Tiene toda la pinta, efectivamente, de que alguien del entorno familiar, o del círculo de amigo o visitas/servicios ha tenido acceso al dispositivo. De hecho, en el artículo cita que no hubieron visitantes al domicilio entorno a las fechas de la TX de salida, pero quien haya sido puede perfectamente haber esperado unas semanas o meses para disimular.

Tampoco conocemos lo que llegó a contar a su familia directa, y uno de ellos podría haber extendido el círculo al comentárselo a un amigo suyo. También estar el factor vino/cerveza/alcohol, que suelta la lengua y no necesariamente con el recuerdo asociado.

Esto abre otro debate. Suponiendo que no se accedió a utilizar el Ledger a través de su pin, sino el nemónico de 24 palabras:

Q) ¿Es bueno/malo/depende almacenar la semilla en formato de texto libre?

Ver por ejemplo la discusión en este hilo en inglés (por cierto por parte de alguien que domina nuestro idioma, pero que no parece prodigarse por estos lodos):
HACK IT! (a friendly challenge for the forum's experts)

Nota: Descarto la colisión de semillas en dos carteras creadas al azar (o eso quiero).