Der Ledger-CEO Pascal Gauthier und Mark Karpelès, der ehemalige Chefchef der zusammengebrochenen Börse Mt. Gox, tauschten am 17. Oktober auf X öffentliche Kritik aus. Im Zentrum des Streits steht die Frage, wie deutlich der Hardware-Wallet-Hersteller Kunden über manipulierte Geräte informiert hat, die mit schätzungsweise 90 Millionen US-Dollar an Krypto-Diebstählen in Verbindung gebracht werden – und dies geschah, während die Folgen kompromittierter Ledger-Einheiten, die über einen Drittanbieter-Wiederverkäufer in Südostasien vertrieben wurden, weiterhin nachwirken.

Karpelès stellte in Frage, ob Ledger Käufer ausreichend über Spionagemodule gewarnt hatte, die in veränderten Wallets gefunden worden waren. Gauthier verteidigte die Sicherheitsbilanz des Unternehmens und forderte Kritiker auf, bewiesene Fakten von Spekulationen zu trennen. Hardware-Wallets sind darauf ausgelegt, die privaten Schlüssel eines Nutzers offline zu halten, was die Integrität der Lieferkette entscheidend macht. Der Vorfall veranschaulicht das spezifische Risiko einer Manipulation auf der Wiederverkaufsstufe: Einufer erhält ein Originalgerät – allerdings eines, das nach Verlassen des Werks verändert wurde.

Correction: I said @Ledger didn't talk about the implant situation at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès argumentierte, eine stärkere Warnung hätte den Nutzern Verluste von mehr als 90 Millionen US-Dollar ersparen können. Er erklärte zudem, Ledger habe bereits im Dezember 2025 Berichte über Spionage-Hardware-Module erhalten.

Gauthier antwortete mit einer persönlichen Spitze mit Bezug auf Karpelès' Vergangenheit. "Coming from Mt Gox CEO… Come on man. You are no white knight. Get real", schrieb er.

Mt. Gox, einst die größte Bitcoin-Börse der Welt, brach 2014 nach schweren Bitcoin-Verlusten zusammen. Karpelès erklärte, genau diese Erfahrung sei der Grund, warum er von Unternehmen, die Kundengelder verwalten, eine deutlich stärkere Sicherheitskommunikation erwartet.

Was Ledger veröffentlicht hat und wann

Karpelès verwies auf einen Ledger-Sicherheitsleitfaden mit dem Titel "Best Practices To Securely Buy Your Ledger Signer." Ledgers Website listet den 6. März 2026 als erstes Veröffentlichungsdatum des Leitfadens. Darin empfiehlt das Unternehmen den Kauf der Geräte direkt über Ledger oder autorisierte Wiederverkäufer.

Der Leitfaden behandelt gefälschte Geräte, Wallets mit vorinstallierter Wiederherstellungsphrase sowie Originalgeräte, die nach Verlassen des Werks verändert wurden. Er enthält Fotos modifizierter Leiterplatten. Die Seite wurde zuletzt am 18. September aktualisiert. Ohne eine gespeicherte Kopie der März-Version lässt sich nicht klären, wann jedes Foto oder jede Warnung ergänzt wurde.

Ledger hat nicht angegeben, wann das Unternehmen erstmals von den betroffenen CryptoBilis-Geräten erfuhr. Dieser unveröffentlichte Zeitablauf steht im Mittelpunkt des Streits. Der öffentliche Austausch zwischen den beiden Managern zeigt nicht, dass das Unternehmen Informationen absichtlich zurückgehalten hat.

Wie der Angriff funktionierte

Ermittler entdeckten zusätzliche Elektronik, die in einem Original-Ledger-Gerät versteckt war, das über CryptoBilis verkauft worden war, einen Wiederverkäufer in Südostasien. Die eingeschleuste Hardware konnte beim Einrichten der Wallet eine 24-Wort-Wiederherstellungsphrase erfassen und die Wörter anschließend über eine Mobilfunkverbindung übertragen. Eine Wiederherstellungsphrase dient als zentrales Backup einer Hardware-Wallet – wer die vollständige Phrase besitzt, kann auf die verknüpften Gelder zugreifen, ohne das Gerät jemals zu berührenn
Ledger erklärt, sein Genuine Check, eine Verifikationsfunktion, die Käufer vor der Nutzung eines Geräts ausführen können, bestätige lediglich, dass der Secure-Element-Chip authentisch sei. Zusätzliche Bauteile könne er nicht erkennen, solange der Originalchip an seinem Platz bleibt. Das Unternehmen erklärte, Secure Element, Betriebssystem und Signaturprozess seien nicht kompromittiert worden. Am 9. Oktober forderte Ledger CryptoBilis auf, Verkäufe und Auslieferungen einzustellen.

Galaxy Research schätzte die mutmaßlichen Verluste am 16. Oktober auf etwa 91 Millionen US-Dollar. Ledger hat eine endgültige Summe nicht bestätigt; ein separater Bericht bezifferte die Verluste auf über 100 Millionen US-Dollar.

Ledger riet Kunden, die in den vergangenen 90 Tagen beim Wiederverkäufer gekauft hatten, ungenutzte Wallets nicht einzurichten. Wer dies bereits getan hatte, wurde angewiesen, seine Gelder auf eine neue Wallet auf einem vertrauenswürdigen Gerät zu übertragen.

Karpelès erklärt, ähnliche Module seien auch in anderen Regionen aufgetaucht, und er habe Nutzern bei der Prüfung ihrer Geräte geholfen. Ledger bestritt Berichte über Betroffenheit in Europa nach der Prüfung eines Falls in Deutschland. Trezor und OneKey haben Drittanbieter-Wiederverkäufer entfernt und ihre Distributionskontrollen verschärft. Diese Maßnahmen zielen auf dieselbe Schwäche ab, die der Angriff offenlegte: Sobald der Originalchip eines Geräts als authentisch verifiziert ist, können Standardprüfungen die um ihn herum eingebauten Hardware-Komponenten nicht erkennen – die Gewährleistung liegt damit maßgeblich beim Vertriebskanal selbst. Ledger hält daran fest, dass der Kompromittierung auf Südostasien beschränkt ist, während andere sagen, sie habe sich weiter ausgebreitet. Eine bestätigte Verlustsumme und die vollständige geografische Reichweite der Manipulationen sind weiterhin nicht geklärt.