- >News
- >A Ledger ainda é segura? Controvérsia recente põe em evidência o dilema de segurança cripto
A Ledger ainda é segura? Controvérsia recente põe em evidência o dilema de segurança cripto
Faz tempo que as criptos têm um problema com sua abordagem implacável de segurança. Sim, você é o único que pode acessar e transferir seus bitcoins caso seja o único com a chave privada da sua carteira Bitcoin. Mas o outro lado dessa segurança toda é que, caso você perca suas chaves, também perde seus BTC. Tal incidente ocorreu com diversos indivíduos durante a breve existência das cripto, havendo uma variedade de histórias de pessoas buscando, em vão, recuperar fortunas perdidas.
A Ledger se propôs recentemente a ajudar essas pessoas quando anunciou a Ledger Recover, um serviço que permitirá que proprietários de suas carteira hardware Ledger Nano X recuperem a frase seed que possibilita a recuperação da carteira. Em princípio, o serviço parecia algo oportuno e de fácil utilização, visto que asseguraria que proprietários de carteiras jamais perdessem suas criptos, mesmo que perdessem o registro físico (ou digital) de sua frase seed.
No entanto, grande parte da comunidade cripto respondeu rapidamente ao anúncio da Ledger com uma mistura de choque e indignação, acusando o fabricante da carteira de introduzir indevidamente uma potencial “falha de segurança” aos seus dispositivos. Mas, embora a Ledger não tenha obtido êxito em suprimir tais preocupações até o momento, pode-se argumentar em seu favor que algo como o Recover é necessário se o setor pretende encorajar uma maior adoção das criptomoedas e uma maior autocustódia, o que vem sendo cada vez mais necessário no contexto de invasões e falências de corretoras.
Ledger Recover atrai críticas apesar de recursos de opção de inclusão
Em termos abstratos, o Ledger Recover é simples de entender. Basicamente, o serviço divide uma frase seed da carteira em três partes criptografadas que seriam armazenadas com três provedores separados (Ledger, Coincover e EscrowTech). Ao fazer isso, o proprietário da dita carteira seria capaz de acessar novamente sua frase seed no caso de perda de seu próprio registro da frase.
Uma frase seed de carteira de criptomoeda é um conjunto de 12 ou 24 palavras geradas aleatoriamente que pode ser usado por um proprietário de carteira para recuperar suas chaves privadas, que precisam ser usadas a fim de transferir fundos para fora da carteira. Em outras palavras, se perder as chaves privadas, você poderá usar a frase seed para recuperá-las. Por sua vez, o objetivo da Ledger com o Recover foi introduzir outra linha de defesa além dessa, fornecendo meios para recuperar aquilo que é necessário para recuperar as chaves.
Como explicado pela Ledger em seu site, será preciso “verificar sua identidade com o uso de seu documento de identificação” para se cadastrar no Recover, com a inclusão de medidas know-your-customer (conheça seu cliente) necessárias para assegurar que é realmente você utilizando o serviço, e não um invasor. É o uso de KYC que possibilita também que proprietários de carteira recuperem os fragmentos criptografados de sua frase de recuperação seed, sendo os fragmentos inúteis quando sozinhos.
Fonte: Twitter
Além disso, a Ledger afirma que o Recover é um serviço de opção de inclusão, o que significa que a assinatura não é obrigatória. Entretanto, esses recursos não puderam evitar uma onda significativa de críticas, que foi centralizada, em grande parte, em torno do medo de que o serviço pudesse, de alguma forma, ser usado como um vetor de ataque por hackers.
Por exemplo, o investidor em criptomoeda Ryan Berckmans escreveu no Twitter: “O firmware da Ledger v2.2.1 instala o Ledger Recover, um serviço negligente que extrai suas chaves privadas de carteira hardware e as envia através da internet.” Sua resposta ao anúncio da Ledger não foi a única a criticar a empresa francesa, com a consultora de Web3 Vanessa Harris sugerindo que o serviço estivesse “apenas começando a ser explorado.”
O ápice de tais críticas é que, com a chegada do Ledger Recover, os dispositivos da Ledger contarão com firmware que os torna capazes de enviar as chaves privadas de uma carteira através da internet. Sim, a Ledger afirmou repetidas vezes, em sua defesa, que os usuários precisam optar pela inclusão no serviço para, de fato, utilizá-lo, e que as chaves privadas não podem ser reconstituídas sem prova de identidade. No entanto, teme-se que, com essa capacidade fundamental gravada no código dos dispositivos, hackers empresariais possam encontrar alguma forma de explorá-la.
Trezor relata pico de vendas, Ledger adia lançamento
Diante de tal medo, a Trezor relatou um aumento de 900% nas vendas de seus dispositivos, embora sem oferecer qualquer detalhamento real desses números ou dados de suporte. Contudo, considerando que algumas pessoas tenham chegado a alegar que a Ledger “praticamente destruiu sua reputação,” é completamente plausível que a Trezor tenha aproveitado algum tipo de aumento nas vendas. Isso ocorreria apesar do fato de que a empresa de segurança Unciphered anunciou — logo após a controvérsia da Ledger — que era capaz de hackear fisicamente a carteira hardware Trezor T, e que o bug é “irreparável a nível de chip”.
Ao enfrentar essa crise, a Ledger se mobilizou, de maneira previsível, para abordar as preocupações da comunidade. De maneira imediata, anunciou por meio de um post de blog que adiaria o lançamento do Recover e tornaria o código do serviço aberto, para que desenvolvedores e membros da comunidade pudessem analisar esse código por conta própria (e potencialmente comprovar sua segurança).
Além disso, a empresa postou uma seção de Perguntas Frequentes sobre o Ledger Recover que responde diretamente diversas perguntas e demandas feitas pela comunidade. Ela afirma que a chave privada de seu dispositivo pode ser acessada “somente após sua aprovação e confirmação” no dispositivo. Ela declara também que não haveria benefício de segurança em ter dois sistemas operacionais separados (como sugerido em alguns comentários), com um tendo a capacidade do Recover, e o outro não.
Tendo dito isso, o CEO da Ledger Pascal Gauthier reconheceu a possibilidade teórica de que uma frase seed salva pelo serviço Recover poderia ser acessada por meio de uma intimação do governo, forçando os três provedores independentes do serviço a disponibilizar os fragmentos da frase. Essa admissão destaca o fato de que toda solução de segurança introduz seus próprios problemas, e o Recover não é uma exceção. Mas, apesar de sua possível fraqueza, algumas pessoas na comunidade afirmaram que o serviço pode ser necessário para aqueles desprovidos do conhecimento técnico para armazenar com segurança suas frases de recuperação seed por conta própria.
De fato, o Recover pode ser realmente celebrado por dar um passo importante em direção a tornar a autocustódia mais acessível a muito mais pessoas, considerando como as criptos podem ser implacáveis no caso de perda das chaves privadas. Na realidade, a glassnodes estimou que cerca de três milhões de BTC — no valor aproximado de US$ 83,46 bilhões — foram perdidos para sempre, destacando o potencial custo do sistema de segurança ultrarrigoroso do Bitcoin. Isso mostra, no mínimo, que algo como o Recover é necessário para que mais investidores pequenos e institucionais entrem no mercado de criptomoedas, e mesmo que a Ledger não tenha acertado todos os detalhes, ela deu um passo na direção certa com seu novo serviço.
