Burladores Enviam Cartas Falsas da Ledger e Trezor para Roubar Frases-Semente

Burlões utilizam cartas postais falsas e códigos QR para enganar utilizadores de Trezor e Ledger, levando-os a revelar frases-semente das carteiras.

Os ataques de phishing cripto já não se limitam a e-mails e anúncios falsos. Os criminosos estão agora a enviar cartas físicas aos utilizadores de carteiras de hardware. As cartas parecem oficiais e apelam a uma ação rápida, com o objetivo de enganar as pessoas para que revelem as suas frases de recuperação e roubem os seus fundos.

Utilizadores de Trezor e Ledger Alertados Sobre Cartas de Phishing com Código QR

Agentes de ameaça estão a enviar cartas aos utilizadores fazendo-se passar pela Trezor e Ledger, dois grandes fabricantes de carteiras de hardware. As cartas afirmam que os utilizadores devem completar uma "Verificação de Autenticação" ou "Verificação de Transação" obrigatória. Alertam que a não conformidade pode causar problemas de acesso à carteira. Cada carta inclui um código QR que leva os destinatários a sites de phishing.

Os relatórios mostram que as cartas parecem oficiais e utilizam os logotipos e a marca das empresas. Entretanto, ambas as empresas sofreram violações de dados no passado que expuseram detalhes de contacto dos clientes. As informações de correspondência roubadas podem ter permitido o alcance da campanha.

O especialista em cibersegurança Dmitry Smilyanets partilhou uma destas cartas falsas numa publicação no X. Nesse caso, os burlões faziam-se passar pela Trezor e diziam aos utilizadores para completarem uma verificação de autenticação até 15 de fevereiro de 2026. O não cumprimento supostamente significava o acesso interrompido ao Trezor Suite.

Além disso, a carta instruía os utilizadores a digitalizar um código QR com o telemóvel e seguir as instruções num site. Acrescentava pressão ao dizer que a ação era necessária, mesmo que a funcionalidade já estivesse ativada. O objetivo dos burlões era fazer com que as pessoas agissem rapidamente sem pensar.

Uma carta semelhante foi direcionada aos utilizadores da Ledger. Alegava que uma "Verificação de Transação" obrigatória estava a chegar em breve. Com o prazo definido para 15 de outubro de 2025, a mensagem alertava que ignorá-la poderia causar problemas de transação.

A digitalização dos códigos QR levava a sites falsos que pareciam páginas oficiais da Trezor ou Ledger. O site relacionado com a Ledger ficou posteriormente offline, enquanto o site falso da Trezor permaneceu online mas foi identificado como phishing pela Cloudflare.

A página falsa da Trezor exibia um banner de aviso, instando os utilizadores a completarem a autenticação até 15 de fevereiro de 2026. Foi adicionada na página uma exceção para certos modelos mais recentes da Trezor Safe comprados após 30 de novembro de 2025. A alegação sugeria que esses dispositivos eram pré-configurados.

Além disso, a página final pedia aos utilizadores para introduzirem a sua carteira frase de recuperação. O formulário permitia 12, 20 ou 24 palavras. Para confirmar a propriedade, o site exigia uma frase para ativar a autenticação. Na realidade, introduzi-la daria aos burlões acesso total à carteira.

Segurança da Frase-semente em Foco à Medida que os Golpes Cripto Offline Aumentam

O phishing físico continua a ser menos comum do que os golpes por e-mail. No entanto, as campanhas postais já apareceram antes. Em 2021, criminosos enviaram dispositivos Ledger modificados projetados para capturar frases de recuperação durante a configuração. Outra onda de phishing visando utilizadores da Ledger surgiu em abril.

Os fornecedores de carteiras de hardware alertam repetidamente os clientes para nunca partilharem frases de recuperação. Nenhuma atualização legítima ou verificação de segurança requer a introdução de uma frase-semente online. As empresas não solicitam tais dados por correio, e-mail ou telefone.

Entretanto, a crescente sofisticação dos golpes sinaliza um risco contínuo para os detentores de cripto. As táticas offline podem parecer mais credíveis para alguns utilizadores, pois as cartas impressas podem parecer oficiais e urgentes. 

Como tal, os utilizadores devem verificar quaisquer avisos de segurança diretamente através dos sites oficiais. Digitar endereços web conhecidos manualmente é mais seguro do que digitalizar códigos QR desconhecidos. As cartas suspeitas devem ser imediatamente reportadas aos fornecedores de carteiras e às autoridades de cibersegurança.

A publicação Scammers Mail Fake Ledger and Trezor Letters to Steal Seed Phrases apareceu primeiro em Live Bitcoin News.