Der ehemalige Mt.-Gox-CEO Mark Karpelès hat die Reaktion von Ledger auf einen Supply-Chain-Angriff auf Hardware Wallets mit hochentwickelten Implantaten kritisiert. Er argumentiert, das Unternehmen hätte eine dringendere öffentliche Warnung herausgeben müssen, nachdem es im März 2026 fortschrittliche Implantat-Designs dokumentiert hatte. Bei dieser Art von Supply-Chain-Angriff werden Geräte manipuliert, bevor sie die Käufer erreichen – deshalb kommt Hinweisen zu Kaufkanälen bei der Sicherheit von Hardware Wallets besonderes Gewicht zu.

Karpelès sagt, eine klarere Kommunikation hätte Verluste von über 90 Millionen US-Dollar verhindern können. Diese Zahlen und Einschätzungen beruhen auf Karpelès' öffentlichen Äußerungen; die vorliegenden Informationen belegen den Betrag der Verluste, der auf die angeblichen Kommunikationsversäumnisse zurückzuführen ist, nicht unabhängig.

Ledger-CEO Pascal Gauthier reagierte mit Verweis auf Karpelès' Vergangenheit als Chef von Mt. Gox. Der Streit wirft Fragen auf, wie Anbieter von Hardware Wallets ihre Kunden über neu auftretende Sicherheitsbedrohungen informieren.

Ledgers Offenlegung im März

Karpelès räumte ein, dass Ledger im März 2026 über die Ledger Academy einen Informationsartikel zur Implantat-Bedrohung veröffentlicht hatte. Der Artikel empfahl dem Bericht zufolge, Geräte direkt bei Ledger oder dessen autorisierten Händlern zu kaufen.

Ein einzelner Informationsartikel sei für eine Bedrohung dieses Ausmaßes jedoch nicht ausreichend, argumentierte Karpelès. Aus seiner Sicht hätte der Nachweis massenproduzierter, selbstausrichtender Implantate eine dringende Sicherheitsreaktion auslösen müssen.

Er verwies auf mehrere Implantat-Meldungen, die Anfang 2026 eingingen, und auf von dem Sicherheitsforscher Joe Grand dokumentierte Hardware-Implantat-Designs, darunter ein handgefertigtes Gerät mit einer improvisierten LTE-Antenne. Nach Darstellung von Karpelès zeigte Ledgers März-Artikel sowohl die von Grand beschriebene handgefertigte Bauart als auch fortschrittlichere, massenproduzierte Designs.

Karpelès sagte, die Geräte deuteten auf einen ernsthaften Versuch hin, Ledger-Produkte zu kompromittieren, und beschrieb die Lage als möglichen „fünf-alarm fire“, der sofortiges und angemessenes Handeln erfordere. Er schätzte außerdem, dass eine bessere Kommunikation seinerzeit Verluste von über 90 Millionen US-Dollar hätte verhindern können.

In einem Beitrag auf X vom 17. Oktober 2026 schrieb Karpelès:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Streit über Ledgers Reaktion

Der Streit verschärfte sich, nachdem Gauthier Karpelès' Vergangenheit als Mt.-Gox- ins Spiel gebracht hatte. Mt. Gox, einst die größte Bitcoin-Börse der Welt, brach 2014 zusammen, nachdem Hacker Hunderttausende Bitcoins erbeutet hatten. Karpelès wies diese Kritik zurück und argumentierte, die Vergangenheit der Börse habe nichts mit Ledgers Verantwortung zu tun. Er habe erwartet, dass Ledger aus dem Scheitern von Mt. Gox lernt und strengere Sicherheits- und Transparenzstandards einhält.

Karpelès stellte außerdem die fortgesetzte Bezeichnung des Vorfalls als „CryptoBilis incident“ durch Ledger in Frage. Er wies darauf hin, dass ähnliche Implantate dem Bericht zufolge auch an anderen Orten aufgetaucht seien. Während er einräumte, dass Ledger Gründe für seine Terminologie haben könnte, argumentierte er, Kunden sollten nicht selbst herausfinden müssen, ob ihre Geräte manipuliert wurden.

Er erkannte einige Verbesserungen an, darunter ein stärkeres Engagement des X-Accounts von Ledger, sagte jedoch, Nutzer berichteten weiterhin über Schwierigkeiten, Antworten des Unternehmens zu erhalten.

Die Kontroverse verdeutlicht einen wichtigen Unterschied bei der Sicherheit von Hardware Wallets: Die Veröffentlichung technischer Hinweise ist nicht dasselbe wie eine dringende Kundenwarnung. Nutzer benötigen klare Informationen über potenzielle Bedrohungen, empfohlene Kaufkanäle und Schritte zur Einschätzung ihrer eigenen Betroffenheit. Wie Anbieter solche Erkenntnisse über Schulungsmaterial hinaus an Kunden weitergeben, bleibt eine zentrale Frage des Streits.

Hardware Wallets schützen private Schlüssel, indem sie diese von herkömmlichen internetverbundenen Umgebungen isolieren. Kompromittierte Hardware kann diese Schutzmechanismen jedoch untergraben, wenn bösartige Komponenten in Gerätefunktionen oder Sicherheitsprüfungen eingreifen.

Der Streit hat die Aufmerksamkeit erneut auf die Bedeutung gerichtet, Hardware Wallets direkt beim Hersteller oder bei autorisierten Händlern zu kaufen, sowie auf die Rolle transparenter Berichterstattung über Vorfälle, wenn hochentwickelte Angriffe Geräte bedrohen, die zum Schutz digitaler Vermögenswerte entwickelt wurden.