Voormalig Mt. Gox-ceo Mark Karpelès heeft kritiek geuit op de reactie van Ledger op een supply chain-aanval op hardware wallets met geavanceerde implants. Hij stelt dat het bedrijf na het documenteren van geavanceerde implant-ontwerpen in maart 2026 een sterkere publieke waarschuwing had moeten uitgeven. Dit soort supply chain-aanvallen houdt in dat apparaten worden gemanipuleerd voordat ze de koper bereiken; daarom wegen richtlijnen over aankoopkanalen bijzonder zwaar binnen de beveiliging van hardware wallets.

Karpelès zegt dat duidelijkere communicatie meer dan 90 miljoen dollar aan verliezen had kunnen voorkomen. Deze cijfers en beoordelingen weerspiegelen de publieke uitspraken van Karpelès; de verstrekte informatie bevestigt het bedrag aan verliezen dat aan de vermeende communicatiefouten kan worden toegeschreven niet onafhankelijk.

Ledger-ceo Pascal Gauthier reageerde met een verwijzing naar de geschiedenis van Karpelès als hoofd van Mt. Gox. De discussie heeft vragen opgeroepen over hoe aanbieders van hardware wallets opkomende veiligheidsdreigingen aan klanten communiceren.

Ledgers openbaarmaking in maart

Karpelès erkende dat Ledger in maart 2026 een educatief artikel over het implant-gevaar via Ledger Academy publiceerde. Het artikel beval naar verluidt aan om apparaten rechtstreeks bij Ledger of bij geautoriseerde resellers aan te schaffen.

Karpelès betoogde echter dat één educatief artikel voldoende was voor een dreiging van deze ernst. In zijn ogen had het bewijs van massaal geproduceerde, zelf uitlijnende implants tot een dringende veiligheidsreactie moeten leiden.

Hij wees op meerdere meldingen van implants begin 2026 en verwees naar hardware-implantontwerpen die beveiligingsonderzoeker Joe Grand had gedocumenteerd, waaronder een handgemaakt apparaat met een geïmproviseerde LTE-antenne. Volgens Karpelès toonde Ledgers maartartikel zowel de handgemaakte stijl van implant die Grand beschreef als geavanceerder, massaal geproduceerde ontwerpen.

Karpelès zei dat de apparaten op een serieuze poging wezen om Ledger-producten te compromitteren, en omschreef de situatie als een mogelijk “vijf-alarmbrand” die onmiddellijke en gepaste actie vereiste. Hij schatte ook dat betere communicatie op dat moment meer dan miljoen dollar aan verliezen had kunnen voorkomen.

In een bericht op X gedateerd 17 oktober 2026 schreef Karpelès:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Meningsverschil over Ledgers reactie

Het conflict escaleerde nadat Gauthier de geschiedenis van Karpelès als Mt. Gox-ceo had aangehaald. Mt. Gox, ooit de grootste bitcoinbeurs ter wereld, stortte in 2014 in nadat honderdduizenden bitcoins aan hackers waren verloren. Karpelès wees die kritiek van de hand en betoogde dat het verleden van de beurs niets te maken had met Ledgers verantwoordelijkheden. Hij zei dat hij had verwacht dat Ledger zou leren van de fouten van Mt. Gox en sterkere standaarden voor beveiliging en openbaarmaking zou handhaven.

Karpelès bekritiseerde ook dat Ledger het incident aanhoudend het CryptoBilis-incident noemt. Hij merkte op dat vergelijkbare implants naar verluidt op andere locaties waren opgedoken. Hoewel hij erkende dat Ledger redenen voor zijn terminologie kan hebben, betoogde hij dat klanten niet zelf hoeven uit te zoeken of hun apparaten zijn gemanipuleerd.

Hij erkende enige verbeteringen, waaronder meer inzet van het X-account van Ledger, maar ze dat gebruikers nog steeds meldden moeilijk antwoord van het bedrijf te krijgen.

De controverse belicht een onderscheid binnen de beveiliging van hardware wallets: het publiceren van technische richtlijnen komt niet per se overeen met het uitgeven van een urgente klantwaarschuwing. Gebruikers hebben duidelijke informatie nodig over mogelijke dreigingen, aanbevolen aankoopkanalen en stappen om hun risico in te schatten. Hoe aanbieders dergelijke bevindingen verder aan klanten melden dan het publiceren van educatieve content blijft een centrale vraag in het conflict.

Hardware wallets beschermen privésleutels door ze te isoleren van gewone met internet verbonden omgevingen. Gecompromitteerde hardware kan die bescherming echter ondermijnen als kwaadaardige componenten ingrijpen op de werking van het apparaat of op beveiligingscontroles.

Het conflict heeft de aandacht opnieuw gericht op het belang van het rechtstreeks kopen van hardware wallets bij fabrikanten of geautoriseerde resellers, evenals op de rol van transparante incidentrapportage wanneer geavanceerde aanvallen apparaten bedreigen die zijn ontworpen om digitale activa te beschermen.