A Ledger, famosa fabricante de carteiras de hardware, está enfrentando uma forte pressão da comunidade nesta terça-feira (15) após o anúncio de um novo recurso para a Nano X.
Em suma, o recurso Ledger Recover, disponibilizado na versão 2.2.1 do firmware, permitirá que os usuários recuperem suas chaves privadas através de um serviço online.
Dado isso, a comunidade está tratando a nova ferramenta não como um recurso, mas sim como uma vulnerabilidade. Outros usuários até mesmo questionaram se a carteira possui um backdoor, ou seja, se a empresa teria acesso aos bitcoins dos clientes.
A polêmica sobre a nova ferramenta da Ledger
Segundo a Ledger, apenas usuários que possuem passaportes emitidos pela União Europeia, Reino Unido, Canadá ou EUA poderão se utilizar o novo recurso que está causando polêmica. Além disso, só estará disponível às carteiras Ledger X em um primeiro momento.
“Ledger Recover: Começando hoje, você pode se inscrever no Ledger Recover”, aponta a atualização. “O Ledger Recover é um serviço de recuperação de chave baseado em ID que fornece um backup para sua Frase de Recuperação Secreta.”
Conforme as carteiras de hardware são conhecidas por seu ambiente seguro, ou seja, com as chaves privadas ficando dentro do próprio dispositivo, a decisão rapidamente chamou atenção da comunidade.
Comunidade critica novo recurso da Ledger
Changpeng Zhao, fundador da Binance e um dos maiores nomes do setor, foi um dos que não gostaram do novo recurso. Em tuíte publicado na manhã desta terça-feira (16), Zhao comentou sobre a atualização.
“Então a [frase] semente pode sair do aparelho agora?” questionou Zhao. “Parece uma direção diferente de “suas chaves nunca saem do dispositivo”.”
Já no Reddit oficial da Ledger, um usuário fez uma pergunta direta: “Existe um backdoor? Sim ou não?”
Nicolas Bacca (BTChip), co-fundador da Ledger, chegou a responder a questão, mas foi bombardeado com descurtidas e críticas ainda mais pesadas.
“O dispositivo envia fragmentos criptografados de sua semente para diferentes empresas se você decidir usar o serviço”, respondeu Bacca. “É claro que você ainda pode optar por fazer o backup por conta própria.”
Nos comentários, outro usuário lembra que “a principal suposição de segurança da carteira de hardware era nunca exportar chave privada/frase semente”, ou seja, o contrário do que a Ledger está fazendo.
Outros foram além e lembraram que a empresa foi alvo de um ataque em dezembro de 2020. Na ocasião, dados de 270.000 usuários foram vazados, incluindo nomes, endereços e número de telefone.
No subreddit CryptoCurrencies, a postagem com mais votos aponta que o Ledger Recover “é um serviço pelo qual você pode optar [usar], mas o resultado final é que ele pode expor a frase inicial.” A atualização também é o mais comentado do dia na aba.
Google também foi criticado por atualização semelhante no Authenticator
No final de abril, o Google liberou um recurso semelhante para o Google Authenticator, famosa ferramenta de verificação de dois fatores (2FA). No entanto, ele também foi criticado.
Em e-mail enviado no início de maio, a Binance, maior corretora de criptomoedas do mundo, pediu para que seus clientes desativassem o novo recurso. Afinal, o 2FA passou a ter uma grande brecha de segurança.
Voltando a Ledger, apesar de todo barulho da comunidade, a empresa não parece disposta a cancelar a atualização. Em vídeo publicado nesta manhã, Charles Guillemet, diretor de tecnologia da Ledger, falou um pouco mais sobre o tema.
“Neste processo, a Ledger, e nosso provedor seguro, não tem acesso a sua frase de recuperação secreta. Não há backdoor.”
Exciting update, Ledger has a new product, Ledger Recover, that’s launching soon: https://t.co/nT1VHnnSYz
🧵Here’s what Ledger Recover is and what it isn’t, explained by @P3b7_ & in the thread below. pic.twitter.com/RW1w07H6pK
— Ledger (@Ledger) May 16, 2023
