SlowMist-CISO 23pds sagte, dass eine von Mark Karpelès, dem ehemaligen CEO von Mt. Gox, beschriebene Ledger-Manipulation auf der Leiterplatte auf einen hochentwickelten Angriff hindeuten würde. Er skizzierte einen möglichen Ablauf: Der Seed wird im Secure Element generiert, die Wiederherstellungsphrase auf dem Bildschirm angezeigt und ein bösartiges Modul greift die Datenleitung des Bildschirms, etwa SPI, ab, um die angezeigten Wörter aufzuzeichnen und sie anschließend über LTE oder eine eSIM zu versenden.

Laut Foresight News sagte 23pds, Angreifer könnten so die Wiederherstellungsphrase erhalten und die Vermögenswerte übertragen. Er fügte hinzu, dass das Modul dazu verwendet werden könnte, die dem Nutzer angezeigten Zeichen zu analysieren und die zugehörigen Daten nach Abschluss der Einrichtung der Phrase zu übertragen.

Karpelès sagte zuvor, er habe eine Ledger-Hardware-Wallet erhalten, die offenbar ein Spionagemodul enthielt. Das Gerät sei aus Malaysia gekommen, die äußere Schrumpffolie sei unversehrt gewesen, und nach dem Öffnen sei zunächst keine Auffälligkeit zu erkennen gewesen. Das Implantat sei dort versteckt gewesen, wo sich eigentlich das ursprüngliche Polster der Bildschirmabdeckung hätte befinden sollen. Es habe LTE-Kommunikationskomponenten, eine Antenne, eine eSIM und einen Mikrocontroller umfasst, der mit dem SPI-Bus von Ledger verbunden war.

Karpelès sagte, der Angreifer könnte die Wallet-Adresse des Opfers überwacht und einen Zeitpunkt für den Transfer der Vermögenswerte gewählt haben.