L'ancien PDG de Mt. Gox, Mark Karpelès, a critiqué la réponse de Ledger à une attaque de la chaîne d'approvisionnement visant des portefeuilles matériels et impliquant des implants sophistiqués, estimant que la société aurait dû émettre un avertissement public plus fort après avoir documenté des conceptions d'implants avancées en mars 2026. Les attaques de la chaîne d'approvisionnement de ce type consistent à altérer les appareils avant qu'ils n'atteignent les acheteurs, c'est pourquoi les recommandations concernant les canaux d'achat ont un poids particulier en matière de sécurité des portefeuilles matériels.

Karpelès affirme qu'une communication plus claire aurait pu prévenir plus de 90 millions de dollars de pertes. Ces chiffres et évaluations reflètent les déclarations publiques de Karpelès ; les informations fournies ne permettent pas d'établir de manière indépendante le montant des pertes attribuable aux supposés manquements de communication.

Le PDG de Ledger, Pascal Gauthier, a répondu en évoquant l'histoire de Karpelès à la tête de Mt. Gox. Cet échange a soulevé des questions sur la manière dont les fournisseurs de portefeuilles matériels communiquent sur les menaces de sécurité émergentes auprès de leurs clients.

La divulgation de mars de Ledger

Karpelès a reconnu que Ledger avait publié en mars 2026 un article éducatif sur la menace des implants via la Ledger Academy. L'article recommandait, selon les rapports, d'acheter les appareils directement auprès de Ledger ou de ses revendeurs agréés.

Cependant, Karpelès a estimé qu'un simple article éducatif était insuffisant face à une menace d'une telle gravité. Selon lui, la preuve d'implants produits en masse et s'alignant automatiquement aurait dû déclencher une réponse de sécurité urgente.

Il a pointé plusieurs signalements d'implants reçus début 2026 et a fait référence à des conceptions d'implants matériels documentées par le chercheur en sécurité Joe Grand, notamment un appareil artisanal équipé d'une antenne LTE improvisée. Selon Karpelès, l'article de mars de Ledger montrait à la fois le style d'implant artisanal décrit par Grand et des conceptions plus avancées, produites en masse.

Karpelès a déclaré que ces appareils indiquaient un effort sérieux pour compromettre les produits Ledger et a décrit la situation comme un potentiel « incendie de niveau cinq » nécessitant une action immédiate et appropriée. Il a également estimé qu'une meilleure communication à l'époque aurait pu prévenir plus de 90 millions de dollars de pertes.

Dans une publication sur X datée du 17 octobre 2026, Karpelès a écrit :

I not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Désaccord sur la réponse de Ledger

Le différend s'est intensifié après que Gauthier a évoqué l'histoire de Karpelès en tant que PDG de Mt. Gox. Mt. Gox, autrefois la plus grande plateforme d'échange de bitcoins au monde, s'est effondrée en 2014 après avoir perdu des centaines de milliers de bitcoins à cause de pirates informatiques. Karpelès a rejeté cette critique, arguant que le passé de la plateforme n'avait aucune incidence sur les responsabilités de Ledger. Il a déclaré s'être attendu à ce que Ledger tire les leçons des échecs de Mt. Gox et maintienne des normes plus strictes en matière de sécurité et de divulgation.

Karpelès a également remis en question la désignation persistante de l'incident par Ledger comme « l'incident CryptoBilis ». Il a noté que des implants similaires auraient, selon les rapports, fait surface à d'autres endroits. Tout en reconnaissant que Ledger pouvait avoir ses raisons pour cette terminologie, il a soutenu que les clients ne devraient pas avoir à déterminer eux-mêmes si leurs appareils avaient été altérés.

Il a reconnu certaines améliorations, notamment un engagement accru du compte X de Ledger, mais a indiqué que les utilisateurs continuaient de signaler des difficultés à obtenir des réponses de la société.

La controverse met en évidence une distinction importante en matière de sécurité des portefeuilles matériels : publier des conseils techniques n'équivaut pas nécessairement à émettre un avertissement urgent aux clients. Les utilisateurs ont besoin d'informations claires sur les menaces potentielles, les canaux d'achat recommandés et les mesures permettant d'évaluer leur exposition. La manière dont les fournisseurs transmettent ce type de découvertes aux clients au-delà de la publication de contenus éducatifs reste une question centrale dans ce différend.

Les portefeuilles matériels protègent les clés privées en les maintenant isolées des environnements connectés à Internet ordinaires. Toutefois, un matériel compromis peut saper ces protections si des composants malveillants interfèrent avec le fonctionnement de l'appareil ou ses contrôles de sécurité.

Ce différend a rappelé l'importance d'acheter les portefeuilles matériels directement auprès des fabricants ou de revendeurs agréés, ainsi que le rôle essentiel d'un reporting transparent des incidents lorsque des attaques sophistiquées menacent des appareils conçus pour protéger les actifs numériques.