Ledger-ceo Pascal Gauthier en Mark Karpelès, de voormalig chief executive van de failliete beurs Mt. Gox, wisselden op 17 oktober publieke kritiek uit op X. Het geschil draait om hoe duidelijk de maker van hardware wallets klanten heeft gewaarschuwd voor gemanipuleerde apparaten die verband houden met naar schatting 90 miljoen dollar aan cryptodiefstallen, en het ontvouwde zich terwijl de nasleep voortduurt van gecompromitteerde Ledger-eenheden die via een externe wederverkoper in Zuidoost-Azië zijn verspreid.

Karpelès vroeg zich af of Ledger kopers voldoende had gewaarschuwd voor spionagemodules die in gewijzigde wallets waren aangetroffen. Gauthier verdedigde de veiligheidsprestaties van het bedrijf en drong er bij critici op aan bewezen feiten van giswerk te scheiden. Hardware wallets zijn ontworpen om de privésleutels van een gebruiker offline te houden, wat de integriteit van de toeleveringsketen cruciaal maakt. De affaire illustreert het specifieke risico van manipulatie in de wederverkoopfase: een koper ontvangt een echt apparaat, maar een dat na de fabriek is gewijzigd.

Correction: I said @Ledger didn't talk about the implant at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès betoogde dat een sterkere waarschuwing gebruikers meer dan 90 miljoen dollar aan verliezen had kunnen besparen. Hij zei ook dat Ledger al in december 2025 meldingen ontving van spionagedelen in hardware.

Gauthier antwoordde met een persoonlijke uitval die verwees naar het verleden van Karpelès. "Coming from Mt Gox CEO… Come on man. You are no white knight. Get real," schreef hij.

Mt. Gox, ooit 's werelds grootste Bitcoin-beurs, stortte in 2014 in na grote Bitcoin-verliezen. Karpelès zei dat die ervaring precies de reden is waarom hij sterkere veiligheidscommunicatie verwacht van bedrijven die klantactiva beheren.

Wat Ledger publiceerde en wanneer

Karpelès verwees naar een veiligheidsgids van Ledger getiteld "Best Practices To Securely Buy Your Ledger Signer." De website van Ledger vermeldt 6 maart 2026 als eerste publicatiedatum van de gids. De gids raadt aan apparaten rechtstreeks bij Ledger of via geautoriseerde wederverkopers te kopen.

De gids behandelt vervalste apparaten, wallets die met een vooraf ingestelde herstelzin worden verzonden, en echte apparaten die na de fabriek zijn gewijzigd. Het bevat foto's van gemodificeerde printplaten. De pagina is voor het laatst bijgewerkt op 18 september. Zonder een bewaarde versie van maart is het onduidelijk wanneer elke foto of waarschuwing is toegevoegd.

Ledger heeft niet gezegd wanneer het voor het eerst op de hoogte raakte van de getroffen CryptoBilis-apparaten. Die onthulde tijdlijn staat centraal in het geschil. De publieke uitwisseling tussen de twee topmannen toont niet dat het bedrijf bewust informatie heeft achtergehouden.

Hoe de aanpak werkte

Onderzoekers ontdekten extra elektronica verborgen in een echt Ledger-apparaat dat werd verkocht via CryptoBilis, een wederverkoper in Zuidoost-Azië. De geïmplanteerde hardware kon een herstelzin van 24 woorden vastleggen terwijl de wallet werd ingesteld, en de woorden vervolgens verzenden via een mobiele verbinding. Een herstelzin fungeert als de hoofdfallback van een hardware wallet, dus iedereen die de volledige zin bezit, kan bij de gekoppelde fondsen zonder ooit het apparaat aan te raken.

Ledger zegt dat zijn Genuine Check, een verificatiefunctie die kopers vóór gebruik kunnen uitvoeren, alleen bevestigt dat de Secure Element-chip authentiek is. Het kan toegevode componenten niet opsporen als de originele chip op zijn plaats blijft. Het bedrijf zei dat de Secure Element, het besturingssysteem en het ondertekeningsproces niet zijn gecompromitteerd. Op 9 oktober vroeg het CryptoBilis de verkoop en verzending te stoppen.

Galaxy Research schatte de vermoedelijke verliezen op 16 oktober op ongeveer 91 miljoen dollar. Ledger heeft geen eindtotaal bevestigd, en een afzonderlijk rapport plaatste de verliezen boven 100 miljoen dollar.

Ledger adviseerde klanten die in de afgelopen 90 dagen bij de wederverkoper hadden gekocht geen ongebruikte wallets in te stellen. Degenen die dat al hadden gedaan, werd verteld hun fondsen te verplaatsen naar een nieuwe wallet op een vertrouwd apparaat.

Karpelès zegt dat vergelijkbare implantaten in andere regio's zijn opgedoken en dat hij gebruikers heeft geholpen hun apparaten te inspecteren. Ledger betwistte berichten over Europese blootstelling na het beoordelen van een zaak in Duitsland. Trezor en OneKey hebben externe wederverkopers verwijderd en hun distributiecontroles aangescherpt. Deze maatregelen richten zich op dezelfde zwakte die de aanval blootlegde: zodra de originele chip van een apparaat als authentiek is geverifieerd, kunnen standaardcontroles de hardware eromheen niet detecteren, waardoor de garantie op het verkoopkanaal zelf rust. Ledger volhoudt dat het compromis beperkt is tot Zuidoost-Azië, terwijl anderen zeggen dat het verder reikte. Een bevestigd verliestotaal en de volledige geografische reikwijdte van de manipulatie blijven onvastgesteld.