Uma unidade de pesquisa em segurança afiliada à Ledger divulgou uma vulnerabilidade séria na carteira Tangem que, embora seja difícil de explorar na prática, não pode ser corrigida em nenhum cartão já em circulação. A descoberta levanta questões desconfortáveis sobre o que a certificação EAL6+ realmente garante — e sobre quem define o que conta como um risco “real”.
Summary
Principais pontos
- A Ledger Donjon descobriu um ataque de injeção de falhas a laser que pode redefinir a senha de um cartão Tangem ao contornar uma verificação de estado de recuperação do firmware.
- A exploração exige posse física do cartão, equipamento a laser especializado e uma infraestrutura de laboratório que custa aproximadamente US$ 250.000.
- Todos os cartões Tangem atualmente em circulação são afetados, e nenhum patch é possível porque os cartões não possuem mecanismo de atualização de firmware.
- Depois que a senha é redefinida, um invasor obtém controle total da carteira e pode assinar transações para mover fundos.
- A Tangem classificou o risco prático para usuários comuns como “praticamente inexistente” e destacou a afiliação da Ledger Donjon com a concorrente Ledger.
Descoberta da vulnerabilidade do cartão Tangem pela Ledger Donjon
A Ledger Donjon — o braço de pesquisa em segurança da fabricante de carteiras de hardware Ledger — publicou uma divulgação técnica revelando um ataque de injeção de falhas a laser capaz de comprometer carteiras de cartão inteligente Tangem. A vulnerabilidade foi relatada primeiro à Tangem em fevereiro, tornando esta uma divulgação coordenada em vez de uma revelação surpresa.
A técnica é precisa e invasiva. Pesquisadores expuseram fisicamente o chip de elemento seguro em um cartão Tangem, conectaram-no a hardware personalizado e dispararam um pulso de laser de nanossegundos em uma área específica do chip. Esse pulso interrompeu a verificação de estado de recuperação do firmware — a barreira que normalmente verifica se um cartão está autorizado a aceitar uma alteração de PIN — permitindo que a instrução SetPin aceitasse uma senha totalmente nova sem exigir a senha original ou um cartão de backup.
O que o ataque realmente envolve
O processo não é rápido, mas é reproduzível. Depois de demonstrar a exploração inicial, os pesquisadores a reproduziram com sucesso em um segundo e terceiro cartão. Cada tentativa exigiu cerca de duas horas de preparação e tempo de exploração. A infraestrutura de laboratório descrita pela Ledger Donjon em sua postagem no blog custou aproximadamente US$ 250.000 — um valor que estabelece um limite de entrada alto para quem poderia tentar isso de forma plausível no mundo real.
Além do próprio equipamento a laser, executar o ataque exige ferramentas de análise de canal lateral e profundo conhecimento em segurança de hardware. Isso não é algo que um ladrão casual conseguiria realizar.
Impacto e alcance da vulnerabilidade
Todo cartão Tangem atualmente em circulação é afetado por essa falha, e não há como corrigi-los. Diferentemente de carteiras de software ou carteiras de hardware tradicionais de outros fabricantes, os cartões Tangem não possuem mecanismo de atualização de firmware — o que significa que a falha lógica subjacente é permanente no hardware existente.
O que acontece após um ataque bem-sucedido
Depois que um invasor redefine a senha do cartão, ele obtém controle completo da carteira associada. A partir desse ponto, o cartão pode ser usado para assinar transações livremente, e quaisquer fundos vinculados a essa carteira podem ser movidos sem restrições. O caminho do ataque é direto uma vez que o acesso físico é obtido: contornar a verificação, redefinir o PIN, esvaziar a carteira.
Vale notar uma limitação prática: o ataque é fisicamente invasivo e irreversível. O cartão não pode ser remontado e devolvido ao seu proprietário aparentando estar intacto. Isso significa que o cenário em que isso mais importa é o de um cartão perdido ou roubado — não uma interceptação secreta.
Por que isso importa além de uma única marca de carteira
A implicação mais profunda aqui vai além da Tangem. Os pesquisadores da Ledger Donjon foram explícitos: a certificação EAL6+ por si só não impede ataques de injeção de falhas se o firmware contiver falhas lógicas exploráveis. O EAL6+ é um dos mais altos níveis de avaliação de segurança em hardware, e muitos consumidores e instituições o tratam como uma quase garantia de robustez. Esta divulgação desafia diretamente essa suposição.
Os pesquisadores recomendaram que o firmware do elemento seguro use múltiplas verificações independentes para operações sensíveis, fortaleça os métodos de validação de estado e garanta que alterações de senha permaneçam protegidas mesmo quando recursos de recuperação estiverem desativados. A questão não é que o EAL6+ seja inútil — é que a certificação avalia o que foi testado, não todas as superfícies de ataque possíveis. Uma falha lógica no firmware pode passar pelo processo de certificação totalmente despercebida.
Isso também tem implicações para a forma como a indústria mais ampla de carteiras de hardware aborda a segurança embarcada de longa duração. Se um cartão não pode receber atualizações de firmware, qualquer vulnerabilidade descoberta após a fabricação se torna uma característica permanente de todas as unidades já enviadas. Essa decisão de design — trocar conveniência por simplicidade — tem um custo oculto que só se torna visível quando uma falha vem à tona.
