تعرضت Ledger لدعوى جماعية مقترحة تطالب بما لا يقل عن 500 مليون دولار بسبب مزاعم بأن ضعف الأمان وإخفاقات الكشف المرتبطة بحادث وقع في ديسمبر 2023 عرّض العملاء لسرقة العملات المشفرة وخسائر مالية أخرى.

تتهم الشكوى، التي قدمها دوغلاس كيم في المحكمة الجزئية الأمريكية للمنطقة الجنوبية من نيويورك في 27 أغسطس، صانع محفظة الأجهزة بالفشل في حماية معلومات التعريف الشخصية للعملاء وبيانات أمان العملات المشفرة بشكل كافٍ. رفع كيم القضية فرديًا ونيابة عن فئة وطنية مقترحة.

يزعم كيم أن Ledger فشلت في إخطار العملاء بشكل صحيح بعد حادثة الأمان التي وقعت في ديسمبر 2023 ولم تكشف عن نطاقها الكامل. تدعي الدعوى أن المتسللين استخدموا لاحقًا معلومات الاتصال الخاصة بالعملاء لانتحال صفة ممثلي Ledger والوصول إلى محافظ العملات المشفرة والمفاتيح الخاصة للعملاء.

تتضمن الشكوى سبعة أسباب للدعوى، بما في ذلك مطالبات بموجب المادتين 349 و 350 من قانون الأعمال العام لنيويورك، والإهمال، والتحريف بالإهمال، والإغلاق الوعودي (promissory estoppel)، وانتهاك العهد الضمني لحسن النية والتعامل العادل.

دعوى Ledger القضائية تتمحور حول حادثة أمان ديسمبر 2023

شمل حادث ديسمبر 2023 مجموعة أدوات Ledger Connect Kit، وهي مكتبة برمجية تُستخدم لربط محافظ الأجهزة بالمواقع الإلكترونية والتطبيقات اللامركزية.

تذكر الشكوى أن المهاجمين تمكنوا من الوصول إلى حساب NPMJS لموظف سابق في Ledger من خلال هجوم تصيد احتيالي. وفقًا للإيداع، فشلت Ledger في إلغاء صلاحيات وصول الموظف السابق بشكل صحيح بعد انتهاء خدمته.

أقرت Ledger بفشل التحكم في الوصول في ذلك الوقت، مشيرة إلى أن وصول الموظف السابق إلى NPMJS لم يتم إلغاؤه بشكل صحيح.

بمجرد الدخول إلى الحساب، قام المهاجمون بتحميل نسخة خبيثة من Ledger Connect Kit يمكنها إعادة توجيه المعاملات إلى عناوين يسيطرون عليها عن طريق إغراء المستخدمين بالموافقة على معاملات خبيثة. أقرت Ledger علنًا بأن البرنامج الخبيث يمكن أن يخدع المستخدمين لتوقيع معاملات تستنزف محافظهم.

ذكر موقع crypto.news سابقًا أن موظفًا سابقًا في Ledger تعرض لهجوم تصيد احتيالي قبل أن يستخدم المهاجم الوصول المخترق لنشر تعليمات برمجية خبيثة. قال باسكال جوتييه، الرئيس التنفيذي لـ Ledger، في ذلك الوقت إن الحادث اقتصر على تطبيقات الطرف الثالث وأن محافظ أجهزة Ledger لم تتأثر.

قدرت التقديرات في ذلك الوقت الخسائر الناجمة عن استغلال Connect Kit بما يتراوح بين 480 ألف دولار و600 ألف دولار. صرحت Ledger لاحقًا أنها ستعوض المستخدمين المتأثرين وأعلنت عن خطط للتخلص التدريجي من التوقيع الأعمى (blind signing) لتطبيقات الإيثيريوم اللامركزية التي تعمل على الجهاز الافتراضي.

