Бывший CEO Mt. Gox Марк Карпельс раскритиковал реакцию Ledger на атаку на цепочку поставок аппаратных кошельков с использованием сложных имплантов, утверждая, что компания должна была выпустить более серьезное публичное предупреждение после документирования конструкций продвинутых имплантов в марте 2026 года. Подобные атаки на цепочку поставок предполагают вмешательство в устройства до того, как они попадут к покупателям, поэтому рекомендации по каналам покупки имеют особое значение для безопасности аппаратных кошельков.

По словам Карпельса, более четкая коммуникация могла бы предотвратить потери на сумму более 90 млн долларов. Эти цифры и оценки отражают публичные заявления Карпельса; имеющаяся информация не позволяет независимо установить сумму потерь, которую можно отнести на счет предполагаемых сбоев в коммуникации.

CEO Ledger Паскаль Готье в ответ сослался на историю руководства Карпельса в Mt. Gox. Эта перепалка подняла вопросы о том, как поставщики аппаратных кошельков информируют клиентов о новых угрозах безопасности.

Мартовское раскрытие информации Ledger

Карпельс признал, что в марте 2026 года Ledger опубликовала образовательную статью об угрозе имплантов через Ledger Academy. В статье, как сообщается, рекомендовалось приобретать устройства напрямую у Ledger или у ее авторизованных реселлеров.

Однако, по мнению Карпельса, одной образовательной статьи было недостаточно для угрозы такой серьезности. На его взгляд, свидетельства существования серийно производимых самовыравнивающихся имплантов должны были побудить к срочным мерам безопасности.

Он указал на многочисленные сообщения об имплантах, полученные в начале 2026 года, и сослался на конструкции аппаратных имплантов, задокументированные исследователем безопасности Джо Грандом, включая самодельное устройство с импровизированной LTE-антенной. По словам Карпельса, мартовская статья Ledger показывала как самодельный тип импланта, описанный Грандом, так и более продвинутые серийно производимые конструкции.

Карпельс заявил, что эти устройства указывали на серьезную попытку скомпрометировать продукцию Ledger, и охарактеризовал ситуацию как потенциальный «пожар пятой категории», требующий немедленных и надлежащих действий. Он также оценил, что лучшая коммуникация на тот момент могла бы предотвратить потери на сумму более 90 млн долларов.

В публикации в X от 17 октября 2026 года Карпельс написал:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced… — Mark Karpelès (@MagicalTux) October 17, 2026

Спор о реакции Ledger

Конфликт обострился после того, как Гот в ответ на слова Карпельса упомянул его историю как CEO Mt. Gox. Mt. Gox, некогда крупнейшая биткоин-биржа в мире, обанкротилась в 2014 году после потери сотен тысяч биткоинов в результате хакерских атак. Карпельс отверг эту критику, заявив, что прошлое биржи не имеет отношения к обязанностям Ledger. Он сказал, что ожидал, что Ledger извлечет уроки из провала Mt. Gox и будет поддерживать более высокие стандарты безопасности и раскрытия информации.

Карпельс также поставил под сомнение продолжающееся определение инцидента Ledger как «инцидента CryptoBilis». Он отметил, что, по сообщениям, похожие импланты обнаруживались и в других местах. Признавая, что у Ledger могут быть основания для такой терминологии, он утверждал, что клиентам не следует самим разбираться, были ли их устройства изменены.

Он признал некоторые улучшения, включая более активное участие аккаунта Ledger в X, но сказал, что пользователи по-прежнему сообщают о трудностях с получением ответов от компании.

Этот спор подчеркивает важное различие в безопасности аппаратных кошельков: публикация технических рекомендаций не обязательно равнозначна срочному предупреждению клиентов. Пользователям нужна четкая информация о потенциальных угрозах, рекомендуемых каналах покупки и шагах для оценки своей уязвимости. То, как поставщики должны эскалировать подобные находки клиентам помимо публикации образовательных материалов, остается центральным вопросом этого спора.

Аппаратные кошельки защищают приватные ключи, изолируя их от обычных сред с подключением к интернету. Однако скомпрометированное аппаратное обеспечение может подорвать эту защиту, если вредоносные компоненты вмешиваются в работу устройства или проверки безопасности.

Этот спор вновь привлек внимание к важности покупки аппаратных кошельков напрямую у производителей или авторизованных реселлеров, а также к роли прозрачной отчетности об инцидентах, когда сложные атаки угрожают устройствам, предназначенным для защиты цифровых активов.