Mt. Gox 元CEOのMark Karpelès氏は、高度なインプラント（不正チップ）を伴うハードウェアウォレットのサプライチェーン攻撃に関するLedgerの対応を批判し、同社は2026年3月に高度なインプラント設計を文書化した後、より強い公的警告を発すべきだったと主張した。この種のサプライチェーン攻撃は、デバイスが購入者に届く前に改ざんされるものであり、だからこそ購入経路に関するガイダンスはハードウェアウォレットのセキュリティにおいて特に重要な意味を持つ。

Karpelès氏は、より明確な情報伝達があれば9,000万ドル超の損失を防げた可能性があったと述べている。これらの数字や評価はKarpelès氏の公的発言を反映したものであり、提供された情報からは、主張されている情報伝達の失敗に起因する損失額は独立には確定していない。

LedgerのPascal Gauthier CEOは、Karpelès氏のMt. Gox時代の経歴に言及して応じた。このやり取りは、ハードウェアウォレット提供企業が新たなセキュリティ脅威を顧客にどう伝えるべきかという疑問を投げかけた。

Ledgerの3月の情報公開

Karpelès氏は、Ledgerが2026年3月にLedger Academyを通じてインプラントの脅威に関する教育記事を公開していたことは認めている。同記事は、デバイスをLedger本体または正規販売店から直接購入することを推奨していたと伝えられている。

しかしKarpelès氏は、この深刻度の脅威に対して一篇の教育記事では不十分だったと主張した。彼の見解では、大量生産された自己位置合わせ型インプラントの証拠は、緊急のセキュリティ対応を促すべきものだったという。

Karpelès氏は2026年初頭に寄せられた複数のインプラント報告に言及し、セキュリティ研究者Joe Grand氏が文書化したハードウェアインプラントの設計—改良したLTEアンテナを搭載した手作りデバイスを含む—をも挙げた。Karpelès氏によれば、Ledgerの3月の記事には、Grand氏が記述した手作りスタイルのインプラントと、より高度な大量生産型の設計の両方が示されていたという。

Karpelès氏は、これらのデバイスはLedger製品への攻撃が深刻に企てられていたことを示すものだと述べ、即座かつ適切な対応を必要と潜在的な「五警報レベルの火災」に相当する状況だと表現した。また、当時より良い情報伝達があれば9,000万ドル超の損失を防げた可能性があると見積もった。

2026年10月17日付のXへの投稿で、Karpelès氏は次のように書いた。

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Ledgerの対応をめぐる論争

論争は、Gauthier氏がKarpelès氏のMt. Gox CEOとしての経歴に言及したことで激化した。かつて世界最大のビットコイン取引所であったMt. Goxは、ハッカーにより数十万BTCを失い2014年に破綻した。Karpelès氏はこの批判を退け、取引所の過去はLedgerの責任とは無関係だと主張した。同氏は、LedgerがMt. Goxの失敗から学び、より強固なセキュリティと情報公開の水準を維持することを期待していたと述べた。

Karpelès氏はまた、同社がこの事件を「CryptoBilis事件」と呼び続けていることにも疑問を呈した。同様のインプラントが他の場所でも確認されたと伝えられていると指摘しつつ、Ledgerにその用語を使う理由がある可能性は認めつつも、顧客が自らデバイスが改ざんされたかどうかを判断しなければならないべきではないと主張した。

同氏は、LedgerのXアカウントの関与が強まったことなど一部の改善も認めたが、ユーザーは同社からの回答を得るのが困難だという報告を続けていると述べた。

この論争は、ハードウェアウォレットのセキュリティにおける重要な区別を浮き彫りにしている。技術ガイダンスの公開は、必ずしも緊急の顧客警告の発行と同等ではない。ユーザーには、潜在的な脅威、推奨される購入経路、影響を評価する手順についての明確な情報が必要である。教育コンテンツの公開を超えて、提供企業がこうした発見をどう顧客へエスカレーションするかが、この論争の中心課題であり続けている。

ハードウェアウォレットは、秘密鍵を通常のインターネット接続環境から隔離することで保護する。しかし、ハードウェアが侵害されていれば、悪意ある部品がデバイスの動作やセキュリティチェックに干渉することで、その保護が損なわれる可能性がある。

この論争により、ハードウェアウォレットをメーカーまたは正規販売店から直接購入することの重要性、そしてデジタル資産を守るために設計されたデバイスを高度な攻撃が脅かす際の透明なインシデント報告の役割が、改めて注目されている。