تتجاوز الدعوى القضائية الجديدة الخسائر المبلغ عنها فورًا بعد اختراق Connect Kit. يزعم كيم أن المتسللين وصلوا واستخدموا معلومات التعريف الشخصية (PII) لعملاء Ledger، بما في ذلك الأسماء وعناوين البريد الإلكتروني وأرقام الهواتف، وأن Ledger فشلت في تزويد العملاء بتحذير كافٍ بشأن الحادث.

المدعي يقول إن المحتالين سرقوا ما يقرب من 1.95 مليون دولار من العملات المشفرة

يقول كيم، الذي اشترى محفظة أجهزة Ledger لأول مرة حوالي عام 2017 واشترى Nano X في مدينة نيويورك عام 2021، إنه أصبح لاحقًا ضحية لمخطط انتحال شخصية Ledger.

في 18 فبراير 2025، تلقى كيم مكالمة من شخص يدعي أنه يمثل Coincover، والتي قدمها المتصل كقسم داخل Ledger، وفقًا للشكوى. زعم المتصل أنه أبلغ كيم أن شخصًا في هولندا حاول التسجيل في Ledger Recover باستخدام معلوماته وأن أصوله المشفرة قد تكون معرضة للخطر.

ثم اتصل شخص ثانٍ بكيم بينما كان يتظاهر بأنه ممثل آخر لـ Ledger وطلب منه التحقق من بريده الإلكتروني كدليل على أن المتصل كان شرعيًا.

تلقى كيم ما بدا أنه بريد إلكتروني من Ledger، كما جاء في الإيداع. تزعم الشكوى، بناءً على المعلومات والاعتقاد، أن المهاجمين استخدموا معلومات الاتصال الخاصة بالعملاء التي نشأت عن حادث ديسمبر 2023 لتحديده كعميل لـ Ledger وتفعيل البريد الإلكتروني. احتفظ كيم بالحق في تعديل هذا الادعاء بعد الحصول على سجلات Ledger الخاصة بتحليل الاختراق والاستجابة للحوادث من خلال الكشف.

وجه الممثل المزعوم كيم إلى موقع ويب مصمم ليشبه خدمات Ledger وأمره بإدخال عبارة المرور السرية الخاصة به لإعادة ضبط الجهاز، وفقًا للدعوى القضائية. امتثل كيم وحصل على ما يعتقد أنه عبارة مرور بديلة.

بعد يومين، فحص كيم ممتلكاته واكتشف أن أصولًا مشفرة بقيمة 1,948,074 دولارًا قد سُرقت، وفقًا للشكوى. لم يسترد أيًا من تلك الأصول.

استمر عملاء Ledger في مواجهة محاولات انتحال الشخصية. في فبراير 2026، أرسل المحتالون رسائل مزورة تحمل علامة Ledger التجارية لتوجيه المستلمين إلى مواقع تصيد احتيالي مصممة لجمع عبارات استعادة المحفظة.

تم الإبلاغ عن هجمات بريدية مادية مماثلة في أبريل 2025، حيث يُزعم أن المحتالين استخدموا بيانات مسربة في عام 2020 لإرسال رسائل تحمل علامة Ledger التجارية تحتوي على رموز QR توجه العملاء إلى مواقع ويب تطلب منهم عبارات الاستعادة الخاصة بهم.

الشكوى تشير إلى اختراق بيانات Ledger عام 2020

تستخدم دعوى كيم القضائية تاريخ Ledger الأمني السابق لدعم مزاعمها بوجود ضمانات غير كافية.

أثر اختراق عام 2020 على أكثر من 270 ألف عميل لـ Ledger، وفقًا للشكوى، وكشف معلومات تضمنت الأسماء والعناوين الفعلية وأرقام الهواتف. أصبحت البيانات متاحة لاحقًا في أسواق سوداء عبر الإنترنت. رفعت دعوى قضائية منفصلة بشأن هذا الاختراق في المحكمة الجزئية الشمالية بكاليفورنيا.

تزعم الشكوى الجديدة أن Ledger فشلت في تحسين ممارساتها الأمنية بشكل كافٍ بعد تلك الحادثة وتتهم الشركة بالتقليل من شأن كل من الاختراق السابق وحادثة ديسمبر 2023.

