Mark Karpelès, były CEO giełdy Mt. Gox, publicznie skrytykował producenta portfeli sprzętowych Ledger, twierdząc, że firma źle zareagowała na wczesne ostrzeżenia o ukryciu sprzętu szpiegowskiego w urządzeniach sprzedawanych przez jednego z jej resellerów. Karpelès kierował Mt. Gox, niegdyś największą giełdą Bitcoin na świecie, aż do jej upadku w 2014 roku.

Krytyka koncentruje się na ataku na łańcuch dostaw powiązanym z CryptoBillis, resellerem Ledgera, przez którego użytkownicy, którzy kupili urządzenia, stracili ponad 90 milionów dolarów. Karpelès argumentuje, że Ledger otrzymał raporty o implantach na wiele miesięcy przed publicznym zajęciem się problemem. Stawka jest wpisana w sam produkt: portfele sprzętowe mają przechowywać frazę seed użytkownika — frazę odzyskiwania dającą pełną kontrolę nad portfelem — offline i poza zasięgiem urządzeń połączonych z internetem, a atak na łańcuch dostaw, który celuje w produkty w oknie czasowym między produkcją a dostawą, uderza właśnie w tę ochronę.

Wczesne ostrzeżenia sięgające, jak się twierdzi, grudnia 2025 roku

Według Karpelèsa Ledger otrzymał raporty o implantach sprzętowych już w grudniu 2025 roku. Twierdzi, że jedyną publiczną reakcją firmy był oplikowany w marcu 2026 roku wpis na blogu o naruszeniu bezpieczeństwa, a jego zdaniem jaśniejsza komunikacja w tamtym momencie mogła zapobiec kolejnym stratom. Zauważył, że marcowy artykuł Ledgera sam pokazywał zarówno implant wykonany ręcznie z improwizowaną anteną LTE, zaobserwowany przez hakera sprzętowego Joe Granda, jak i urządzenia masowo produkowane przy wysokim budżecie.

"Wiem, że lepsza komunikacja w tej sprawie w tamtym czasie mogła uratować ponad 90 milionów USD strat" — napisał Karpelès na X.

W poście z 17 października 2026 roku Karpelès odrzucił sugestie, że jego własna historia w Mt. Gox powinna podważać wiarygodność jego ostrzeżeń:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Oryginalny post na X

Dodał, że nie rozumie, jak firma nie zaniepokoiła się "masowo produkowanymi zaawansowanymi implantami". Karpelès przyznał także do swoich własnych porażek w Mt. Gox, mówiąc, że wymagał od Ledgera wyższych standardów, ponieważ "zaufał wam, że będziecie lepsi, wyciągając wnioski z mojej porażki".

Ledger odrzuca zarzuty

CEO Ledgera Pascal Gauthier odrzucił krytykę, określając komentarze Karpelèsa jako demonstrację cnoty i wskazując na jego przeszłość w Mt. Gox. Wymiana zdań między nimi stała się osobista, oddalając się od kluczowego pytania, czy atakowi i utracie środków można było zapobiec.

Karpelès zarzucił także Ledgerowi pomniejszanie rangi incydentu, twierdząc, że firma traktowała go jako ograniczonego do CryptoBillis, mimo że podobne implanty zgłoszono w innych regionach. Ledger zakwestionował doniesienia, że dotknięte zostały urządzenia w Europie — wniosek, do którego firma doszła po zbadaniu zgłoszonego przypadku w Niemczech. Karpelès się z tym nie zgodził, mówiąc, że atak sięgnął dalej, i stwierdził, że pomógł kilku użytkownikom sprawdzić ich urządzenia pod kątem śladów manipulacji.

"Użytkownik końcowy tego nie wie i nie powinien musieć martwić się o to, czy jego urządzenie zosta zmodyfikowane, czy nie" — napisał, wzywając Ledgera do udostępnienia jaśniejszych informacji.

Wielu członków społeczności kryptowalutowej opowiedziało się po stronie Karpelèsa, nalegając, aby firma była bardziej otwarta w kwestii ataku i jego zasięgu.

Potwierdzone implanty i odpowiedź całej branży

Na początku października Ledger potwierdził, że urządzenia sprzedawane przez CryptoBillis zawierały nieautoryzowane implanty. Implanty skanowały frazy seed użytkowników i wysyłały je na prywatny serwer. Ponieważ sama fraza seed pozwala przywrócić portfel na dowolnym kompatybilnym urządzeniu, jej przechwycenie bezpośrednio naraża chronione przez nią środki. Ledger wstrzymał sprzedaż przez CryptoBillis i szerszy region Azji Południowo-Wschodniej, a straty z ataku później przekroczyły 100 milionów dolarów.

Inni producenci portfeli, w tym Trezor i OneKey, zareagowali usuwając zewnętrznych resellerów i zaostrzając kontrole dystrybucji swoich urządzeń, celując w ten sam kanał resellerów, przez który wprowadzono implanty.

Na dzień 18 października Ledger utrzymuje, że naruszenie bezpieczeństwa ogranicza się do Azji Południowo-Wschodniej. Karpelès i inni nadal twierdzą, że atak rozprzestrzenił się na inne regiony, a spór o prawdziwy zasięg incydentu pozostaje nierozwiązany. Ta sytuacja pozostawiła kupujących z otwartym pytaniem, na które branża jeszcze nie odpowiedziała: jak potwierdzić, że urządzenie nie zostało zmodyfikowane w łańcuchu między producentem a rękami użytkownika.

Źródło: Blockonomi