Mt. Gox 交易所前執行長 Mark Karpelès 公開批評硬體錢包製造商 Ledger,指出該公司對於透過其中一家經銷商銷售的裝置內被植入間諜硬體的早期警告未能妥善回應。Karpelès 曾領導曾是全球最大比特幣交易所的 Mt. Gox,直到該交易所於2014年倒閉。

這項批評聚焦於與 Ledger 經銷商 CryptoBillis 相關的供應鏈攻擊,透過該經銷商購買裝置的使用者損失超過9,000萬美元。Karpelès 主張,Ledger 在公開處理該問題前數個月就已收到有關硬體植入物的報告。風險蘊藏在產品本身:硬體錢包的設計目的是將使用者的助記詞——即授予錢包完全控制權的恢復短語——保持在離線狀態、不讓連網裝置接觸,而供應鏈攻擊正是針對產品從製造到交付之間的窗口,直接打擊了這一層保護。

早期警告據稱可追溯至2025年12月

據 Karpelès 表示,Ledger 早在2025年12月就收到了有關硬體植入物的報告。他說,該公司唯一的公開回應是2026年3月發布的一篇關於入侵事件的部落格文章,他認為當時更清晰的溝通原可避免隨後的損失。他指出,Ledger 三月的文章本身就同時展示了硬體駭客 Joe Grand 觀察到的一枚帶有自制 LTE 天線的手工植入物,以及高預算、大量生產的裝置。

「I do know a better communication on this at the time could have saved 90+ million USD in losses,」Karpelès 在 X 上寫道。

在2026年10月17日的一則貼文中,Karpelès 反駁了他在 Mt. Gox 的紀錄應使其警告失去可信度的說法:

I'm not sure MtGox has anything to do with that. You received multiple reports of implants in early 2026, and by March you published an article that showed both the hand-made style of implants Joe Grand saw (with the improvised LTE antenna) and the high budget mass produced…

— Mark Karpelès (@MagicalTux) October 17, 2026
Source post on X

他補充說,他無法理解該公司為何沒有對「大量生產的先進植入物」感到警覺。Karpelès 也承認自己在 Mt. Gox 的失敗,表示他對 Ledger 抱持更高標準,因為他「trusted you to do better by learning of my failure」。

Ledger 反駁相關指控

Ledger 執行長 Pascal Gauthier 拒絕了這項批評,將 Karpelès 的言論形容為「道德表態」,並提及他在 Mt. Gox 的過往。兩人之間的交鋒變得人身化,偏離了核心問題——這次攻擊和被竊資金是否原本可以避免。

Karpelès 還指責 Ledger 淡化此事,稱該公司將事件視為僅限於 CryptoBillis,儘管其他地區也報告了類似的植入物。Ledger 對歐洲裝置受影響的報告提出異議,這一結論是該公司在分析德國一宗報告案例後得出的。Karpelès 不同意這一說法,表示攻擊波及範圍更廣,並稱他已協助多名使用者檢查其裝置是否有被竄改的跡象。

「An end user doesn't know that, and shouldn't have to worry if their device is altered or not,」他寫道,呼籲 Ledger 提供更清晰的資訊。

許多加密社群成員站在 Karpelès 一邊,施壓該公司更公開地說明這次攻擊及其範圍。

已證實的植入物與整個產業的回應

10月初,Ledger 證實透過 CryptoBillis 銷售的裝置含有未經授權的植入物。這些植入物掃描使用者的助記詞並將其傳送至私人伺服器。由於助記詞本身就可以在任何相容裝置上恢復錢包,一旦被截取,其保護的資金便直接暴露於風險之中。Ledger 暫停了透過 CryptoBillis 及整個東南亞地區的銷售,攻擊造成的損失後來突破1億美元。

其他錢包製造商,包括 Trezor 和 OneKey,作為回應移除了第三方經銷商,並加強了對裝置分銷方式的審查,針對的正是植入物被引入的同一經銷商通路。

截至10月18日,Ledger 堅稱入侵事件僅限於東南亞。Karpelès 和其他人則繼續主張攻擊已蔓延至其他地區,關於事件真實範圍的爭議仍未解決。這一事件給買家留下了一個產業尚未回答的開放性問題:如何確認裝置在從製造商到自己手中的整條鏈路中沒有被竄改。

來源:Blockonomi