يجادل كيم بأن تصريحات Ledger الأمنية كانت مهمة بشكل خاص لأن الشركة تطلب من العملاء تقديم معلومات عند شراء منتجاتها. تسرد الشكوى الأسماء وعناوين البريد الإلكتروني وعناوين التسليم وأرقام الهواتف وتفاصيل الدفع ومعلومات المنتج ومبالغ الطلبات ضمن بيانات العملاء التي تجمعها Ledger.

لقد أعلنت Ledger عن إجراءات أمنية تشمل التشفير، تدريب الموظفين، المصادقة المستندة إلى الأدوار، المصادقة الثنائية، المراقبة المستمرة للنظام والاختبار الأمني المستقل، وفقًا للبيانات المستنسخة في الشكوى.

تزعم الدعوى أن تلك التصريحات كانت خادعة لأن Ledger فشلت في تنفيذ تدابير كافية لحماية معلومات العملاء ولم تعالج بشكل كافٍ المخاطر المتوقعة بعد حوادث الأمن السيبراني السابقة.

ظهرت تساؤلات أمنية حول Ledger مجددًا في أغسطس عندما قالت الشركة إن عيبًا في توقيع الإيثيريوم قد تم إصلاحه قبل أن تكشف شركة أمنية أخرى عن المشكلة علنًا. قال تشارلز جيليميه، المدير الفني لـ Ledger، إن المستخدمين الذين يقومون بتشغيل البرامج الثابتة والتطبيقات المحدثة كانوا محميين، بينما لم يتم الإبلاغ عن أي سرقات تم التحقق منها بشكل مستقل مرتبطة بهذه الثغرة الأمنية المحددة في ذلك الوقت.

بعد أيام، رفضت Ledger الادعاءات بأنها تعرضت للاختراق بعد أن أعاد فريق أمان OneKey إنتاج عيب في استبدال المعاملات باستخدام إصدار قديم من تطبيق Ledger الخاص بالإيثيريوم. قالت Ledger إن الحماية قد أضيفت بالفعل في إصدار أحدث من التطبيق.

الدعوى الجماعية تطالب بما لا يقل عن 500 مليون دولار

يقترح كيم فئة وطنية تغطي الأفراد الأمريكيين الذين تعرضت معلوماتهم الشخصية (PII)، أو أصولهم المشفرة، أو عملاتهم المشفرة، أو بيانات اعتماد العملات المشفرة الخاصة بهم للاختراق نتيجة للاختراق المزعوم للبيانات، والذين عانوا من خسائر مالية، أو معاملات غير مصرح بها، أو تكاليف تخفيف سرقة الهوية. تذكر الشكوى أن الفئة المقترحة يمكن أن يصل عددها إلى الآلاف.

ستغطي فئة فرعية منفصلة في نيويورك العملاء المؤهلين الذين حدثت معاملاتهم مع Ledger، بما في ذلك شراء المنتجات أو الخدمات أو إنشاء حسابات Ledger، في نيويورك.

تقدر الشكوى تعويضات كيم بحوالي 2 مليون دولار وتدعي أن التعويضات الجماعية للفئة يمكن أن تصل إلى 500 مليون دولار على الأقل، وقد تصل إلى مليارات الدولارات اعتمادًا على عدد العملاء المتأثرين وحجم الخسائر الفردية. هذه الأرقام هي تقديرات قدمها المدعي ولم يتم إثباتها من قبل المحكمة.

يسعى إيداع كيم إلى إعلانات بأن Ledger انتهكت قانون SHIELD الخاص بنيويورك والمادتين 349 و 350 من قانون الأعمال العام، بالإضافة إلى نتائج تتعلق بالإهمال والتحريف بالإهمال. يشمل الإغاثة المطلوبة تعويضات فعلية، وتعويضية، وقانونية، وثلاثية، وعقابية، بالإضافة إلى أتعاب المحاماة والتكاليف.

طالب المدعي بمحاكمة أمام هيئة محلفين.