Portfel sprzętowy ma pełnić rolę sejfu dla zasobów kryptowalutowych, izolując klucze prywatne kontrolujące te środki od komputerów podłączonych do internetu. Według Marka Karpelèsa przynajmniej jedno urządzenie Ledger zakupione w Malezji dotarło do kupującego z ukrytym „pasażerem na pokładzie”.

9 października 2026 roku były CEO Mt. Gox opublikował zdjęcia urządzenia Ledger, które — jak stwierdził — zawierało ukryty fizyczny implant schowany w wyściółce za ekranem. Tego samego dnia Ledger ogłosił, że rozpoczął śledztwo w sprawie zgłaszanych strat użytkowników powiązanych z CryptoBilis, odsprzedawcą działającym w Azji Południowo-Wschodniej.

Co Karpelès twierdzi, że znalazł

Rzekomy implant był daleki od prymitywnej modyfikacji. Karpelès oświadczył, że urządzenie zawierało komponenty LTE, antenę, eSIM oraz mikrokontroler, wszystkie ukryte w obszarze poduszki buforowej za wyświetlaczem. eSIM to układ SIM wbudowany bezpośrednio w urządzenie, a nie w postaci wymiennej karty, a komponenty LTE tego typu pozwalają urządzeniu samodzielnie utrzymywać połączenie komórkowe, niezależnie od komputera właściciela czy jego sieci domowej.

Mikrokontroler był — jak podają źródła — podłączony do magistrali SPI Ledgera, czyli wewnętrznej ścieżki, którą układy wymieniają komunikaty, w tym dane przeznaczone dla ekranu. Zgodnie z ustaleniami badaczy taka konfiguracja miałaby pozwalać urządzeniu na monitorowanie aktywności wyświetlacza i przesyłanie wrażliwych informacji, takich jak frazy seed, przez sieci komórkowe.

Fraza seed pełni funkcję klucza głównego do portfela kryptowalutowego. Każdy, kto ją zdobędzie, może przenieść środki, a pierotny właściciel nie ma kanału obsługi klienta, aby je odzyskać.

Ledger wstrzymuje sprzedaż CryptoBilis

Reakcja Ledgera skupiła się na kanale sprzedaży. Firma poinformowała, że rozpoczęła śledztwo po zgłoszeniach znacznych strat wśród klientów, którzy kupili urządzenia od CryptoBilis, odsprzedawcy z siedzibą w Malezji.

Ledger nakazał CryptoBilis wstrzymanie całej sprzedaży, a klientom, którzy kupili przez ten kanał, zalecił niewykonywanie inicjalizacji urządzeń.

Ta druga instrukcja jest krytyczniejsza. Inicjalizacja to moment, w którym portfel sprzętowy generuje i wyświetla nową frazę seed. Jeśli urządzenie zostało naruszone, to właśnie wtedy tajemnica zostałaby ujawniona.

Pełna skala szkód pozostaje szacunkowa. Anonimowy analityk Specter oszacował straty na ponad 86 milionów dolarów w wielu portfelach trzymających Bitcoin, Ethereum i TRON. Dane te nie zostały niezależnie potwierdzone.

Dostępne materiały nie potwierdzają, że urządzenie sfotografowane przez Karpelèsa zostało sprzedane przez CryptoBilis. Oba ujawnienia pojawiły się tego samego dnia i wskazują na ten sam region, ale na razie pozostają odrębnymi wątkami.

Nie pierwszy przypadek w tym roku

Relacje o implantach sprzętowych w urządzeniach Ledger pojawiały się już wcześniej w 2026 roku, w tym głośne przypadki w Tajlandii. Naruszenie dokonane między produkcją urządzenia a jego dostarczeniem do kupującego to tzw. atak na łańcuch dostaw — kategoria kompromitacji, w której złośliwy sprzęt jest na miejscu, zanim właściciel w ogóle otworzy pudełko. Wydaje się, że wyłania się pewien wzorzec, który przebiega przez kanały odsprzedaży w Azji Południowo-Wschodniej.

Karpelès to znane nazwisko, które przekazuje niezwykłe ostrzeżenie. Wcześniej kierował Mt. Gox, tokijską giełdą, która upadła w 2014 roku po utracie setek tysięcy bitcoinów — miejscu jednego z najbardziej znanych upadków w historii kryptowalut.

Co to oznacza dla kupujących portfele sprzętowe

Na podstawie dostępnych ustaleń problem wydaje się dotyczyć odsprzedawcy, a nie wady produktu podstawowego Ledgera. To rozróżnienie ma znaczenie, choć może dawać ograniczoną pociechę każdemu, kto powierzył oszczędności naruszonym urządzeniu.

Opisany tutaj atak omija zabezpieczenia, z których słyną portfele sprzętowe. Bezpieczny układ może perfekcyjnie pełnić swoją funkcję i mimo to przegrać, jeśli inny komponent odczytuje ekran, z którym się komunikuje.

Użytkowników wzywa się do zakupów bezpośrednio z oficjalnych kanałów Ledgera oraz do stosowania się do wskazówek firmy dotyczących kontroli w celu weryfikacji integralności urządzenia. Każdy, kto kupił od CryptoBilis, powinien powstrzymać się od konfiguracji urządzenia, zgodnie z instrukcją Ledgera.

Dla Ledgera kluczowymi wydarzeniami do obserwacji są wyniki śledztwa oraz to czy firma potwierdzi lub zrewiduje szacunki strat. Sposób, w jaki firma potraktuje poszkodowanych klientów CryptoBilis, również wpłynie na to, ile zaufania użytkowników przetrwa to zdarzenie.