Mt. Gox取引所の元CEOマーク・カルペレス（Mark Karpelès）氏は、ハードウェアウォレットメーカーのLedgerを公に批判し、同社の販売代理店を通じて販売されたデバイス内にスパイ用ハードウェアが隠されていたことについて、早期の警告に適切に対応しなかったと述べました。カルペレス氏は、かつて世界最大のBitcoin取引所だったMt. Goxを、2014年の破綻まで率いていました。

批判の中心は、Ledgerの販売代理店であるCryptoBillisに関連するサプライチェーン攻撃です。この代理店からデバイスを購入したユーザーは9,000万ドルを超える損失を被りました。カルペレス氏は、Ledgerが問題を公に取り上げる何か月も前にインプラントに関する報告を受けていたと主張しています。リスクは製品そのものに組み込まれています。ハードウェアウォレットは、ユーザーのシードフレーズ（ウォレットへの完全な管理権を与えるリカバリーフレーズ）をオフラインに保ち、インターネット接続デバイスの手の届かない場所に置くために設計されており、製造から納品までの間の製品を標的とするサプライチェーン攻撃は、まさにその保護を突くものです。

2025年12月に遡る早期警告と主張

カルペレス氏によると、Ledgerは早くも2025年12月にハードウェアインプラントに関する報告を受けていました。同社の唯一の公の対応2026年3月に公開された侵害に関するブログ記事だったといい、当時より明確なコミュニケーションがあればその後の損失は防げたはずだと同氏は考えています。また、Ledgerの3月の記事自体が、ハードウェアハッカーのジョー・グランド（Joe Grand）氏が確認した即席のLTEアンテナを備えた手作り風のインプラントと、高予算で大量生産されたデバイスの両方を示していたと指摘しました。

「この件について当時より良いコミュニケーションがあれば、9,000万ドル以上の損失を防げたことは分かっています」とカルペレス氏はXに書きました。

2026年10月17日の投稿で、カルペレス氏は、自身のMt. Goxでの過去が警告の信頼性を損なうべきだという見方を退けました。

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Source post on X

さらに同氏は、「大量生産された高度なインプラント」に対して同社がなぜ警戒しなかったのか理解できないと述べました。カルペレス氏は自身のMt. Goxでの失敗も認めており、「私の失敗から学んでより良い対応をしてくれると信じていた」からこそ、Ledgerにより高い水準を求めたのだと語りました。

Ledgerが主張に反論

Ledgerのパスカル・ゴーティエ（Pascal Gauthier）CEOはこの批判を退け、カルペレス氏の発言を「道徳的アピール（ヴァーチュー・シグナリング）」と評し、同氏のMt. Goxでの過去に言及しました。両者のやり取りは個人的なものとなり、攻撃と盗まれた資金を回避できたかどうかという中心的な問いからそれていきました。

カルペレス氏はまた、Ledgerが事件を過小評価していると非難しました。同氏によれば、同社は他の地域でも同様のインプラントが報告されていたにもかかわらず、CryptoBillisに限定されたものとして扱っていたといいます。Ledgerはヨーロッパのデバイスが影響を受けたという報告に異議を唱えており、これはイツで報告された事例を分析した上での結論です。カルペレス氏はこれに同意せず、攻撃はさらに広がっていたと述べ、複数のユーザーのデバイスに改ざんの痕跡がないか確認する手助けをしたと語りました。

「エンドユーザーはそんなことを知りませんし、自分のデバイスが改ざんされているかどうか心配しなければならないべきではありません」と同氏は書き、Ledgerにより明確な情報の共有を求めました。

暗号コミュニティの多くのメンバーはカルペレス氏を支持し、攻撃とその範囲についてよりオープンにするよう同社に圧力をかけました。

確認されたインプラントと業界全体の対応

10月上旬、LedgerはCryptoBillisが販売したデバイスに不正なインプラントが含まれていたことを確認しました。このインプラントはユーザーのシードフレーズを読み取り、プライベートサーバーに送信していました。シードフレーズ単独で互換性のある任意のデバイス上でウォレットを復元できるため、一つでも取得されればその保護対象の資金が直接露出することになります。LedgerはCryptoBillisおよび東南アジア地域全体での販売を停止し、攻撃による損失はその後1億ドルを超えました。

TrezorやOneKeyを含む他のウォレットメーカーは、第三者販売代理店の排除と流通チェックの強化で対応しました。これはインプラントが持ち込まれたのと同じ代理店チャネルを狙った措置です。

10月18日時点で、Ledgerは侵害が東南アジアに限定されているとの立場を維持しています。一方、カルペレス氏らは攻撃が他の地域にも広がっていると主張し続けており、事件の実際の範囲をめぐる論争は未解決のままです。この一件は、業界がまだ答えを出せていない問いを購入者に残しました。製造元から自分の手に渡るまでの流通経路で、デバイスが改ざんされていないことをどう確認するのか、という問いです。

出典：Blockonomi