A pergunta de um usuário no Reddit oficial da Ledger conseguiu a resposta de Nicolas Bacca (BTChip), cofundador e vice-presidente de inovação da Ledger, sobre a possibilidade de violação da criptografia que deveria proteger as criptomoedas dos usuários. O executivo respondeu que, com a nova atualização, o usuário pode autorizar a Ledger a enviar partes de sua seed para terceiros, em um serviço de recuperação.
A pergunta: “Existe um backdoor? Sim ou não“, conseguiu uma resposta um pouco mais completa, mas que levantou preocupações na comunidade cripto. Backdoor é o nome técnico de um “acesso privilegiado” construído pelos desenvolvedores de um determinado sistema, no dispositivo dos clientes.
Bacca explicou que os usuários agora podem optar por um mecanismo de backup de sua chave-privada, enviando “pedaços criptografados” da seed para diferentes companhias.
No caso de perda do acesso aos fundos, os investidores poderiam então passar por um processo de identificação e a Ledger seria capaz de recuperar a seed completa, devolvendo acesso aos seus fundos para os investidores que optaram pela funcionalidade.Essa opção passou a ficar disponível com uma recente atualização do software da Ledger Nano X.
Mudit Gupta, executivo da Polygon Labs, foi ao Twitter comentar classificar a ideia como “horrível”. Ele recomendou aos seus seguidores que não optem pela funcionalidade.
Já a empresa de hard wallets publicou em seu Twitter oficial um vídeo explicando que a atualização chamada por eles de “Ledger Recovery” pode ser atrativa para alguns usuários, mas é totalmente opcional. E aqueles que não quiserem usá-la podem simplesmente não optar pelo backup de terceiros e manter a autocustódia de seus fundos.
Ainda no anúncio oficial, a Ledger afirma que as seeds continuam sendo geradas apenas no dispositivo do usuário e a empresa não possui acesso.
Seed é como é conhecida a codificação da chave-privada, através da criptografia, capaz de assinar as transações de criptomoedas. É a base de toda a tecnologia cripto que garante a segurança dos fundos e permite que, apenas quem possui essa informação, consiga enviar seus criptoativos.
Normalmente as carteiras de criptomoedas mais recomendadas por especialistas não armazenam esse dado (a seed) nos servidores da empresa, nem de terceiros. O armazenamento da seed ocorre apenas no dispositivo do usuário (client-side) — sendo apenas responsabilidade do dono da carteira manter suas chaves em segurança e evitando a necessidade de confiar em terceiros.
Na postagem que levantou a polêmica, usuários discutem os prós e contras da medida. Alguns acreditam que é uma boa alternativa para investidores que poderiam perder suas seeds ou seu dispositivo.
No entanto, outros levantam o questionamento de que o acesso às informações poderia ser conseguido mesmo sem consentimento do usuário, no caso de um ataque, pois apenas a possibilidade de autorizar significaria que, tecnicamente, a Ledger já teria acesso as seeds em seus servidores (server-side). O que criaria uma vulnerabilidade que poderia ser explorada em algum momento no futuro.
Esta hipótese já foi negada pela companhia.
Mudit Gupta explica em sua thread que a “funcionalidade” de recuperação cria algumas falhas de segurança. Como o roubo de identidade (que permitiria a recuperação das informações criptografadas), invasão e vazamento de dados das empresas que recebem as “partes” da seed ou até mesmo dos servidores da Ledger.
No entanto, a empresa explicou que é necessário o uso do chip de “Elemento de Segurança da Ledger” para descriptografar as partes da seed que foram enviadas aos terceiros. Portanto, “isso não pode ser violado”.
O executivo da Polygon Labs conclui dizendo que gosta dos produtos da Ledger e que continuará recomendando a carteira, mas reforça a recomendação aos usuários de não aceitarem a nova opção de backup.
Sistema pode ser útil, avalia especialista
Para o Portal do Bitcoin, Jefferson Rodolfo (JR), CEO da KriptoBR, explicou que a condição de criptografar e dividir a seed em três partes diminui drasticamente qualquer vetor de ataque. E acredita que “uma empresa como a Ledger jamais iria oferecer algo que pudesse colocar em risco os seus clientes”.
KriptoBR foi a primeira revendedora oficial dos produtos da Ledger no Brasil.
JR disse que “tudo o que é novo precisa ser avaliado” e que sua empresa sempre “vai preferir os meios tradicionais” para armazenar as seeds de forma manual e “totalmente offline”, mas entende que o Ledger Recovery pode ser útil para alguns perfis de investidores.
Jefferson também recomenda a utilização de uma camada extra de segurança, ao utilizar a Ledger, chamada “passphrase”. Para usuários que optem ou não para a função de recuperação.
- Não perca dinheiro. No Mercado Bitcoin, você pode fazer staking de Ethereum de maneira segura e simples. Abra sua conta agora e comece a ganhar recompensas sobre seus investimentos em criptomoedas.