El CEO de Ledger, Pascal Gauthier, y Mark Karpelès, el exdirector ejecutivo del colapsado exchange Mt. Gox, intercambiaron críticas públicas en X el 17 de octubre. La disputa se centra en la claridad con la que el fabricante de billeteras de hardware advirtió a los clientes sobre dispositivos manipulados vinculados a un estimado de 90 millones de dólares en robos de criptomonedas, y se produjo mientras continúan las consecuencias de las unidades de Ledger comprometidas distribuidas a través de un revendedor externo en el sudeste asiático.

Karpelès cuestionó si Ledger había advertido adecuadamente a los compradores sobre los implantes espía encontrados en billeteras modificadas. Gauthier defendió el historial de seguridad de la compañía y pidió a los críticos que separaran los hechos comprobados de las especulaciones. Las billeteras de hardware están diseñadas para mantener las claves privadas del usuario fuera de línea, lo que hace que la integridad de la cadena de suministro sea fundamental. El episodio ilustra el riesgo específico de la manipulación en la etapa de reventa: un comprador recibe un dispositivo genuino, pero que fue alterado después de salir de la fábrica.

Correction: I said @Ledger didn't talk about the implant situation at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès sostuvo que una advertencia más firme podría haber evitado a los usuarios pérdidas de más de 90 millones de dólares. También dijo que Ledger recibió informes de implantes espía en hardware ya en diciembre de 2025.

Gauthier respondió con un ataque personal que hacía referencia al pasado de Karpelès. "Coming from Mt Gox CEO… Come on man. You are no white knight. Get real", escribió.

Mt. Gox, en su momento el exchange de Bitcoin más grande del mundo, colapsó en 2014 tras importantes pérdidas de Bitcoin. Karpelès dijo que esa experiencia es precisamente la razón por la que espera una comunicación de seguridad más sólida por parte de las compañías que custodian activos de clientes.

Qué publicó Ledger y cuándo

Karpelès señaló una guía de seguridad de Ledger titulada "Best Practices To Securely Buy Your Ledger Signer". El sitio web de Ledger indica el 6 de marzo de 2026 como la fecha de primera publicación de la guía. La guía recomienda comprar dispositivos directamente a Ledger o a través de revendedores autorizados.

La guía aborda dispositivos falsificados, billeteras enviadas con frases de recuperación preablecidas y dispositivos genuinos alterados después de salir de la fábrica. Incluye fotografías de circuitos impresos modificados. La página fue actualizada por última vez el 18 de septiembre. Sin una copia guardada de la versión de marzo, no está claro cuándo se añadieron cada foto o advertencia.

Ledger no ha dicho cuándo supo por primera vez de los dispositivos afectados de CryptoBilis. Ese cronograma no revelado es central en la disputa. El intercambio público entre los dos ejecutivos no demuestra que la compañía ocultara información deliberadamente.

Cómo funcionó el ataque

Los investigadores descubrieron componentes electrónicos adicionales ocultos dentro de un dispositivo genuino de Ledger vendido a través de CryptoBilis, un revendedor del sudeste asiático. El hardware implantado podía capturar una frase de recuperación de 24 palabras durante la configuración de la billetera y luego transmitir las palabras a través de una conexión celular. Una frase de recuperación funciona como la copia de seguridad principal de una billetera de hardware, por lo que cualquier persona que tenga la frase completa puede acceder a los fondos vinculados sin tocar el dispositivo.

Ledger dice que su Genuine Check, una función de verificación que los compradores pueden ejecutar antes de usar un dispositivo, solo confirma que el chip Secure Element es auténtico. No puede detectar componentes añadidos si el chip original permanece en su lugar. La compañía afirmó que el Secure Element, el sistema operativo y el proceso de firma no fueron comprometidos. El 9 de octubre, pidió a CryptoBilis que detuviera las ventas y los envíos.

Galaxy Research estimó alrededor de 91 millones de dólares en pérdidas sospechosas el 16 de octubre. Ledger no ha confirmado un total final, y otro informe situó las pérdidas por encima de los 100 millones de dólares.

Ledger recomendó a los clientes que compraron al revendedor en los últimos 90 días que no configuraran billeteras sin usar. A quienes ya lo habían hecho se les indicó mover sus fondos a una nueva billetera en un dispositivo confiable.

Karpelès dice que implantes similares han aparecido en otras regiones y que ha ayudado a usuarios a inspeccionar sus dispositivos. Ledger disputó los informes de exposición en Europa tras revisar un caso en Alemania. Trezor y OneKey han eliminado a los revendedores externos y han reforzado sus controles de distribución. Las medidas apuntan a la misma debilidad que expuso el ataque: una vez que el chip original de un dispositivo es verificado como auténtico, las verificaciones estándar no pueden detectar hardware añadido alrededor, lo que pone el peso de la garantía en el propio canal de ventas. Ledger sostiene que el compromiso se limita al sudeste asiático, mientras que otros afirman que llegó más lejos. Un total de pérdidas confirmado y el alcance geográfico completo de la manipulación siguen sin establecerse.