Thomas Karpelès sier at en Ledger Flex kjøpt på en flyplass kom med mer enn han betalte for: en spionimplantat gjemt inne i enheten. Kjøperen er identifisert som Ben Yorke, og forhandleren som solgte den kompromitterte enheten var Metapod, ifølge Karpelès. Ledger på sin side sier at deres egen undersøkelse av verifiserte pengetap fortsatt peker tilbake til lommebøker solgt av CryptoBilis – ikke til enheter kjøpt på flyplasser.
De to påstandene opphever ikke hverandre. De handler om forskjellige ting: den ene er en påstått hardware-kompromittering ved salgspunktet, den andre er hvor Ledger sier pengene faktisk forsvant i saker de har verifisert.
Hva Karpelès sier var inne i Flex-en
Karpelès' påstand er snever og spesifikk. En Ledger Flex – en av selskapets nyere berøringsskjermmodeller – ble kjøpt fra en flyplasselger. Et sted i den kjeden ble et implantat lagt til. Han navngir Yorke som kjøper og Metapod som forhandleren som solgte enheten.
Det er alt, i det minste fra det som er offentliggjort. Det er ingen redegjørelse for hva implantatet var bygget for å gjøre, ingen tidslinje for når det kan ha blitt satt inn, og ingen ord om hvor mange andre enheter fra samme selger som kan være berørt. Flyplassutsalg er en merkelig kanal for et sikkerhetsprodukt å passere gjennom – rask omsetning, transittkunder og ingen åpenbar måte for en kjøper å verifisere en forseglet boks mot en manipulert.
Detaljen som betyr mest for alle som eier en Ledger, er ikke den spesifikke enheten. Det er spørsmålet om dette var et engangstilfelle eller et mønster. Akkurat nå har ingen svart på det.
Ledgers side: CryptoBilis, ikke flyplasser
Ledgers uttalelse trekker en hard linje. I deres undersøkelse er de verifiserte pengetapene fortsatt knyttet til lommebøker solgt av CryptoBilis. Det er selskapets posisjon, og den rikker seg ikke mot flyplasshistorien.
Lest nøye er det ikke en benektelse av at en kompromittert Flex eksisterte. Det er en separasjon av to spor. Verifiserte tap – sakene der Ledger faktisk har sporet penger – går gjennom CryptoBilis-lommebøker. Flyplassenheten er en separat påstand, og Ledger legger den ikke inn i sine tapstall.
For brukere er det praktiske budskapet dette: hvis du prøver å finne ut om midlene dine er i fare, sier Ledger at du skal se på hvor lommeboken din kom fra, ikke bare hvilken enhet du koblet til. De to er ikke samme spørsmål, og å blande dem er hvordan folk ender opp med å følge feil spor.
Gapet ingen av partene har lukket
Metapod solgte enheten. Yorke kjøpte den. Karpelès rapporterte implantatet. Ledger sier verifiserte tap spores til CryptoBilis. Fire navn, to narrativer, og ingen offentlig forening mellom dem ennå.
Det åpenbare uavklarte spørsmålet er om flyplasssalgskanalen og CryptoBilis-lommebokkanalen i det hele tatt overlapper. Ingen har sagt at de gjør det. Ingen har sagt at de ikke gjør det heller. Uten den koblingen – eller en klar uttalelse om at det ikke er en – står de to historiene side om side, hver sann på sine egne premisser, hver ufullstendig på egen hånd.
Følg med på to ting. For det første, om Ledger utvider uttalelsen sin utover CryptoBilis-linjen – spesifikt om de adresserer flyplassenheten direkte i stedet for ved kontrast. For det andre, om Metapod eller noen i flyplassutsalgskjeden svarer på implantatpåstanden, og om den berørte enheten viser seg å være isolert.
Inntil en av disse skjer, er de eneste solide fakta på bordet disse: en Ledger Flex kjøpt på en flyplass hadde angivelig et implantat, en mann ved navn Ben Yorke kjøpte den, Metapod solgte den, og Ledgers verifiserte tap går fortsatt gjennom CryptoBilis. Alt annet er fortsatt åpent.
