L'ex amministratore delegato di Mt. Gox Mark Karpelès ha criticato la risposta di Ledger a un attacco alla supply chain degli hardware wallet che coinvolgeva impianti sofisticati, sostenendo che la società avrebbe dovuto diffondere un avvertimento pubblico più forte dopo aver documentato design avanzati di impianti nel marzo 2026. Gli attacchi alla supply chain di questo tipo comportano la manomissione dei dispositivi prima che raggiungano gli acquirenti, ed è per questo che le indicazioni sui canali di acquisto rivestono particolare importanza nella sicurezza degli hardware wallet.

Karpelès afferma che una comunicazione più chiara avrebbe potuto prevenire perdite per oltre 90 milioni di dollari. Queste cifre e valutazioni riflettono le dichiarazioni pubbliche di Karpelès; le informazioni fornite non stabiliscono in modo indipendente l'entità delle perdite attribuibili ai presunti fallimenti comunicativi.

L'amministratore delegato di Ledger Pascal Gauthier ha risposto facendo riferimento al passato di Karpelès alla guida di Mt. Gox. Lo scambio di accuse ha sollevato domande su come i fornitori di hardware wallet comunichino ai clienti le minacce alla sicurezza emergenti.

La divulgazione di marzo di Ledger

Karpelès ha riconosciuto che Ledger ha pubblicato un articolo educativo sulla minaccia degli impianti tramite Ledger Academy nel marzo 2026. L'articolo avrebbe raccomandato di acquistare i dispositivi direttamente da Ledger o dai suoi rivenditori autorizzati.

Tuttavia, Karpelès ha sostenuto che un singolo articolo educativo era insufficiente per una minaccia di questa gravità. A suo avviso, le prove di impianti prodotti in serie e autoallineanti avrebbero dovuto stimolare una risposta di sicurezza urgente.

Ha indicato le molteplici segnalazioni di impianti ricevute all'inizio del 2026 e ha fatto riferimento ai design di impianti hardware documentati dal ricercatore di sicurezza Joe Grand, tra cui un dispositivo artigianale dotato di un'antenna LTE improvvisata. Secondo Karpelès, l'articolo di marzo di Ledger mostrava sia lo stile artigianale di impianto descritto da Grand sia design più avanzati e prodotti in serie.

Karpelès ha affermato che i dispositivi indicavano uno sforzo serio per compromettere i prodotti Ledger e ha descritto la situazione come un potenziale "incendio a cinque allarmi" che richiedeva un'azione immediata e appropriata. Ha anche stimato che una migliore comunicazione all'epoca avrebbe potuto prevenire perdite per oltre 90 milioni di dollari.

In un post su X datato 17 ottobre 2026, Karpelès ha scritto:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Controversia sulla risposta di Ledger

La disputa si è intensificata dopo che Gauthier ha evocato il passato di Karpelès come amministratore delegato di Mt. Gox. Mt. Gox, un tempo il più grande exchange di bitcoin al mondo, è crollato nel 2014 dopo perso centinaia di migliaia di bitcoin per mano di hacker. Karpelès ha respinto quella critica, sostenendo che il passato dell'exchange non aveva alcuna rilevanza sulle responsabilità di Ledger. Ha detto di aversi aspettato che Ledger imparasse dai fallimenti di Mt. Gox e mantenesse standard più rigorosi di sicurezza e divulgazione.

Karpelès ha anche messo in dubbio la continua caratterizzazione dell'incidente da parte di Ledger come "incidente CryptoBilis". Ha notato che impianti simili sarebbero emersi, secondo le segnalazioni, anche in altri luoghi. Pur riconoscendo che Ledger possa avere ragioni per la sua terminologia, ha sostenuto che i clienti non dovrebbero dover determinare autonomamente se i loro dispositivi siano stati alterati.

Ha riconosciuto alcuni miglioramenti, tra cui un maggiore coinvolgimento dell'account X di Ledger, ma ha detto che gli utenti continuano a segnalare difficoltà nell'ottenere risposte dalla società.

La controversia evidenzia una distinzione nella sicurezza degli hardware wallet: pubblicare linee guida tecniche non equivale necessariamente a emettere un avvertimento urgente ai clienti. Gli utenti hanno bisogno di informazioni chiare sulle potenziali minacce, sui canali di acquisto raccomandati e sui passi per valutare la propria esposizione. Il modo in cui i fornitori escalino tali rilievi ai clienti al di là della pubblicazione di contenuti educativi resta una questione centrale nella disputa.

Gli hardware wallet proteggono le chiavi private mantenendole isolate dai normali ambienti connessi a internet. Tuttavia, un hardware compromesso può minare quelle protezioni se componenti dannosi interferiscono con le operazioni del dispositivo o con i controlli di sicurezza.

La disputa ha rinnovato l'attenzione sull'importanza di acquistare gli hardware wallet direttamente dai produttori o dai rivenditori autorizzati, nonché sul ruolo della rendicontazione trasparente degli incidenti quando attacchi sofisticati minacciano dispositivi progettati per proteggere asset digitali.