sistemas que parecem seguros podem desenvolver fissuras rapidamente. E que nós, sejam iniciantes ou profissionais, temos que fazer nossa parte.
A OneKey, fabricante conhecida de wallets de hardware, descobriu em um teste controlado uma vulnerabilidade em versões mais antigas da app Ethereum do Ledger (antes da versão 1.22.2). A técnica? Um Transaction Replacement Attack. Parece complicado, mas, no fundo, é um truque em que atacantes tentam substituir uma transação já assinada por uma versão manipulada — antes mesmo de ela ser gravada na blockchain. E o pior: o usuário não percebe nada a princípio.
A OneKey reproduziu o ataque em seu laboratório — felizmente, sem dinheiro real envolvido. Mas é como dirigir um carro: mesmo batendo em uma parede no estacionamento, não quer saber o que aconteceria se estivesse na estrada. Aliás, o Ledger reagiu rapidamente e lançou uma versão atualizada (1.22.2) da app Ethereum que bloqueia esse tipo de ataque. Parabéns pela agilidade!
---
Por que isso é tão perigoso
Ataques de Transaction Replacement são traiçoeiros porque só são notados depois do fato. A transação original parece perfeitamente legítima — só mais tarde é que se percebe que algo está errado. Imagine enviar 1 Ethereum para um amigo e, de repente, o valor acabar em uma carteira desconhecida. Ou alguém alterar as taxas de gas, fazendo com que a transação demore mais ou fique mais cara do que o planejado.
Esse tipo de ataque explora falhas no software da carteira — especificamente quando a verificação dos dados da transação não é rigorosa o suficiente. E aqui entramos nós: os usuários muitas vezes somos o elo mais fraco. Ignoramos atualizações porque “funciona de qualquer jeito”, ou confiamos cegamente em links e apps que, na verdade, deveriam nos deixar desconfiados.
---
Reação do Ledger: rápida, mas não perfeita
O Ledger confirmou que a vulnerabilidade existia nas versões anteriores a 1.22.2 — mas ressaltou que nenhum dinheiro real foi posto em risco, já que o ataque só foi testado em laboratório. Justo. Mesmo assim, a empresa levou o problema a sério e lançou uma atualização em tempo recorde que melhora o mecanismo. Um porta-voz declarou: “A segurança é nossa prioridade máxima.”
E isso é verdade. Mas também deve ser nossa prioridade — como usuários. O Ledger recomenda, com urgência, manter todos os apps atualizados. Quem não ativou as



atualizações automáticas deveria fazer isso agora. Afinal, mesmo que os fabricantes ajam rápido, somos nós que decidimos se uma vulnerabilidade será explorada ou não.
---
O que fazer — minhas dicas pessoais
Eu sei que atualizações são chatas. Elas vêm na hora errada, e às vezes algo que funcionava antes para de funcionar depois. Mas prometo: é melhor gastar cinco minutos por mês do que terminar com as mãos vazias depois.
1. Atualize tudo — mesmo tudo
Não só o firmware da sua carteira de hardware, mas também os apps (como o Ledger Live). Sim, incluindo o software da sua carteira no PC ou celular. Ative as atualizações automáticas sempre que possível.
2. Confira duas vezes o que você está enviando
Depois de enviar uma transação, acesse o Etherscan (ou o explorador correspondente à sua blockchain) e verifique se ela realmente está como você a enviou. É melhor checar uma vez a mais do que uma a menos.
3. Cuidado com phishing — mesmo que dê preguiça
Não clique em links suspeitos em e-mails ou mensagens, mesmo que pareçam oficiais. Sempre acesse diretamente o site do fabricante se precisar baixar algo ou fazer login. Lembre-se: comunicações oficiais raramente chegam por DM ou links obscuros.
4. Compre sua carteira de hardware diretamente do fabricante
É tentador comprar o modelo mais novo de terceiros por um preço mais baixo. Mas wallets falsificadas podem estar manipuladas. Vale a pena pagar um pouco mais pela segurança.
5. Mais segurança para valores altos
Se você possui quantias significativas, considere uma solução de multi-assinatura (por exemplo, Ledger + MetaMask com Trezor). Assim, são necessárias várias confirmações para realizar uma transação — o que torna os ataques muito mais difíceis.
---
Um chamado à atenção — e um lembrete
Esse incidente é como um chamado à atenção no mundo das criptomoedas. Mostra que, mesmo os maiores nomes do setor não estão imunes a falhas de segurança. Mas também mostra que fabricantes como o Ledger podem agir rapidamente — quando são informados.
No fim das contas, depende de nós ficarmos atentos. As criptomoedas são tão seguras quanto o elo mais fraco da corrente. E, muitas vezes, esse elo não é a própria blockchain, mas o software que usamos para acessá-la. Quem negligencia isso não arrisca apenas suas moedas, mas também a confiança em todo o ecossistema.
Então: instale essa atualização. Use exploradores. Seja desconfiado quando necessário. E, acima de tudo: não entre em pânico, mas também não seja ingênuo. Segurança não é um ato isolado — é um hábito. E vale a pena.