Марк Карпелес, бывший CEO биржи Mt. Gox, публично раскритиковал производителя аппаратных кошельков Ledger, заявив, что компания плохо отреагировала на ранние предупреждения о том, что шпионское оборудование было скрыто внутри устройств, продававшихся через одного из её реселлеров. Карпелес возглавлял Mt. Gox, некогда крупнейшую биткоин-биржу мира, вплоть до её краха в 2014 году.

Критика касается атаки через цепочку поставок, связанной с реселлером Ledger CryptoBillis, через которого пользователи, купившие устройства, потеряли более $90 млн. Карпелес утверждает, что Ledger получала сообщения об имплантах за несколько месяцев до того, как публично признала проблему. Ставки заложены в самом продукте: аппаратные кошельки предназначены для того, чтобы хранить сид-фразу пользователя — восстановительную фразу, дающую полный контроль над кошельком, — в офлайне и вне досягаемости устройств с доступом в интернет, а атака через цепочку поставок, нацеленная на продукцию в промежутке между производством и доставкой, бьёт именно по этой защите.

Ранние предупреждения, датированные, как утверждается, декабрём 2025 года

По словам Карпелеса, Ledger получала сообщения об аппаратных имплантах ещё в декабре 2025 года. Он заявил, что единственным публичным ответом компании стал блог-пост о компрометации, опубликованный в марте 2026 года, и, по его мнению, более ясная коммуникация в тот момент могла бы предотвратить последовавшие потери. Он отметил, что мартовская статья Ledger сама показала как самодельный имплант с импровизированной LTE-антенной, обнаруженный аппаратным хакером Джо Грандом, так и дорогостоящие серийно выпускаемые устройства.

"I do know a better communication on this at the time could have saved 90+ million USD in losses", — написал Карпелес на X.

В посте от 17 октября 2026 года Карпелес отверг намёки на то, что его собственная репутация в Mt. Gox должна дискредитировать его предупреждения:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026

Исходный пост на X

Он добавил, что не может понять, как компания не встревожилась из-за "серийно выпускаемых продвинутых имплантов". Карпелес также признал собственные ошибки в Mt. Gox, сказав, что предъявлял к Ledger более высокие требования, поскольку "trusted you to do better by learning of my failure".

Ledger парирует заявления

Глава Ledger Паскаль Готье отверг критику, назвав комментарии Карпелеса показной добродетельностью и указав на его прошлое в Mt. Gox. Обмен репликами между ними стал личным, сместившись с центрального вопроса о том, можно ли было избежать атаки и хищения средств.

Карпелес также обвинил Ledger в преуменьшении инцидента, заявив, что компания представляла его ограниченным CryptoBillis, хотя похожие импланты сообщались и в других регионах. Ledger оспорила сообщения о затронутых устройствах в Европе — такой вывод компания сделала после анализа зафиксированного случая в Германии. Карпелес не согласился, заявив, что атака распространилась дальше, и сообщил, что помог нескольким пользователям проверить их устройства на признаки вмешательства.

"Конечный пользователь этого не знает и не должен беспокоиться о том, изменено его устройство или нет", — написал он, призвав Ledger публиковать более ясную информацию.

Многие участники криптосообщества встали на сторону Карпелеса, требуя от компании большей открытости об атаке и её масштабах.

Подтверждённые импланты и отраслевой ответ

В начале октября Ledger подтвердила, что устройства, проданные через CryptoBillis, содержали несанкционированные импланты. Импланты сканировали сид-фразы пользователей и отправляли их на частный сервер. Поскольку сид-фраза сама по себе позволяет восстановить кошелёк на любом совместимом устройстве, её перехват напрямую подвергает риску защищённые ею средства. Ledger приостановила продажи через CryptoBillis и весь регион Юго-Восточной Азии, а потери от атаки впоследствии превысили $100 млн.

Другие производители кошельков, включая Trezor и OneKey, ответили удалением сторонних реселлеров и ужесточением контроля за распределением своих устройств, нацелившись на тот же реселлерский канал, через который были внедрены импланты.

По состоянию на 18 октября Ledger утверждает, что компрометация ограничена Юго-Восточной Азией. Карпелес и другие продолжают заявлять, что атака распространилась на другие регионы, и спор об истинных масштабах инцидента остаётся неразрешённым. Этот эпизод оставил покупателей с открытым вопросом, на который индустрии ещё предстоит ответить: как убедиться, что устройство не было изменено в цепочке между производителем и его руками.

Источник: Blockonomi