Grupptalan mot Ledger
Ledger har blivit föremål för en föreslagen grupptalan som söker minst 500 miljoner dollar på grund av anklagelser om bristande säkerhet och brister i informationsgivning kopplade till en incident i december 2023. Denna incident exponerade kunder för stöld av kryptovaluta och andra ekonomiska förluster.
Bakgrund och anklagelser
Klagomålet, inlämnat av Douglas Kim i den amerikanska distriktsdomstolen för södra distriktet i New York den 27 augusti, anklagar hårdvaruplåtsmakaren för att ha misslyckats med att tillräckligt skydda kunders personligt identifierbar information och kryptovalutasäkerhetsdata. Kim förde målet både individuellt och på uppdrag av en föreslagen nationell klass.
Han hävdar att Ledger misslyckades med att korrekt informera kunderna efter säkerhetsincidenten i december 2023 och inte fullt ut avslöjade dess omfattning. Stämningen hävdar att hackare senare använde kundernas kontaktinformation för att utge sig för att vara Ledger-representanter och få tillgång till kundernas kryptovaluta plånböcker och privata nycklar.
Incidenten i december 2023
Incidenten involverade Ledger Connect Kit, ett mjukvarubibliotek som används för att koppla hårdvaruplåtar till webbplatser och decentraliserade applikationer. Klagomålet säger att angripare fick tillgång till NPMJS-kontot för en tidigare Ledger-anställd genom en phishing-attack. Ledger hade misslyckats med att korrekt återkalla den tidigare anställdes åtkomst efter att deras anställning avslutades.
Ledger erkände åtkomstkontrollfelet vid den tidpunkten och uppgav att den tidigare anställdes NPMJS-åtkomst inte hade återkallats på rätt sätt.
När angriparna kom in i kontot laddade de upp en skadlig version av Ledger Connect Kit som kunde omdirigera transaktioner till adresser de kontrollerade genom att få användarna att godkänna skadliga transaktioner. Ledger erkände offentligt att den skadliga programvaran kunde lura användare att skriva under transaktioner som tömde deras plånböcker.
Konsekvenser för kunder
Kim, som först köpte en Ledger-hårdvaruplånbok omkring 2017, blev senare offer för ett Ledger-impersonationsschema. Den 18 februari 2025 fick Kim ett samtal från någon som påstod sig representera Coincover, vilket den som ringde presenterade som en avdelning inom Ledger. Klagomålet hävdar att angriparna använde kundernas kontaktinformation som härstammade från incidenten i december 2023 för att identifiera honom som en Ledger-kund.
Kim följde instruktionerna från den påstådda representanten och fick vad han trodde var en ersättningslösenfras. Två dagar senare upptäckte han att kryptotillgångar värda 1 948 074 dollar hade stulits.
Fortsatta säkerhetsproblem
Ledger-kunder har fortsatt att möta försök till impersonation. I februari 2026 skickade bedragare falska Ledger-brev som dirigerade mottagarna till phishing-webbplatser utformade för att samla in plånbokens återställningsfraser. Klagomålet använder Ledgers tidigare säkerhetshistoria för att stödja sina anklagelser om otillräckliga skyddsåtgärder.
En dataintrång 2020 påverkade mer än 270 000 Ledger-kunder och exponerade information som inkluderade namn, fysiska adresser och telefonnummer. Klagomålet hävdar att Ledger misslyckades med att tillräckligt förbättra sina säkerhetspraxis efter den incidenten.
Rättsliga krav och skadestånd
Kims inlaga söker deklarationer om att Ledger bröt mot New Yorks SHIELD-lag och allmänna affärslagar avsnitt 349 och 350, tillsammans med fynd av vårdslöshet och vårdslös felaktig information. Den begärda lättnaden inkluderar faktiska, kompensatoriska, lagstadgade, tredubbla och straffskadestånd, samt advokatkostnader och kostnader.
Klagomålet uppskattar Kims skador till cirka 2 miljoner dollar och hävdar att de kollektiva klassens skador kan nå minst 500 miljoner dollar, potentiellt upp till miljarder dollar beroende på antalet drabbade kunder och storleken på individuella förluster. Käranden har begärt en juryprövning.
