El expresidente de Mt. Gox, Mark Karpelès, criticó la respuesta de Ledger a un ataque de cadena de suministro a billeteras de hardware que involucró implantes sofisticados, argumentando que la compañía debería haber emitido una advertencia pública más contundente tras documentar diseños avanzados de implantes en marzo de 2026. Los ataques de cadena de suministro de este tipo implican la manipulación de los dispositivos antes de que lleguen a los compradores, razón por la cual la orientación sobre canales de compra tiene un peso particular en la seguridad de las billeteras de hardware.

Karpelès afirma que una comunicación más clara podría haber evitado pérdidas por más de 90 millones de dólares. Estas cifras y evaluaciones reflejan las declaraciones públicas de Karpelès; la información disponible no establece de forma independiente el monto de las pérdidas atribuibles a las presuntas fallas de comunicación.

El presidente de Ledger, Pascal Gauthier, respondió haciendo referencia al historial de Karpelès al frente de Mt. Gox. El intercambio ha generado preguntas sobre cómo los proveedores de billeteras de hardware comunican las amenazas de seguridad emergentes a los clientes.

La divulgación de marzo de Ledger

Karpelès reconoció que Ledger publicó un artículo educativo sobre la amenaza de los implantes a través de Ledger Academy en marzo de 2026. Según se informó, el artículo recomendaba comprar los dispositivos directamente a Ledger o a sus distribuidores autorizados.

Sin embargo, Karpelès argumentó que un solo artículo educativo era insuficiente para una amenaza de esta gravedad. En su opinión, la evidencia de implantes producidos en masa y autoalineados debería haber motivado una respuesta de seguridad urgente.

Señaló múltiples reportes de implantes recibidos a comienzos de 2026 y citó diseños de implantes de hardware documentados por el investigador de seguridad Joe Grand, incluido un dispositivo hecho a mano equipado con una antena LTE improvisada. Según Karpelès, el artículo de marzo de Ledger mostraba tanto el estilo de implante hecho a mano descrito por Grand como diseños más avanzados producidos en masa.

Karpelès dijo que los dispositivos indicaban un esfuerzo serio por comprometer los productos de Ledger y describió la situación como un posible "incendio de cinco alarmas" que exigía una acción inmediata y adecuada. También estimó que una mejor comunicación en ese momento podría haber evitado pérdidas por más de 90 millones de dólares.

En una publicación en X con fecha del 17 de octubre de 2026, Karpelès escribió:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Disputa por la respuesta de Ledger

La disputa se intensificó después de que Gauthier invocara el historial de Karpelès como presidente de Mt. Gox. Mt. Gox, en su momento el mayor exchange de bitcoin del mundo, colapsó en 2014 tras perder cientos de miles de bitcoins a manos de hackers. Karpelès rechazó esa crítica, argumentando que el pasado del exchange no tenía relación con las responsabilidades de Ledger. Dijo que había esperado que Ledger aprendiera de las fallas de Mt. Gox y mantuviera estándares más sólidos de seguridad y divulgación.

Karpelès también cuestionó que Ledger continuara calificando el incidente como el incidente CryptoBilis. Señaló que según se informó, implantes similares habían aparecido en otros lugares. Aunque reconoció que Ledger podría tener razones para su terminología, argumentó que los clientes no deberían tener que determinar si sus dispositivos fueron alterados.

Reconoció algunas mejoras, incluida una mayor participación de la cuenta de Ledger en X, pero dijo que los usuarios seguían reportando dificultades para obtener respuestas de la compañía.

La controversia destaca una distinción en la seguridad de las billeteras de hardware: publicar orientación técnica no equivale necesariamente a emitir una advertencia urgente a los clientes. Los usuarios necesitan información clara sobre las amenazas potenciales, los canales de compra recomendados y los pasos para evaluar su exposición. La forma en que los proveedores escalan este tipo de hallazgos a los clientes más allá de publicar contenido educativo sigue siendo una cuestión central en la disputa.

Las billeteras de hardware protegen las claves privadas manteniéndolas aisladas de los entornos comunes conectados a internet. Sin embargo, un hardware comprometido puede socavar esas protecciones si componentes maliciosos interfieren con el funcionamiento del dispositivo o con las verificaciones de seguridad.

La disputa ha renovado la atención sobre la importancia de comprar billeteras de hardware directamente al fabricante o a distribuidores autorizados, así como el papel de la transparencia en el reporte de incidentes cuando ataques sofisticados amenazan dispositivos diseñados para proteger activos digitales.