Arquivo de clientes da Ledger vazou duas vezes em 2020 — CNIL a multou em € 750 mil em 2024

A Ledger, fabricante parisiense de carteiras físicas que protegem as criptomoedas dos clientes, nunca teve seus cofres violados — mas seus arquivos de clientes, sim. Entre maio e junho de 2020, dois hackers obtiveram o arquivo de e-commerce de cerca de 290 mil compradores por meio da loja Shopify da Ledger: nomes, números de telefone, e-mails e endereços físicos. Em junho, um segundo incidente, atribuído a uma falha de chave de API, expôs cerca de um milhão de assinantes do boletim informativo.

O arquivo de compradores estava sendo vendido de forma privada em agosto de 2020 e, em dezembro de 2020, foi despejado gratuitamente no fórum de hackers RaidForums: arquivos que listavam 1.075.382 e-mails de assinantes do boletim e 272.853 compradores de dispositivos com nomes, endereços postais e números de telefone. Possuir uma carteira física marca você como alguém que detém criptomoedas, então os endereços se tornaram dados de segmentação. Os proprietários foram bombardeados com e-mails de phishing que traziam aplicativos falsos do Ledger Live e coletavam frases de recuperação, e golpistas depois enviaram pelo correio dispositivos de reposição falsificados com cartas que se passavam pelo CEO da Ledger.

Cerca de cinquenta clientes reclamaram à CNIL, a autoridade francesa de proteção de dados. Em outubro de 2024, o regulador sancionou a Ledger por violar duas obrigações do GDPR — por quanto tempo manteve os dados dos clientes e como esses dados foram protegidos. A multa de € 750.000 foi revelada pelo The Big Whale e confirmada pela CNIL ao veículo; a decisão em si não foi publicada. A Ledger confirmou a sanção, ressaltando que seus produtos de custódia nunca foram expostos e que o incidente envolveu apenas sua atividade de e-commerce.

Uma multa relatada de € 750 mil por falhas de retenção e segurança; os endereços residenciais de 290 mil compradores circularam em fóruns de hackers por anos.

Para um fabricante de carteiras, o endereço residencial de um comprador é dado de segmentação: o vazamento alimentou anos de phishing, envios de dispositivos falsos e tentativas de extorsão justamente contra as pessoas mais propensas a deter criptomoedas.

A duração da retenção foi uma das duas falhas do GDPR citadas — dados de clientes mantidos muito depois de terem valor comercial são puro passivo.

A segurança foi a outra: um arquivo de loja acessível por meio da Shopify e uma chave de API que vazava são superfícies de ataque comuns que os reguladores esperam que sejam reforçadas.

Uma vez roubados, os dados de violação têm uma longa vida comercial: vendidos de forma privada em dois meses, publicados gratuitamente em seis, e ainda em circulação quando a multa foi aplicada quatro anos depois.

Para uma empresa de segurança, o arquivo de clientes também é superfície de segurança. Endereços residenciais de pessoas que possuem cofres são dados de segmentação — mantenha apenas o que você precisa e proteja o que mantiver.

Os dois hackers por trás do arquivo de e-commerce foram presos, como o The Big Whale revelou em março de 2023; o hacker da chave de API não foi. A Ledger confirmou a sanção e mantém uma página pública que acompanha as campanhas de phishing que ainda visam seus clientes. A CNIL não publicou sua decisão, mas disse que qualquer pessoa que alegue danos pode levar a empresa à Justiça. Os golpes evoluíram do e-mail para o correio: dispositivos Nano falsificados enviados com cartas que se passavam pelo CEO instavam os compradores a trocar por uma reposição que entregaria suas criptomoedas — a violação reproduzida nas caixas de correio dos clientes.