Introduktion
Ledger er blevet mødt med et foreslået gruppesøgsmål, der søger mindst $500 millioner i erstatning på grund af påstande om utilstrækkelig sikkerhed og manglende information i forbindelse med en hændelse i december 2023. Denne hændelse har angiveligt udsat kunder for kryptotyveri og andre økonomiske tab.
Klagen
Klagen, indgivet af Douglas Kim ved den amerikanske distriktsret for den sydlige del af New York den 27. august, anklager hardware wallet-producenten for ikke at have beskyttet kundernes personligt identificerbare oplysninger og kryptosikkerhedsdata tilstrækkeligt. Kim har anlagt sagen både individuelt og på vegne af en foreslået landsdækkende klasse.
“Ledger ikke korrekt underrettede kunderne efter sikkerhedshændelsen i december 2023 og ikke fuldt ud afslørede omfanget af hændelsen.”
Klagen indeholder syv påstande, herunder krav under New Yorks General Business Law Sektioner 349 og 350, uagtsomhed, uagtsom fejlinformation, promissory estoppel og brud på den underforståede pagt om god tro og fair handel.
Hændelsen i December 2023
Hændelsen involverede Ledger Connect Kit, et softwarebibliotek, der bruges til at forbinde hardware wallets med websteder og decentrale applikationer. Ifølge klagen fik angribere adgang til NPMJS-kontoen til en tidligere Ledger-medarbejder gennem et phishing-angreb. Ledger havde ikke korrekt tilbagekaldt den tidligere medarbejders adgang, efter at deres ansættelse var ophørt.
Ledger anerkendte adgangskontrolfejlen og sagde, at den tidligere medarbejders NPMJS-adgang ikke var blevet korrekt tilbagekaldt. Angriberne uploadede en ondsindet version af Ledger Connect Kit, der kunne omdirigere transaktioner til adresser, de kontrollerede.
“Den ondsindede software kunne narre brugerne til at underskrive transaktioner, der tømmede deres wallets.”
Konsekvenser for Kunderne
Kim hævder, at hackere fik adgang til og brugte Ledger-kundernes PII, herunder navne, e-mailadresser og telefonnumre, og at Ledger ikke gav kunderne tilstrækkelig advarsel om hændelsen. Kim, der først købte en Ledger hardware wallet omkring 2017, blev senere offer for et Ledger-udgave-svindel.
Den 18. februar 2025 modtog Kim et opkald fra en person, der påstod at repræsentere Coincover, som præsenterede sig som en afdeling inden for Ledger. Kim blev instrueret til at indtaste sin fortrolige adgangssætning for at nulstille enheden, hvilket resulterede i, at kryptoaktiver til en værdi af $1.948.074 blev stjålet.
Yderligere Sikkerhedsproblemer
Ledger-kunder har fortsat været udsat for forsøg på svindel. I februar 2026 sendte svindlere falske Ledger-breve, der dirigerede modtagerne til phishing-websteder. Kims retssag bruger Ledgers tidligere sikkerhedshistorik til at støtte sine påstande om utilstrækkelige sikkerhedsforanstaltninger.
Et brud i 2020 påvirkede mere end 270.000 Ledger-kunder, og dataene blev senere tilgængelige på sorte markedskanaler online. Den nye klage hævder, at Ledger ikke har forbedret sine sikkerhedspraksis tilstrækkeligt efter denne hændelse.
Retssagens Krav
Kim foreslår en landsdækkende klasse, der dækker amerikanske enkeltpersoner, hvis PII, kryptoaktiver, kryptovalutaer eller kryptokredentialer blev kompromitteret som følge af det påståede databrud. Klagen estimerer Kims skader til cirka $2 millioner og hævder, at kollektive klasseskader kunne nå mindst $500 millioner.
Den anmodede lettelse inkluderer faktiske, kompensatoriske, lovbestemte, tredobbelte og straffende skader samt advokatsalærer og omkostninger. Sagsøgeren har krævet en juryretssag.
