Principais Conclusões:
- O músico G. Love perdeu 5,92 BTC para uma aplicação falsa da Ledger na Apple Mac App Store a 11 de abril de 2026. O valor roubado no momento da publicação vale $424.175.
- O investigador onchain ZachXBT confirmou que os fundos roubados foram alegadamente lavados através de endereços de depósitos on-chain da Kucoin.
- A Ledger avisa os utilizadores para descarregar software apenas de ledger.com, nunca de lojas de aplicações, para prevenir o roubo da frase-semente.
Hack de Bitcoin ao G. Love
Garrett Dutton, vocalista dos G. Love & Special Sauce, divulgou publicamente a perda no mesmo dia no X. Ele estava a configurar a sua carteira de hardware Ledger num novo computador Apple quando pesquisou na App Store pela aplicação oficial Ledger Live. A aplicação que descarregou parecia legítima. Não era.
A aplicação falsa solicitou-lhe que introduzisse a sua frase-semente de 24 palavras, também chamada de frase de recuperação secreta. Assim que a digitou, os atacantes drenaram as suas participações em bitcoin imediatamente.
"Tive um dia muito difícil hoje, perdi o meu fundo de reforma num hack/burla quando transferi a minha Ledger para o meu novo computador," escreveu Dutton no X. Ele publicou o hash da transação e um endereço bitcoin, e pediu aos seguidores que quisessem ajudá-lo a "recuperar" que enviassem fundos.
Mais tarde, confirmou que apenas o seu bitcoin foi afetado. Nenhuma outra participação foi envolvida.
O investigador onchain ZachXBT rastreou rapidamente os fundos. Ele confirmou que aproximadamente 5,92 BTC foram roubados e alegadamente lavados através de nove transações em endereços de depósitos on-chain da Kucoin. Os registos das transações são publicamente visíveis em qualquer explorador de blockchain BTC.
A reação pública no X foi dividida. Muitos utilizadores expressaram simpatia. Outros levantaram questões sobre a plausibilidade da história, observando que as carteiras de hardware Ledger requerem confirmação física no próprio dispositivo. Alguns apontaram o endereço de doação público como um sinal de alerta. Dutton esclareceu que foi engenhado socialmente para introduzir a frase-semente voluntariamente, que é o vetor de ataque que a burla foi concebida para explorar.
"Não é, está tudo bem," escreveu Dutton. "É apenas difícil ser burlado. Que se lixem todos os haters que me chamaram mentiroso. Estou no circo das criptomoedas desde 2017. Hoje apanharam-me desprevenido. Foi minha própria culpa por não ser mais diligente. Mas que sirva de aviso. Há tantas burlas."
O incidente segue um padrão documentado visando utilizadores do macOS. A empresa de cibersegurança Moonlock relatou em 2025 sobre malware concebido para substituir instalações legítimas do Ledger Live no macOS e solicitar aos utilizadores que introduzam as suas frases-semente. As pesquisas na Mac App Store por "Ledger" têm retornado aplicações impostoras listadas por vendedores terceiros em vez do verdadeiro programador, Ledger SAS.
A Ledger declarou durante anos que o seu software está disponível apenas através de ledger.com. A empresa não está presente em lojas de aplicações de consumo. Qualquer aplicação que apareça sob um nome de programador diferente é fraudulenta.
A mecânica deste ataque é direta. Um utilizador pesquisa numa loja de aplicações, encontra uma listagem convincente, instala-a e introduz a sua frase-semente quando a aplicação a solicita. Nesse ponto, o atacante tem acesso total e permanente a cada carteira derivada dessa frase. A própria carteira de hardware não fornece proteção uma vez que a semente é exposta.
A autocustódia requer que a frase-semente nunca saia do dispositivo físico Ledger. Deve apenas ser introduzida diretamente no dispositivo durante a configuração inicial. Digitá-la em qualquer aplicação, website ou computador compromete toda a carteira.
A partir de 12 de abril de 2026, os principais meios de comunicação ainda não tinham coberto a história. Bitcoin.com News foi o primeiro a reportar sobre o incidente. G. Love indicou que seguiria em frente e expressou gratidão pela sua saúde, família e carreira musical, incluindo uma apresentação recente no Tortuga Fest.
Nenhuma ação legal foi anunciada.
Fonte: https://news.bitcoin.com/philadelphia-musician-g-love-loses-nearly-6-btc-to-fake-ledger-wallet-app-on-apples-app-store/
