Mark Karpelès, l'ex CEO dell'exchange Mt. Gox, ha criticato pubblicamente il produttore di hardware wallet Ledger, affermando che l'azienda non ha risposto adeguatamente ai primi avvisi sull'inserimento di hardware spia all'interno di dispositivi venduti tramite uno dei suoi rivenditori. Karpelès ha guidato Mt. Gox, un tempo il più grande exchange di Bitcoin al mondo, fino al suo collasso nel 2014.

Le critiche si concentrano su un attacco alla supply chain collegato a CryptoBillis, un rivenditore di Ledger, attraverso il quale gli utenti che avevano acquistato dispositivi hanno perso oltre 90 milioni di dollari. Karpelès sostiene che Ledger aveva ricevuto segnalazioni sugli implant mesi prima di affrontare pubblicamente il problema. Quello che è in gioco è insito nel prodotto stesso: gli hardware wallet sono progettati per mantenere la seed phrase dell'utente — la frase di recupero che garantisce il pieno controllo sul portafoglio — offline e fuori dalla portata dei dispositivi connessi a Internet, e un attacco alla supply chain, che prende di mira i prodotti nella finestra tra produzione e consegna, colpisce esattamente quella protezione.

Primi avvisi risalenti, secondo le accuse, a dicembre 2025

Secondo Karpelès, Ledger ha ricevuto segnalazioni di implant hardware già a dicembre 2025. Ha affermato che l'unica risposta pubblica dell'azienda è stata un post sul blog riguardante un compromesso pubblicato a marzo 2026, e ritiene che una comunicazione più chiara all'epoca avrebbe potuto prevenire le perdite successive. Ha notato che l'articolo di marzo di Ledger mostrava entrambi un implant artigianale con un'antenna LTE improvvisata, osservato dall'hacker hardware Joe Grand, e dispositivi prodotti in massa con budget elevato.

"I do know a better communication on this at the time could have saved 90+ million USD in losses", ha scritto Karpelès su X.

In un post del 17 ottobre 2026, Karpelès ha respinto le suggestioni secondo cui il suo passato a Mt. Gox dovrebbe screditare i suoi avvisi:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Post originale su X

Ha aggiunto di non capire come l'azienda non si sia allarmata per gli "implant avanzati prodotti in massa". Karpelès ha anche ammesso i propri errori a Mt. Gox, dicendo che ha chiesto a Ledger uno standard più elevato perché "trusted you to do better by learning of my failure".

Ledger respinge le accuse

Il CEO di Ledger Pascal Gauthier ha respinto le critiche, definendo i commenti di Karpelès virtue e richiamando il suo passato a Mt. Gox. Lo scambio tra i due è diventato personale, allontanandosi dalla domanda centrale: se l'attacco e i fondi rubati avrebbero potuto essere evitati.

Karpelès ha anche accusato Ledger di minimizzare l'incidente, affermando che l'azienda lo ha trattato come limitato a CryptoBillis nonostante implant simili siano stati segnalati in altre regioni. Ledger ha contestato le segnalazioni secondo cui dispositivi in Europa erano stati colpiti, una conclusione raggiunta dopo l'analisi di un caso riportato in Germania. Karpelès non è d'accordo, affermando che l'attacco si è esteso ulteriormente, e ha detto di aver aiutato diversi utenti a controllare i propri dispositivi alla ricerca di segni di manomissione.

"An end user doesn't know that, and shouldn't have to worry if their device is altered or not", ha scritto, chiedendo a Ledger di condividere informazioni più chiare.

Molti membri della comunità crypto si sono schierati con Karpelès, sollecitando l'azienda a essere più trasparente sull'attacco e sulla sua portata.

Implant confermati e una risposta a livello di settore

All'inizio di ottobre, Ledger ha confermato che i dispositivi venduti da CryptoBillis contenevano implant non autorizzati. Gli implant scansionavano le seed phrase degli utenti e le inviavano a un server privato. Poiché una seed phrase da sola può ripristinare un portafoglio su qualsiasi dispositivo compatibile, la sua cattura espone direttamente i fondi che protegge. Ledger ha sospeso le vendite tramite CryptoBillis e l'intera regione del Sud-est asiatico, e le perdite dall'attacco hanno poi superato i 100 milioni di dollari.

Altri produttori di wallet, tra cui Trezor e OneKey, hanno risposto rimuovendo i rivenditori terzi e rafforzando i controlli sulla distribuzione dei loro dispositivi, puntando sullo stesso canale di rivendita attraverso il quale gli implant erano stati introdotti.

Alla data del 18 ottobre, Ledger sostiene che il compromesso sia limitato al Sud-est asiatico. Karpelès e altri continuano ad affermare che l'attacco si è diffuso in altre regioni, e la disputa sulla vera portata dell'incidente resta irrisolta. L'episodio ha lasciato agli acquirenti una domanda aperta a cui il settore non ha ancora risposto: come confermare che un dispositivo non sia stato manomesso nella catena tra produttore e mani dell'utente.

Fonte: Blockonomi