Mark Karpelès, exCEO del exchange Mt. Gox, criticó públicamente al fabricante de wallets de hardware Ledger, afirmando que la empresa no respondió adecuadamente a las advertencias tempranas de que hardware espía había sido ocultado dentro de dispositivos vendidos a través de uno de sus revendedores. Karpelès dirigió Mt. Gox, que fue el exchange de Bitcoin más grande del mundo, hasta su colapso en 2014.

La crítica se centra en un ataque de cadena de suministro vinculado a CryptoBillis, un revendedor de Ledger, a través del cual los usuarios que compraron dispositivos perdieron más de 90 millones de dólares. Karpelès sostiene que Ledger recibió informes sobre los implantes meses antes de abordar públicamente el problema. El riesgo está incorporado en el propio producto: las wallets de hardware están diseñadas para mantener la frase semilla del usuario —la frase de recuperación que otorga control total sobre una wallet— fuera de línea y fuera del alcance de dispositivos conectados a internet, y un ataque de cadena de suministro, que apunta a los productos en la ventana entre su fabricación y su entrega, ataca directamente esa protección.

Advertencias tempranas que se remontan a diciembre de 2025

Según Karpelès, Ledger recibió informes de implantes de hardware ya en diciembre de 2025. Dijo que la única respuesta pública de la empresa fue una entrada de blog sobre un compromiso publicada en marzo de 2026, y considera que una comunicación más clara en su momento podría haber evitado las pérdidas posteriores. Señaló que el propio artículo de marzo de Ledger mostraba tanto un implante hecho a mano con una antena LTE improvisada, observado por el hacker de hardware Joe Grand, como dispositivos de producción masiva con alto presupuesto.

"Sé que una mejor comunicación sobre esto en ese momento podría haber evitado más de 90 millones de dólares en pérdidas", escribió Karpelès en X.

En una publicación del 17 de octubre de 2026, Karpelès rechazó las sugerencias de que su propio historial en Mt. Gox debería desacreditar sus advertencias:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Publicación original en X

Agregó que no podía entender cómo la empresa no se alarmó ante "implantes avanzados producidos en masa". Karpelès también admitió sus propios fracasos en Mt. Gox, diciendo que exigía a Ledger un estándar más alto porque "confiaba en harían mejor las cosas aprendiendo de mi fracaso".

Ledger rechaza las afirmaciones

El CEO de Ledger, Pascal Gauthier, rechazó la crítica, calificando los comentarios de Karpelès de postura moralista y señalando su pasado en Mt. Gox. El intercambio entre ambos se volvió personal, alejándose de la pregunta central de si el ataque y los fondos robados pudieron haberse evitado.

Karpelès también acusó a Ledger de minimizar el incidente, diciendo que la empresa lo trató como limitado a CryptoBillis a pesar de que se reportaron implantes similares en otras regiones. Ledger ha cuestionado los informes de que dispositivos en Europa fueron afectados, una conclusión a la que llegó tras analizar un caso reportado en Alemania. Karpelès discrepó, afirmando que el ataque llegó más lejos, y dijo que había ayudado a varios usuarios a revisar sus dispositivos en busca de señales de manipulación.

"El usuario final no sabe eso, y no debería tener que preocuparse por si su dispositivo está alterado o no", escribió, pidiendo a Ledger que comparta información más clara.

Muchos miembros de la comunidad cripto tomaron partido por Karpelès, presionando a la empresa para que sea más transparente sobre el ataque y su alcance.

Implantes confirmados y una respuesta a nivel de la industria

A principios de octubre, Ledger confirmó que los dispositivos vendidos por CryptoBillis contenían implantes no autorizados. Los implantes escaneaban las frases semilla de los usuarios y las enviaban a un servidor privado. Dado que una frase semilla por sí sola puede restaurar una wallet en cualquier dispositivo compatible, capturar una expone directamente los fondos que protege. Ledger pausó las ventas a través de CryptoBillis y la región del Sudeste Asiático en general, y las pérdidas por el ataque superaron posteriormente los 100 millones de dólares.

Otros fabricantes de wallets, incluidos Trezor y OneKey, respondieron eliminando a los revendedores externos y reforzando los controles sobre cómo se distribuyen sus dispositivos, apuntando al mismo canal de revendedores a través del cual se introdujeron los implantes.

Al 18 de octubre, Ledger mantiene que el compromiso está limitado al Sudeste Asiático. Karpelès y otros siguen afirmando que el ataque se extendió a otras regiones, y la disputa sobre el alcance real del incidente sigue sin resolverse. El episodio ha dejado a los compradores con una pregunta abierta que la industria aún no ha respondido: cómo confirmar que un dispositivo no ha sido alterado en la cadena entre su fabricante y sus manos.

Fuente: Blockonomi