Mark Karpelès, der frühere CEO der Börse Mt. Gox, hat den Hardware-Wallet-Hersteller Ledger öffentlich kritisiert. Er sagt, das Unternehmen habe schlecht auf frühe Warnungen reagiert, dass Spionage-Hardware in Geräten versteckt worden war, die über einen seiner Reseller verkauft wurden. Karpelès leitete Mt. Gox, einst die größte Bitcoin-Börse der Welt, bis zu deren Zusammenbruch im Jahr 2014.

Die Kritik konzentriert sich auf einen Lieferkettenangriff, der mit CryptoBillis, einem Ledger-Reseller, in Verbindung gebracht wird und über den Nutzer, die Geräte kauften, mehr als 90 Millionen US-Dollar verloren. Karpelès argumentiert, dass Ledger bereits Monate vor der öffentlichen Behandlung des Problems Berichte über die Implantate erhalten hatte. Das Risiko steckt im Produkt selbst: Hardware-Wallets sind dafür konzipiert, die Seed-Phrase eines Nutzers — die Wiederherstellungsphrase, die die volle Kontrolle über eine Wallet gewährt — offline und außerhalb der Reichweite internetverbundener Geräte zu halten, und ein Lieferkettenangriff, der Produkte im Zeitraum zwischen Herstellung und Auslieferung ins Visier nimmt, zielt genau auf diesen Schutz.

Frühe Warnungen sollen bis Dezember 2025 zurückreichen

Nach Angaben von Karpelès erhielt Ledger bereits im Dezember 2025 Berichte über Hardware-Implantate. Er sagte, die einzige öffentliche Reaktion des Unternehmens sei ein Blogbeitrag über eine Kompittierung gewesen, der im März 2026 veröffentlicht wurde, und er ist überzeugt, dass eine klarere Kommunikation damals die anschließenden Verluste hätte verhindern können. Er wies darauf hin, dass Ledgers März-Artikel selbst sowohl ein handgefertigtes Implantat mit einer improvisierten LTE-Antenne, das der Hardware-Hacker Joe Grand beobachtet hatte, als auch hochbudgetierte, massengefertigte Geräte zeigte.

„Ich weiß durchaus, dass eine bessere Kommunikation damals Verluste von über 90 Millionen US-Dollar hätte verhindern können“, schrieb Karpelès auf X.

In einem Beitrag vom 17. Oktober 2026 wies Karpelès die Behauptung zurück, seine eigene Bilanz bei Mt. Gox entwerte seine Warnungen:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Quellbeitrag auf X

Er fügte hinzu, er könne nicht nachvollziehen, wie das Unternehmen durch „massengefertigte hochentwickelte Implantate“ nicht alarmiert wurde. Karpelès räumte auch seine eigenen Fehler bei Mt. Gox ein und sagte, er messe Ledger höhere Maßstäbe an, weil er „darauf vertraut habe, dass ihr es besser macht, indem ihr aus meinem Scheitern lernt“.

Ledger wehrt sich gegen die Vorwürfe

Ledger-CEO Pascal Gauthier wies die Kritik zurück, bezeichnete Karpelès' Äußerungen als PR-taktisches Signalsenden und verwies auf dessen Vergangenheit bei Mt. Gox. Der Austausch zwischen den beiden wurde persönlich und entfernte sich von der zentralen Frage, ob der Angriff und die gestohlenen Gelder hätten verhindert werden können.

Karpelès beschuldigte Ledger außerdem, den Vorfall herunterzuspielen. Er sagte, das Unternehmen habe ihn als auf CryptoBillis beschränkt dargestellt, obwohl ähnliche Implantate in anderen Regionen gemeldet worden waren. Ledger hat Berichte bestritten, wonach Geräte in Europa betroffen waren — ein Schluss, zu dem das Unternehmen nach der Analyse eines gemeldeten Falls in Deutschland kam. Karpelès widersprach dem und sagte, der Angriff habe sich weiter ausgebreitet; zudem habe er mehreren Nutzern geholfen, ihre Geräte auf Anzeichen von Manipulation zu prüfen.

„Ein Endnutzer weiß das nicht und sollte sich keine Sorgen machen müssen, ob sein Gerät verändert ist oder nicht“, schrieb er und forderte Ledger auf, klarere Informationen bereitzustellen.

Viele Mitglieder der Krypto-Community stellten sich auf Karpelès' Seite und forderten das Unternehmen auf, sich offener über den Angriff und seinen Umfang zu äußern.

Bestätigte Implantate und eine branchenweite Reaktion

Anfang Oktober bestätigte Ledger, dass über CryptoBillis verkaufte Geräte unbefugte Implantate enthielten. Die Implantate lasen die Seed-Phrasen der Nutzer aus und sendeten sie an einen privaten Server. Da eine Seed-Phrase allein ausreicht, um eine Wallet auf kompatiblen Gerät wiederherzustellen, setzt ihr Abgreifen die geschützten Gelder direkt der Gefahr aus. Ledger stoppte den Verkauf über CryptoBillis und die gesamte Region Südostasien; die Verluste durch den Angriff überstiegen später 100 Millionen US-Dollar.

Andere Wallet-Hersteller, darunter Trezor und OneKey, reagierten mit der Entfernung von Drittanbieter-Resellern und verschärften Kontrollen der Vertriebswege ihrer Geräte — und zielten damit genau auf den Reseller-Kanal, über den die Implantate eingeschleust worden waren.

Stand 18. Oktober hält Ledger daran fest, dass die Kompromittierung auf Südostasien beschränkt ist. Karpelès und andere behaupten weiterhin, der Angriff habe sich auf andere Regionen ausgebreitet, und der Streit über den tatsächlichen Umfang des Vorfalls ist ungelöst. Der Vorfall lässt Käufer mit einer offenen Frage zurück, die die Branche bislang nicht beantwortet hat: Wie lässt sich bestätigen, dass ein Gerät in der Kette zwischen Hersteller und Käufer nicht verändert wurde?

Quelle: Blockonomi