CEO Ledger Pascal Gauthier i Mark Karpelès, były dyrektor generalny upadłej giełdy Mt. Gox, wymieniali się publicznymi krytycznymi uwagami na X 17 października. Spór dotyczy tego, jak wyraźnie producent portfeli sprzętowych ostrzegał klientów przed naruszonymi urządzeniami powiązanymi z szacowanymi na 90 milionów dolarów kradzieżami kryptowalut, i rozegrał się w kontekście trwających skutków naruszonych urządzeń Ledger rozprowadzanych przez zewnętrznego resellera w Azji Poudniowo-Wschodniej.

Karpelès zakwestionował, czy Ledger odpowiednio ostrzegł kupujących o szpiegowskich implantach znalezionych w zmodyfikowanych portfelach. Gauthier bronił dorobku firmy w zakresie bezpieczeństwa i wzywał krytyków do oddzielania udowodnionych faktów od domysłów. Portfele sprzętowe mają przechowywać klucze prywatne użytkownika offline, co czyni integralność łańcucha dostaw kluczową. Incydent ilustruje szczególne ryzyko manipulacji na etapie odsprzedaży: kupujący otrzymuje oryginalne urządzenie, ale takie, które zostało zmodyfikowane po opuszczeniu fabryki.

Correction: I said @Ledger didn't talk about the implant situation at all despite knowing about it – they did publish an academy topic in March 2026 that talks about it and recommends buying direct or from Authorized Resellers. pic.twitter.com/UNrxyLnsmd

— Mark Karpelès (@MagicalTux) October 17, 2026

Karpelès argumentował, że mocniejsze ostrzeżenie mogłoby uchronić użytkowników przed stratami przekraczającymi 90 milionów dolarów. Dodał również, że Ledger otrzymywał zgłoszenia dotyczące szpiegowskich implantów sprzętowych już w grudniu 2025 roku.

Gauthier odpowiedział osobistą uwagą nawiązującą do przeszłości Karpelèsa. „Coming from Mt Gox CEO… Come on man. You are no white knight. Get real” („To mówione przez CEO Mt Gox… Daj spokój. Nie jesteś rycerzem na białym koniu. Otrzeźwiej”), napisał.

Mt. Gox, niegdyś największa giełda Bitcoin na świecie, upadła w 2014 roku po poważnych stratach Bitcoina. Karpelès powiedział, że właśnie z tego doświadczenia wynika jego oczekiwanie silniejszej komunikacji dotyczącej bezpieczeństwa od firm przechowujących aktywa klientów.

Co Ledger opublikował i kiedy

Karpelès wskazał na poradnik bezpieczeństwa Ledger zatytułowany "Best Practices To Securely Buy Your Ledger Signer". Strona Ledger podaje 6 marca 2026 roku jako datę pierwszej publikacji poradnika. Zaleca on zakup urządzeń bezpośrednio od Ledger lub za pośrednictwem autoryzowanych resellerów.

Poradnik obejje podróbki urządzeń, portfele wysyłane z z góry ustawionymi frazami odzyskiwania oraz oryginalne urządzenia zmodyfikowane po opuszczeniu fabryki. Zawiera fotografie zmodyfikowanych płytek drukowanych. Strona była ostatnio aktualizowana 18 września. Bez zachowanej kopii wersji z marca nie wiadomo, kiedy dodano każde zdjęcie lub ostrzeżenie.

Ledger nie podał, kiedy po raz pierwszy dowiedział się o dotkniętych urządzeniach od CryptoBilis. Ten nieujawniony harmonogram jest kluczowy dla sporu. Publiczna wymiana zdań między dwoma menedżerami nie dowodzi, że firma celowo ukrywała informacje.

Jak działał atak

Śledczy odkryli dodatkową elektronikę ukrytą wewnątrz oryginalnego urządzenia Ledger sprzedawanego przez CryptoBilis, resellera w Azji Południowo-Wschodniej. Zaimplantowany sprzęt mógł przechwycić 24-wyrazową frazę odzyskiwania podczas konfiguracji portfela, a następnie przesłać ją przez połączenie komórkowe. Fraza odzyskiwania pełni rolę głównej kopii zapasowej portfela sprzętowego, więc każdy, kto posiada pełną frazę, może uzyskać dostęp do powiązanych środków bez dotykania urządzenia.

Ledger twierdzi, że jego Genuine Check, funkcja weryfikacyjna, którą kupujący mogą uruchomić przed użyciem urządzenia, potwierdza jedynie autentyczność układu Secure Element. Nie wykrywa on dodanych komponentów, jeśli oryginalny układ pozostaje na swoim miejscu. Firma oświadczyła, że Secure Element, system operacyjny i proces podpisywania nie zostały naruszone. 9 października poprosiła CryptoBilis o wstrzymanie sprzedaży i wysyłek.

Galaxy Research oszacował 16 października podejrzewane straty na około 91 milionów dolarów. Ledger nie potwierdził ostatecznej kwoty, a osobny raport mówił o stratach powyżej 100 milionów dolarów.

Ledger doradził klientom, którzy kupili od resellera w ciągu ostatnich 90 dni, aby nie konfigurowali nieużywanych portfeli. Tym, którzy już to zrobili, zalecono przeniesienie środków do nowego portfela na zaufanym urządzeniu.

Karpelès twierdzi, że podobne implanty pojawiły się w innych regionach i że pomagał użytkownikom sprawdzać ich urządzenia. Ledger zakwestionował doniesienia o ekspozycji w Europie po zbadaniu przypadku w Niemczech. Trezor i OneKey usunęli zewnętrznych resellerów i zaostrzyli kontrole dystrybucji. Działania te celują w tę samą słabość, którąjawnił atak: gdy oryginalny układ urządzenia zostanie zweryfikowany jako autentyczny, standardowe kontrole nie wykryją sprzętu dodanego wokół niego, co przenosi ciężar gwarancji na sam kanał sprzedaży. Ledger utrzymuje, że naruszenie ogranicza się do Azji Południowo-Wschodniej, podczas gdy inni twierdzą, że sięgnęło dalej. Potwierdzona łączna kwota strat i pełny zasięg geograficzny manipulacji pozostają nieustalone.