Il CEO di Ledger Pascal Gauthier e Mark Karpelès, l'ex amministratore delegato del fallito exchange Mt. Gox, si sono scambiati critiche in pubblico su X il 17 ottobre. La controversia ruota attorno a quanto chiaramente il produttore di wallet hardware abbia avvisato i clienti circa i dispositivi manomessi collegati a furti di criptovalute stimati in 90 milioni di dollari, e si è sviluppata mentre continuano le ripercussioni dei dispositivi Ledger compromessi distribuiti tramite un rivenditore terzo nel Sud-est asiatico.

Karpelès ha chiesto se Ledger avesse adeguatamente avvisato gli acquirenti riguardo agli impianti spia trovati nei wallet modificati. Gauthier ha difeso il percorso di sicurezza dell'azienda e ha esortato i critici a separare i fatti provati dalle congetture. I wallet hardware sono progettati per mantenere le chiavi private dell'utente offline, il che rende l'integrità della supply chain fondamentale. L'episodio illustra il rischio specifico della manomissione nella fase di rivendita: l'acquirente riceve un dispositivo originale, ma alterato dopo aver lasciato la fabbrica.

Correction: I said @Ledger didn't talk about the implant situation at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès ha sostenuto che un avviso più forte avrebbe potuto far risparmiare agli utenti perd per oltre 90 milioni di dollari. Ha inoltre dichiarato che Ledger aveva ricevuto segnalazioni di impianti hardware spia già a dicembre 2025.

Gauthier ha risposto con una battuta personale che richiamava il passato di Karpelès. "Coming from Mt Gox CEO… Come on man. You are no white knight. Get real," ha scritto.

Mt. Gox, un tempo il più grande exchange di Bitcoin al mondo, è crollato nel 2014 dopo pesanti perdite di Bitcoin. Karpelès ha detto che quell'esperienza è esattamente il motivo per cui si aspetta una comunicazione di sicurezza più solida da parte delle aziende che custodiscono asset dei clienti.

Cosa ha pubblicato Ledger e quando

Karpelès ha indicato una guida alla sicurezza di Ledger intitolata "Best Practices To Securely Buy Your Ledger Signer." Il sito di Ledger indica il 6 marzo 2026 come data di prima pubblicazione della guida. La guida raccomanda di acquistare i dispositivi direttamente da Ledger o tramite rivenditori autorizzati.

La guida tratta dispositivi contraffatti, wallet spediti con frasi di recupero preimpostate e dispositivi originali alterati dopo aver lasciato la fabbrica. Include fotografie di circuiti stampati modificati. La pagina è stata aggiornata l'ultima volta il 18 settembre. Senza una copia salvata della versione di marzo, non è chiaro quando ogni foto o avviso sia stato aggiunto.

Ledger non ha detto quando ha appreso per la prima volta dei dispositivi CryptoBilis coinvolti. Questa cronologia non divulgata è al centro della controversia. Lo scambio pubblico tra i due dirigenti non dimostra che l'azienda abbia nascosto informazioni deliberatamente.

Come ha funzionato l'attacco

Gli investigatori hanno scoperto componenti elettronici aggiuntivi nascosti all'interno di un dispositivo Ledger originale venduto tramite CryptoBilis, un rivenditore nel Sud-est asiatico. L'hardware impiantato poteva acquisire una frase di recupero di 24 parole durante la configurazione del wallet e poi trasmettere le parole tramite una connessione cellulare. La frase di recupero funge da backup principale per un wallet hardware, quindi chiunque ne possieda l'intera sequenza può accedere ai fondi collegati senza mai toccare il dispositivo.

Ledger afferma che il suo Genuine Check, una funzione di verifica che gli acquirenti possono eseguire prima di usare un dispositivo, conferma solo che il chip Secure Element è autentico. Non è in grado di individuare componenti aggiunti se il chip originale resta al suo posto. L'azienda ha dichiarato che il Secure Element, il sistema operativo e il processo di firma non sono stati compromessi. Il 9 ottobre ha chiesto a CryptoBilis di interrompere vendite e spedizioni.

Galaxy Research ha stimato circa 91 milioni di dollari di perdite sospette il 16 ottobre. Ledger non ha confermato un totale definitivo, e una segnalazione separata ha indicato perdite superiori a 100 milioni di dollari.

Ledger haato ai clienti che hanno acquistato dal rivenditore negli ultimi 90 giorni di non configurare i wallet inutilizzati. A chi lo aveva già fatto è stato detto di spostare i fondi su un nuovo wallet tramite un dispositivo affidabile.

Karpelès afferma che impianti simili sono emersi in altre regioni e di aver aiutato gli utenti a ispezionare i propri dispositivi. Ledger ha contestato le segnalazioni di esposizione in Europa dopo aver esaminato un caso in Germania. Trezor e OneKey hanno rimosso i rivenditori terzi e inasprito i controlli sulla distribuzione. Le misure mirano alla stessa debolezza esposta dall'attacco: una volta verificata l'autenticità del chip originale di un dispositivo, i controlli standard non possono rilevare l'hardware aggiunto attorno ad esso, il che sposta il peso della garanzia sul canale di vendita stesso. Ledger sostiene che il compromissimento sia limitato al Sud-est asiatico, mentre altri sostengono che abbia raggiunto un ambito più ampio. Un totale confermato delle perdite e la reale estensione geografica della manomissione restano da accertare.