Mark Karpelès, l'ancien PDG de l'échange Mt. Gox, a publiquement critiqué le fabricant de portefeuilles matériels Ledger, estimant que l'entreprise a mal réagi aux alertes précoces concernant du matériel espion caché dans des appareils vendus via l'un de ses revendeurs. Karpelès a dirigé Mt. Gox, alors le plus grand échange Bitcoin au monde, jusqu'à son effondrement en 2014.

La critique porte sur une attaque de chaîne d'approvisionnement liée à CryptoBillis, un revendeur de Ledger, via laquelle les utilisateurs ayant acheté des appareils ont perdu plus de 90 millions $. Karpelès affirme que Ledger a reçu des signalements des implants des mois avant de traiter publiquement le problème. L'enjeu est inhérent au produit lui-même : les portefeuilles matériels sont conçus pour conserver la phrase seed d'un utilisateur — la phrase de récupération qui donne le contrôle total d'un portefeuille — hors ligne et hors de portée des appareils connectés à Internet, et une attaque de chaîne d'approvisionnement, qui cible les produits durant la fenêtre entre la fabrication et la livraison, s'attaque précisément à cette protection.

Des alertes précoces remontant à décembre 2025

Selon Karpelès, Ledger a reçu des signalements d'implants matériels dès décembre 2025. Il a indiqué que la seule réponse publique de l'entreprise avait été un article de blog sur une compromission publié en mars 2026, et il estime qu'une communication plus claire à l'époque aurait pu prévenir les pertes qui ont suivi. Il a souligné que l'article de mars de Ledger montrait lui-même à la fois un implant artisanal avec une antenne LTE improvisée, observé par le pirate matériel Joe Grand, et des appareils très sophistiqués produits en série.

« Je sais qu'une meilleure communication sur ce sujet à l'époque aurait pu éviter plus de 90 millions USD de pertes », a écrit Karpelès sur X.

Dans une publication du 17 octobre 2026, Karpelès a rejeté l'idée que son propre passé à Mt. Gox devrait discréditer ses mises en garde :

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Publication source sur X

Il a ajouté qu'il ne comprenait pas comment l'entreprise n'avait pas été alertée par des « implants avancés produits en série ». Karpelès a également admis ses propres échecs à Mt. Gox, déclarant qu'il tenait Ledger à un standard plus élevé parce qu'il « pensait que vous feriez mieux en tirant les leçons de mon échec ».

Ledger réf les accusations

Le PDG de Ledger, Pascal Gauthier, a rejeté les critiques, qualifiant les commentaires de Karpelès de virtue signalling et évoquant son passé à Mt. Gox. L'échange entre les deux hommes est devenu personnel, s'éloignant de la question centrale : l'attaque et les fonds volés auraient-ils pu être évités ?

Karpelès a également accusé Ledger de minimiser l'incident, affirmant que l'entreprise l'a traité comme limité à CryptoBillis alors que des implants similaires avaient été signalés dans d'autres régions. Ledger a contesté les rapports faisant état d'appareils touchés en Europe, une conclusion établie après l'analyse d'un cas signalé en Allemagne. Karpelès a contesté cette analyse, affirmant que l'attaque s'était propagée plus loin, et a déclaré avoir aidé plusieurs utilisateurs à vérifier leur appareil pour détecter des signes de manipulation.

« Un utilisateur final ne le sait pas, et ne devrait pas avoir à s'inquiéter de savoir si son appareil a été altéré ou non », a-t-il écrit, appelant Ledger à partager des informations plus claires.

De nombreux membres de la communauté crypto ont pris parti pour Karpelès, exhortant l'entreprise à faire preuve de plus de transparence sur l'attaque et son ampleur.

Implants confirmés et réponse à l'échelle du secteur

Début octobre, Ledger a confirmé que des appareils vendus par CryptoBillis contenaient des implants non autorisés. Ces implants scannaient les phrases seed des utilisateurs et les envoyaient vers un serveur privé. Comme une phrase seed peut à elle seule restaurer un portefeuille sur n'importe quel appareil compatible, sa capture expose directement les fonds qu'elle protège. Ledger a suspendu les ventes via CryptoBillis et l'ensemble de la région d'Asie du Sud-Est, et les pertes liées à l'attaque ont ensuite dépassé 100 millions $.

D'autres fabricants de portefeuilles, dont Trezor et OneKey, ont réagi en supprimant les revendeurs tiers et en renforçant les contrôles sur la distribution de leurs appareils, ciblant ainsi le même canal de revente par lequel les implants avaient été introduits.

Au 18 octobre, Ledger maintient que la compromission est limitée à l'Asie du Sud-Est. Karpelès et d'autres continuent d'affirmer que l'attaque s'est propagée à d'autres régions, et le différend sur la véritable ampleur de l'incident reste non résolu. Cette affaire laisse aux acheteurs une question ouverte à laquelle le secteur n'a pas encore répondu : comment confirmer qu'un appareil n'a pas été altéré dans la chaîne entre son fabricant et ses mains.

Source : Blockonomi