Ha estallado una disputa pública entre el consejero delegado de Ledger, Pascal Gauthier, y Mark Karpelès, antiguo responsable del exchange quebrado Mt. Gox, sobre lo que el fabricante de hardware wallets sabía acerca de un fallo relacionado con un chip espía antes de que fuera explotado en una serie de robos.
Karpelès sostiene que Ledger conocía la existencia de peligrosos chips espía meses antes de los ataques recientes y no advirtió adecuadamente a sus usuarios. Según él, las pérdidas vinculadas a este esquema, que cifra en más de 90 millones de dólares, podrían haberse evitado si la empresa hubiera hablado antes.
Los robos tienen su origen en dispositivos Ledger manipulados por delincuentes antes de llegar a los compradores, a los que se les insertó una placa de circuito adicional oculta. Según los pocos detalles conocidos, este chip interceptaba la frase de recuperación de 24 palabras durante la configuración del monedero y la transmitía a los atacantes, lo que les otorgaba el control total de los fondos de la víctima en el momento mismo de configurar el dispositivo.
Karpelès afirma haber encontrado él mismo uno de estos chips, oculto tras la pantalla de un dispositivo que había abierto de su embalaje original. Señala una guía de seguridad de Ledger fechada el 6 de marzo de 2026 que, según él, describía dispositivos manipulados y recomendaba comprar únicamente de forma directa a Ledger o a través de revendedores autorizados.
En un principio sugirió que la guía mostraba ya entonces imágenes de chips espía fabricados industrialmente, pero después matizó la afirmación. "Corrección: dije que @Ledger no había hablado en absoluto de la situación de los implantes pese a conocerla; en realidad publicaron un artículo de su academia en marzo de 2026 que habla de ello y recomienda comprar directamente o a revendedores autorizados", escribió Karpelès. El artículo en cuestión fue revisado en septiembre, lo que deja sin aclarar qué contenía exactamente la versión original de marzo.
Gauthier responde
Gauthier rechazó las críticas de forma tajante, cuestionando la legitimidad de Karpelès para hacerlas dado su papel en Mt. Gox, el exchange que colapsó en 2014 tras perder alrededor de 850.000 bitcoins. "Eso lo dice el CEO de Mt. Gox... Venga, hombre. Tú no eres ningún caballero blanco. Sé realista...", declaró.
Ledger ha mantenido que ni su sistema operativo, ni sus propios servidores ni los chips de seguridad se vieron comprometidos en los ataques recientes, y atribuye la responsabilidad a la manipulación por terceros de los dispositivos antes de la compra, no a su propia infraestructura. La herramienta Genuine Check de la compañía verifica el chip de seguridad original de un dispositivo, pero no detecta necesariamente componentes adicionales instalados después de la fabricación, una limitación que deja abierta la posibilidad de un implante como el descrito en este caso.
Para los compradores europeos, el episodio pone de relieve un riesgo recurrente en la cadena de suministro de las hardware wallets: los dispositivos adquiridos por canales no oficiales o interceptados antes de la entrega pueden ser alterados de formas que las comprobaciones estándar de autenticidad no siempre detectan.
