Thomas Karpelès zegt dat een Ledger Flex die op een luchthaven werd gekocht meer bevatte dan waarvoor hij betaalde: een spy-implant dat in het apparaat was verstopt. De koper is geïdentificeerd als Ben Yorke, en de retailer die het gecompromitteerde exemplaar verkocht was Metapod, volgens Karpelès. Ledger zegt op zijn beurt dat zijn eigen onderzoek naar geverifieerde fondsverliezen steeds weer uitkomt bij wallets die door CryptoBilis werden verkocht — niet bij apparaten die op luchthavens zijn gekocht.
De twee beweringen heffen elkaar niet op. Ze gaan over verschillende dingen: de ene is een vermeende hardwarecompromis op het verkooppunt, de andere is waar Ledger zegt dat het geld daadwerkelijk verdwenen is in gevallen die het heeft geverifieerd.
Wat Karpelès zegt dat er in de Flex zat
De bewering van Karpelès is nauw en specifiek. Een Ledger Flex — een van de nieuwere touchscreenmodellen van het bedrijf — werd gekocht bij een verkoper op een luchthaven. Ergens in die keten werd een implant toegevoegd. Hij noemt Yorke als de koper en Metapod als de retailer die het exemplaar verkocht.
Dat is alles, althans van wat er is onthuld. Er is geen uitleg over wat het implant moest doen, geen tijdlijn voor wanneer het mogelijk is ingebracht, en geen woord over hoeveel andere apparaten van dezelfde verkoper mogelijk getroffen zijn. Luchthavenretail is een vreemd kanaal voor een beveiligingsproduct — snelle omloop, tijdelijke klanten en geen duidelijke manier voor een koper om een verzegelde doos te verifiëren tegen een gemanipuleerde.
Het detail dat het meest van belang is voor iedereen met een Ledger is niet het specifieke exemplaar. Het is de vraag of dit een eenmalig geval was of een patroon. Op dit moment heeft niemand dat beantwoord.
Ledgers kant: CryptoBilis, niet luchthavens
Ledgers verklaring trekt een harde grens. In zijn onderzoek blijven de geverifieerde fondsverliezen gekoppeld aan wallets die door CryptoBilis werden verkocht. Dat is het standpunt van het bedrijf, en het wijkt niet af naar het luchthavenverhaal.
Zorgvuldig gelezen is dat geen ontkenning dat er een gecompromitteerde Flex bestond. Het is een scheiding van twee sporen. Geverifieerde verliezen — de gevallen waarin Ledger daadwerkelijk geld heeft gevolgd — lopen via CryptoBilis-wallets. Het luchthavenapparaat is een aparte bewering, en Ledger voegt die niet samen met zijn verliescijfers.
Voor gebruikers is de praktische conclusie deze: als je probeert te achterhalen of je fondsen risico lopen, zegt Ledger dat je moet kijken waar je wallet vandaan komt, niet alleen welk apparaat je hebt aangesloten. Dat zijn niet dezelfde vraag, en ze door elkaar halen is hoe mensen uiteindelijk het verkeerde spoor volgen.
De kloof die geen van beide partijen heeft gedicht
Metapod verkocht het apparaat. Yorke kocht het. Karpelès meldde het implant. Ledger zegt dat geverifieerde verliezen naar CryptoBilis leiden. Vier namen, twee verhalen, en nog geen publieke verzoening tussen beide.
De voor de hand liggende onopgeloste vraag is of het kanaal van de luchthavenverkoop en het kanaal van de CryptoBilis-wallets elkaar überhaupt kruisen. Niemand heeft gezegd dat ze dat doen. Niemand heeft gezegd dat ze dat niet doen. Zonder die link — of een duidelijke verklaring dat die er niet is — staan de twee verhalen naast elkaar, elk op zichzelf waar, elk op zichzelf onvolledig.
Let op twee dingen. Ten eerste of Ledger zijn verklaring uitbreidt buiten de CryptoBilis-lijn — specifiek of het rechtstreeks ingaat op het luchthavenapparaat in plaats van via contrast. Ten tweede of Metapod of iemand in de luchthavenretailketen reageert op de implant-bewering, en of het getroffen exemplaar geïsoleerd blijkt te zijn.
Tot een van die dingen gebeurt, zijn de enige solide feiten op tafel deze: een op een luchthaven gekochte Ledger Flex had naar verluidt een implant, een man genaamd Ben Yorke kocht hem, Metapod verkocht hem, en Ledgers geverifieerde verliezen lopen nog steeds via CryptoBilis. Al het andere staat nog open.