A resposta da Tangem e a questão do conflito de interesses
A reação da Tangem foi rápida e apontada em duas direções ao mesmo tempo. No mérito, a empresa argumentou que a combinação de acesso físico, equipamento de laboratório de seis dígitos e conhecimento especializado torna o risco prático para usuários comuns “praticamente inexistente”. Essa é uma posição defensável, dado os requisitos do ataque — alguém mirando um cartão Tangem aleatório com um equipamento a laser de US$ 250.000 não é um modelo de ameaça realista para a maioria das pessoas.
O ângulo da afiliação com concorrente
A Tangem também levantou uma objeção estrutural incisiva. “Embora a Ledger Donjon se apresente como uma unidade de pesquisa independente, ela opera dentro da Ledger, um de nossos maiores concorrentes”, escreveu a empresa no X. “Suas descobertas devem ser lidas com isso em mente.”
A observação é factualmente correta — a Ledger Donjon faz parte da Ledger, uma rival comercial direta. Mas apontar a afiliação não invalida as descobertas técnicas, e a vulnerabilidade foi divulgada à Tangem meses antes de se tornar pública. A própria Tangem reconheceu, em sua resposta, que “dado tempo, financiamento e acesso suficientes, o firmware em qualquer elemento seguro pode eventualmente ser revertido e explorado” — uma concessão que confirma que a categoria de ataque é real, mesmo que a barreira prática seja alta.
Também vale notar que os pesquisadores da Ledger Donjon já haviam descoberto problemas adicionais de segurança no ecossistema da Tangem, incluindo um verdadeiro bypass de verificação no aplicativo Android da Tangem e um ataque de força bruta ao protocolo de autenticação do cartão. A descoberta da injeção de falhas a laser faz parte de uma linha de pesquisa mais ampla, não de um caso isolado.
O que os usuários atuais da Tangem devem considerar
Para usuários que mantêm seu cartão Tangem fisicamente seguro, o risco descrito aqui é efetivamente teórico nos níveis atuais de capacidade de atacantes. O ataque não pode ser executado remotamente, não pode ser feito de forma secreta e deixa o cartão em um estado que revela adulteração.
A realidade mais desconfortável é que não existe mitigação em nível de firmware para cartões já em campo. A segurança física — não perder o cartão nem tê-lo roubado — é a única defesa prática disponível para os detentores atuais neste momento.
Se o hardware futuro da Tangem incorporará um mecanismo de atualização de firmware ou verificações adicionais e independentes de estado de recuperação é uma questão em aberto que a divulgação atual coloca diretamente na mesa.
Perguntas frequentes
Qual é a natureza da vulnerabilidade descoberta nos cartões de carteira de hardware Tangem?
Um ataque de injeção de falhas a laser pode redefinir a senha do cartão ao contornar uma verificação de estado de recuperação no firmware, permitindo alterações de senha não autorizadas sem o PIN original ou um cartão de backup.
Quais são os requisitos para que um invasor explore essa vulnerabilidade?
O ataque exige posse física do cartão, equipamento de laboratório caro e especializado em injeção de falhas a laser que custa aproximadamente US$ 250.000, ferramentas de análise de canal lateral e conhecimento avançado em segurança de hardware.
A vulnerabilidade pode ser corrigida nos cartões Tangem atualmente em circulação?
Não. A vulnerabilidade não pode ser corrigida porque os cartões Tangem não possuem mecanismo de atualização de firmware, o que significa que todos os cartões atualmente em circulação permanecem afetados indefinidamente.
Qual é a posição da Tangem sobre o risco prático dessa vulnerabilidade para usuários comuns?
A Tangem afirma que o risco para usuários comuns é “praticamente inexistente” devido à complexidade do ataque, ao custo do equipamento e à exigência de acesso físico. A empresa também destacou que a Ledger Donjon opera dentro da concorrente Ledger, sugerindo que as descobertas devem ser lidas nesse contexto.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Qual é a natureza da vulnerabilidade descoberta nos cartões de carteira de hardware Tangem?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Um ataque de injeção de falhas a laser pode redefinir a senha do cartão ao contornar uma verificação de estado de recuperação no firmware, permitindo alterações de senha não autorizadas sem o PIN original ou um cartão de backup.”}},{“@type”:”Question”,”name”:”Quais são os requisitos para que um invasor explore essa vulnerabilidade?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O ataque exige posse física do cartão, equipamento de laboratório caro e especializado em injeção de falhas a laser que custa aproximadamente US$ 250.000, ferramentas de análise de canal lateral e conhecimento avançado em segurança de hardware.”}},{“@type”:”Question”,”name”:”A vulnerabilidade pode ser corrigida nos cartões Tangem atualmente em circulação?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não. A vulnerabilidade não pode ser corrigida porque os cartões Tangem não possuem mecanismo de atualização de firmware, o que significa que todos os cartões atualmente em circulação permanecem afetados indefinidamente.”}},{“@type”:”Question”,”name”:”Qual é a posição da Tangem sobre o risco prático dessa vulnerabilidade para usuários comuns?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Tangem afirma que o risco para usuários comuns é “praticamente inexistente” devido à complexidade do ataque, ao custo do equipamento e à exigência de acesso físico. A empresa também destacou que a Ledger Donjon opera dentro da concorrente Ledger, sugerindo que as descobertas devem ser lidas nesse contexto.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
