Były dyrektor generalny Mt. Gox, Mark Karpelès, skrytykował reakcję Ledgera na atak na łańcuch dostaw portfeli sprzętowych z użyciem zaawansowanych implantów, twierdząc, że firma powinna była wydać mocniejsze publiczne ostrzeżenie po udokumentowaniu zaawansowanych projektów implantów w marcu 2026 roku. Ataki na łańcuch dostaw tego rodzaju polegają na manipulacji urządzeniami przed ich dotarciem do kupujących, dlatego wskazówki dotyczące kanałów zakupu mają szczególne znaczenie dla bezpieczeństwa portfeli sprzętowych.

Według Karpelèsa jaśniejsza komunikacja mogła zapobiec stratom przekraczającym 90 milionów dolarów. Te liczby i oceny odzwierciedlają publiczne wypowiedzi Karpelèsa; dostarczone informacje nie pozwalają niezależnie ustalić kwoty strat przypisywanych rzekomym zaniedbaniom w komunikacji.

Dyrektor generalny Ledgera Pascal Gauthier odpowiedział, przywołując historię Karpelèsa na czele Mt. Gox. Ta wymiana zdań wzbudziła pytania o to, jak dostawcy portfeli sprzętowych komunikują klientom pojawiające się zagrożenia bezpieczeństwa.

Marcowe ujawnienie Ledgera

Karpelès przyznał, że Ledger opublikował w marcu 2026 roku artykuł edukacyjny o zagrożeniu implantami za pośrednictwem Ledger Academy. Artykuł miał zalecać zakup urządzeń bezpośrednio u Ledgera lub u jego autoryzowanych resellerów.

Karpelès argumentował jednak, że pojedynczy artykuł edukacyjny był niewystarczający w obliczu zagrożenia o tej skali. Jego zdaniem dowody na masowo produkowane, samonastawiające się implanty powinny były skłonić firmę do pilnej reakcji w zakresie bezpieczeństwa.

Wskazał na liczne zgłoszenia implantów otrzymane na początku 2026 roku oraz odniósł się do projektów implantów sprzętowych udokumentowanych przez badacza bezpieczeństwa Joe Granda, w tym ręcznie wykonanegozenia wyposażonego w improwizowaną antenę LTE. Według Karpelèsa marcowy artykuł Ledgera pokazywał zarówno ręcznie wykonywany styl implantów opisany przez Granda, jak i bardziej zaawansowane projekty masowej produkcji.

Karpelès stwierdził, że te urządzenia wskazywały na poważne działania zmierzające do skompromitowania produktów Ledgera, i opisał sytuację jako potencjalny "pożar piątego stopnia" wymagający natychmiastowych i odpowiednich działań. Oszacował również, że lepsza komunikacja w tamtym czasie mogła zapobiec stratom przekraczającym 90 milionów dolarów.

We wpisie na X z dnia 17 października 2026 roku Karpelès napisał:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Spór o reakcję Ledgera

Spór nasilił się, gdy Gauthier przywołał historię Karpelèsa jako dyrektora generalnego Mt. Gox. Mt. Gox, niegdyś największa giełda bitcoinów na świecie, zawiodła w 2014 roku po utracie setek tysięcy bitcoinów z rąk hakerów. Karpelès odrzucił tę krytykę, argumentując, że przeszłość giełdy nie ma związku z odpowiedzialnością Ledgera. Powiedział, że oczekiwał, iż Ledger wyciągnie wnioski z porażek Mt. Gox i utrzyma wyższe standardy bezpieczeństwa i ujawniania informacji.

Karpelès zakwestionował również trwałe określanie incydentu przez Ledgera mianem incydentu CryptoBilis. Zauważył, że podobne implanty według doniesień pojawiły się w innych miejscach. Choć przyznał, że Ledger mógł mieć powody dla swojej terminologii, argumentował, że klienci nie powinni musieć samodzielnie ustalać, czy ich urządzenia zostały zmodyfikowane.

Dostrzegł pewne ulepszenia, w tym większą aktywność konta Ledgera na X, ale powiedział, że użytkownicy nadal zgłaszają trudności w uzyskaniu odpowiedzi od firmy.

Kontrowersja uwypukla istotną różnicę w zakresie bezpieczeństwa portfeli sprzętowych: publikacja wskazówek technicznych niekoniecznie równa się wydaniu pilnego ostrzeżenia dla klientów. Użytkownicy potrzebują jasnych informacji o potencjalnych zagrożeniach, zalecanych kanałach zakupu oraz krokach pozwalających ocenić ich ekspozycję. Sposób, w jaki dostawcy przekazują takie ustalenia klientom w wykraczający poza publikację treści edukacyjnych sposób, pozostaje kluczowym pytaniem w tym sporze.

Portfele sprzętowe chronią klucze prywatne, izolując je od zwykłych środowisk połączonych z internetem. Naruszony sprzęt może jednak osłabić te zabezpieczenia, jeśli złośliwe komponenty zakłócają działanie urządzenia lub kontrole bezpieczeństwa.

Spór odnowił uwagę na znaczenie zakupu portfeli sprzętowych bezpośrednio u producentów lub autoryzowanych resellerów, a także na rolę przejrzystego raportowania incydentów, gdy wyrafinowane ataki zagrażają urządzeniom zaprojektowanym do ochrony aktywów cyfrowych.