A Ledger contestou as alegações sobre uma falha em seu aplicativo de Ethereum. A vulnerabilidade afetava o processo de assinatura em suas carteiras de hardware. Conforme a empresa, a correção chegou aos usuários antes da divulgação pública do problema.

Charles Guillemet, diretor de tecnologia da Ledger, afirmou em 23 de agosto que a companhia implantou a solução cerca de duas semanas antes. O patch integrou a versão 1.22.2 do aplicativo Ethereum, lançada em 12 de agosto. Entretanto, a empresa não detalhou publicamente a vulnerabilidade ao distribuir a atualização.

Falha afetava a verificação das transações

O caso ganhou atenção porque a falha poderia induzir o usuário a assinar uma operação diferente daquela exibida na tela do dispositivo. Esse risco representa um problema relevante para uma carteira de hardware. Afinal, a conferência dos dados antes da aprovação constitui uma das principais camadas de proteção desses equipamentos.

Posteriormente, o perfil de segurança TestMachine divulgou a vulnerabilidade. A publicação provocou uma disputa sobre a maneira como o problema chegou ao conhecimento público. O debate se concentrou no cumprimento das práticas de divulgação responsável e no possível alarme causado pelas mensagens.

De acordo com Guillemet, a equipe de segurança Donjon, da Ledger, já havia identificado a falha com o apoio de ferramentas de inteligência artificial. Por isso, a companhia sustenta que enviou a correção antes do contato da TestMachine com seu programa de recompensas. O executivo também afirmou que o grupo não discutiu o caso com a equipe responsável pelo programa.

Esta empresa, TestMachine, entrou em contato com nosso programa de recompensas depois que a correção já havia sido enviada e não seguiu a divulgação responsável. Na verdade, ela nunca discutiu o assunto com a equipe do programa de recompensas.

Charles Guillemet, no X.

Ledger critica divulgação feita pela TestMachine

Guillemet acrescentou que a TestMachine publicou uma sequência de mensagens sugerindo que o problema permanecia sem solução. Contudo, o diretor declarou que a vulnerabilidade já estava corrigida naquele momento. Na avaliação dele, a publicação buscou gerar medo e atrair atenção, em vez de apresentar uma pesquisa de segurança responsável.

Depois, eles publicaram uma sequência sugerindo que o problema não foi resolvido. Não é o caso. Isso não é pesquisa de segurança. Isso é criar medo para chamar atenção.

Charles Guillemet, no X.

Apesar da crítica, o episódio destacou a importância da comunicação transparente sobre falhas que afetam dispositivos de autocustódia. Uma atualização pode eliminar o risco técnico, mas os usuários também precisam conhecer a natureza do problema. Nesse contexto, informações claras ajudam a orientar a instalação de correções e a adoção de cuidados adicionais.

ERC-7730 participa do debate sobre segurança

A discussão também envolve o ERC-7730, uma proposta voltada à exibição e à verificação de informações sobre transações. O padrão busca facilitar a conferência dos dados apresentados ao usuário antes da assinatura. Dessa forma, ele se relaciona diretamente com o tipo de risco apontado no aplicativo Ethereum da Ledger.

Até o momento descrito na controvérsia, não havia registros de fundos roubados por meio dessa vulnerabilidade específica. Ainda assim, a Ledger recomenda que os usuários mantenham o firmware e o aplicativo Ethereum atualizados. A empresa também orienta a conferência das informações exibidas no dispositivo antes de qualquer aprovação.

A recomendação continua válida mesmo após a instalação da versão 1.22.2. Isso ocorre porque a verificação na tela da carteira permanece essencial para reduzir riscos operacionais. Além do software atualizado, o usuário precisa analisar endereços, valores e demais informações antes de confirmar uma transação.

Caso da Coldcard não afetou carteiras da Ledger

A controvérsia surgiu após a exploração de uma falha na Coldcard, episódio que também colocou a Ledger em evidência. Porém, a empresa esclareceu que aquela vulnerabilidade estava restrita ao firmware da Coldcard. Portanto, o problema não comprometeu as carteiras de hardware para Bitcoin produzidas pela Ledger.

Já o caso do aplicativo Ethereum envolve a segurança do processo de assinatura e a cronologia de sua divulgação. A Ledger afirma que encontrou e corrigiu a falha antes da manifestação externa. Em contrapartida, a repercussão pública ampliou o debate sobre transparência, programas de recompensas e divulgação responsável de vulnerabilidades.