Ledger stoi przed pytaniami o to, jak obsłużył zgłoszenia dotyczące zmanipulowanych portfeli sprzętowych, po tym jak były CEO Mt. Gox Mark Karpelès oświadczył, że francuska firma została ostrzeżona o naruszonych urządzeniach na miesiące przed tym, zanim obecny kryzys bezpieczeństwa wyszedł na jaw. Według firmy analitycznej Santiment ukradziono rzekomo około 90 milionów dolarów z zmanipulowanych portfeli Ledger sprzedawanych przez CryptoBilis, resellera autoryzowanego w Azji Południowo-Wschodniej, choć Ledger nie zweryfikował tej kwoty. Ukryte implanty LTE w urządzeniach kopiowały 24-wyrazowe frazy odzyskiwania użytkowników podczas konfiguracji i przesyłały je przez eSIM.

Former Mt. Gox CEO: Ledger Received Hardware Wallet Tampering Reports Since December 2025 but Issued No Public Warning

Former Mt. Gox CEO Mark Karpelès said Ledger had received reports of hardware wallets tampered with and fitted with malicious components since at least December… pic.twitter.com/Vmv4zXChEk

— Wu Blockchain (@WuBlockchain) October 16, 2026

Karpelès powiedział Cointelegraphowi, że wie o co najmniej dwóch osobach, które kontaktowały się z Ledgerem w sprawie zmanipulowanych urządzeń od grudnia 2025 roku, i że nie widział żadnego publicznego ostrzeżenia ze strony firmy w odpowiedzi.

Badacz bezpieczeństwa Joe Grand twierdzi, że poinformował Ledger 4 marca 2026 roku o złośliwym implie w urządzeniu Nano X, które kupił przez Lazada Thailand w sierpniu 2025 roku. Ledger oświadczył, że prowadzi dochodzenie, ale Grand skrytykował firmę za niewydanie ostrzeżenia dla klientów. Ledger odmówił komentarza na temat sposobu obsługi zgłoszenia Granda i odesłał Cointelegraph do swoich publicznych oświadczeń na X.

Jak implant kradł frazy odzyskiwania

Kryzys wyszedł na jaw 9 października, gdy zgłoszono straty w kryptowalutach dotyczące portfeli sprzedawanych przez CryptoBilis. 13 października zespół bezpieczeństwa Donjon firmy Ledger potwierdził, że urządzenia zawierały ukryte implanty LTE.

Fraza odzyskiwania to lista 24 słów, która pozwala przywrócić portfel na dowolnym urządzeniu. Według Ledgera implant znajduje się w oddzielnej części obudowy i odczytuje słowa z ekranu podczas konfiguracji. Następnie przesyła frazę przez sieć 4G za pomocą wbudowanego eSIM. Firma twierdzi, że atak nie narusza układu Secure Element ani nie zmienia żadnych transakcji. Zamiast tego złodzieje mogą przywrócić portfel na własnym urządzeniu i przenieść środki — co oznacza, że sama fraza wystarcza do przejęcia portfela, bez dostępu do oryginalnego urządzenia.

Firma bezpieczeństwa Tibane Labs odkryła trzy wersje implantu. Trzecią wersję kupiła na japońskim rynku internetowym, a przesyłka pochodziła z Malezji. Biorąc to pod uwagę, znane urządzenia z implantami pojawiły się kilkoma różnymi kanałami — Lazada Thailand, japoński serwis marketplace oraz zapasy detaliczne CryptoBilis — co pozostawia otwarte pytanie, gdzie w łańcuchu dostaw doszło do manipulacji.

Straty i konsekwencje dla resellerów

Santiment szacuje, że skradziono około 90 milionów dolarów, natomiast badacz blockchaina Specter ocenia straty na ponad 86 milionów dolarów w Bitcoinie, Ethereum i Tron. Ledger twierdzi, że dane pochodzą od podmiotów trzecich i nie zostały przez niego w pełni zweryfikowane.

Firma twierdzi, że każdy potwierdzony przypadek łączy się z CryptoBilis. Reseller wstrzymał sprzedaż portfeli sprzętowych do zakończenia dochodzenia, a Ledger poprosił także resellerów w Azji Południowo-Wschodniej i Hongkongu o zaprzestanie sprzedaży.

Trezor oświadczył, że nie znalazł zmanipulowanych urządzeń od CryptoBilis, ale mimo to zerwał współpracę z resellerem. OneKey cofnął autoryzację CryptoBilis, nieodpłatnie wymieni urządzenia kupione między 1 marca a 13 października i usunął oferty resellera do czasu wprowadzenia surowszych kontroli.

Grand powiadomił także Trezor w sierpniu 2026 roku o zmanipulowanych portfelach Trezor One i Model T od nieautoryzowanych sprzedawców na TikToku i Facebooku. Trezor oświadczył, że traktuje takie zgłoszenia jako wczesne ostrzeżenia.

Niektóre twierdzenia pozostają niezweryfikowane. Karpelès powiedział, że Ledger Flex kupiony na lotnisku wapurze może zawierać implant. W Niemczech MediaMarkt Saturn wstrzymał sprzedaż urządzeń Ledger po zgłoszeniu od klienta, ale nie doszło do utraty środków.

Co powinni zrobić właściciele urządzeń Ledger

Funkcja Genuine Check firmy Ledger nie wykryje zmian fizycznych, jeśli układ Secure Element jest nienaruszony, co oznacza, że pozytywny wynik nie wyklucza obecności implantu. Ledger zaleca użytkownikom, którzy skonfigurowali urządzenie od CryptoBilis w ciągu ostatnich 90 dni, przeniesienie środków na nowe urządzenie z nową frazą odzyskiwania.

Inspekcja detalicznych zapasów firmy w Europie nie wykazała śladów manipulacji. Ledger nie podał, ilu użytkowników zostało dotkniętych ani w jaki sposób urządzenia trafiły do zapasów CryptoBilis. Te otwarte pytania, a także wyniki dochodzenia, które skłoniło CryptoBilis do wstrzymania sprzedaży, będą kluczowymi wydarzeniami w miarę rozwoju sytuacji.

W tygodniu kończącym się 16 października Bitcoin spadł o 0,4%, a Ethereum o 1,8%.

Ten artykuł opiera się na materiałach CoinCentral.