Mark Karpelès, de voormalig CEO van de Mt. Gox-beurs, heeft de fabrikant van hardware wallets Ledger publiekelijk bekritiseerd en stelt dat het bedrijf niet goed reageerde op vroege waarschuwingen dat spionagesoftware in hardware was verborgen in apparaten die via een van zijn resellers waren verkocht. Karpelès leidde Mt. Gox, ooit de grootste Bitcoin-beurs ter wereld, tot de ondergang in 2014.

De kritiek richt zich op een supply chain-aanval die in verband wordt gebracht met CryptoBillis, een reseller van Ledger, via wie gebruikers die apparaten kochten meer dan $90 miljoen verloren. Karpelès betogt dat Ledger maanden voordat het het probleem publiekelijk adresseerde meldingen van de implants ontving. De inzet zit in het product zelf verankerd: hardware wallets zijn ontworpen om de seed phrase van een gebruiker — de herstelzin die volledige controle over een wallet geeft — offline en buiten het bereik van apparaten met internetverbinding te houden, en een supply chain-aanval, die producten richt in de periode tussen fabricage en levering, raakt precies die bescherming.

Vroege waarschuwingen zouden teruggaan tot december 2025

Volgens Karpelès ontving Ledger al in december 2025 meldingen van hardware-implants. Het enige publieke antwoord van het bedrijf was volgens hem een blogpost over het lek die in maart 2026 werd gepubliceerd, en hij is van mening dat duidelijkere communicatie destijds de daaropvolgende verliezen had kunnen voorkomen. Hij wees erop dat het artikel van Ledger uit maart zelf zowel een handgemaakte implant met een geïmproviseerde LTE-antenne liet zien, waargenomen door hardware-hacker Joe Grand, als apparaten van hoge kwaliteit die massaal geproduceerd waren.

"Ik weet zeker dat betere communicatie hier destijds verliezen van meer dan 90 miljoen USD had kunnen voorkomen", schreef Karpelès op X.

In een bericht van 17 oktober 2026 verwierp Karpelès de suggestie dat zijn eigen staat van dienst bij Mt. Gox zijn waarschuwingen ongeldig zou maken:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Bronbericht op X

Hij voegde eraan toe dat hij niet kon begrijpen hoe het bedrijf niet gealarmeerd was door "massaal geproduceerde geavanceerde implants." Karpelès gaf ook zijn eigen falen bij Mt. Gox toe en zei dat hij een hogere standaard aan Ledger hanteerde omdat hij "vertrouwde dat jullie beter zouden doen door te leren van mijn mislukking."

Ledger wijst de beschuldigingen van de hand

Ledger-CEO Pascal Gauthier verwierp de kritiek, noemde de opmerkingen van Karpelès 'virtue signalling' en verwees naar zijn verleden bij Mt. Gox. De uitwisseling tussen de twee werd persoonlijk en schoven de centrale vraag — of de aanval en de gestolen gelden hadden kunnen worden voorkomen — naar de achtergrond.

Karpelès beschuldigde Ledger er ook van het incident te bagatelliseren en zei dat het bedrijf het behandelde als beperkt tot CryptoBillis, terwijl vergelijkbare implants in andere regio's waren gemeld. Ledger heeft berichten dat apparaten in Europa zijn getroffen betwist, een conclusie waartoe het bedrijf kwam na analyse van een gemeld geval in Duitsland. Karpelès was het daar niet mee eens, zei dat de aanval zich verder had verspreid en verklaarde dat hij verschillende gebruikers had geholpen hun apparaten teeren op sporen van manipulatie.

"Een eindgebruiker weet dat niet, en hoeft zich geen zorgen te hoeven maken over of zijn apparaat al dan niet is aangepast", schreef hij, terwijl hij Ledger opriep duidelijkere informatie te delen.

Veel leden van de cryptogemeenschap schaarden zich achter Karpelès en drongen er bij het bedrijf op aan openhartiger te zijn over de aanval en de omvang ervan.

Bevestigde implants en een branchebrede reactie

Begin oktober bevestigde Ledger dat apparaten die via CryptoBillis waren verkocht ongeautoriseerde implants bevatten. De implants lazen de seed phrases van gebruikers uit en stuurden deze naar een private server. Omdat een seed phrase op zichzelf een wallet op elk compatibel apparaat kan herstellen, legt het onderscheppen ervan de beschermde gelden direct bloot. Ledger staakte de verkoop via CryptoBillis en de bredere regio Zuidoost-Azië, en de verliezen door de aanval liepen later op tot meer dan $100 miljoen.

Andere fabrikanten van wallets, waaronder Trezor en OneKey, reageerden door derde-resellers te schrappen en de controles op de distributie van hun apparaten aan te scherpen, gericht op precies het resellerkanaal waarmee de implants waren aangebracht.

Per 18 oktober houdt Ledger vol dat het lek beperkt is tot Zuidoost-Azië. Karpelès en anderen blijven beweren dat de aanval zich naar andere regio's heeft verspreid, en het geschil over de werkelijke omvang van het incident is nog niet opgelost. Het voorval laat kopers achter met een open vraag die de sector nog niet heeft beantwoord: hoe te bevestigen dat een apparaat niet is aangepast in de keten tussen fabrikant en gebruiker.

Bron: Blockonomi