Ang Ledger ay nahaharap sa isang iminungkahing class action na humihingi ng hindi bababa sa $500 milyon dahil sa mga alegasyon ng mahinang seguridad at mga kabiguan sa pagbubunyag na may kaugnayan sa isang insidente noong Disyembre 2023 na naglantad sa mga customer sa pagnanakaw ng cryptocurrency at iba pang pagkalugi sa pananalapi.
Ang reklamo, na inihain ni Douglas Kim sa U.S. District Court para sa Southern District ng New York noong Agosto 27, ay nag-aakusa sa tagagawa ng hardware wallet ng pagkabigo na sapat na protektahan ang personal na makikilalang impormasyon ng customer at data ng seguridad ng cryptocurrency. Iniharap ni Kim ang kaso nang indibidwal at sa ngalan ng isang iminungkahing pambansang grupo ng mga nagdemanda.
Inaakusahan ni Kim na nabigo ang Ledger na maayos na abisuhan ang mga customer pagkatapos ng insidente sa seguridad noong Disyembre 2023 at hindi ganap na ibinunyag ang saklaw nito. Sinasabi ng kaso na ginamit ng mga hacker ang impormasyon ng contact ng customer upang magpanggap na mga kinatawan ng Ledger at magkaroon ng access sa mga cryptocurrency wallet at pribadong susi ng mga customer.
Nagtatampok ang reklamo ng pitong dahilan ng pagdemanda, kabilang ang mga claim sa ilalim ng New York General Business Law Seksyon 349 at 350, kapabayaan, kapabayaan sa maling paglalahad, promissory estoppel at paglabag sa ipinahiwatig na kasunduan ng mabuting hangarin at patas na pakikitungo.
Ang insidente noong Disyembre 2023 ay kinasasangkutan ng Ledger Connect Kit, isang software library na ginagamit upang ikonekta ang mga hardware wallet sa mga website at decentralized na aplikasyon.
Sinasabi ng reklamo na nakakuha ng access ang mga attacker sa NPMJS account ng isang dating empleyado ng Ledger sa pamamagitan ng isang phishing attack. Nabigo ang Ledger na maayos na bawiin ang access ng dating empleyado pagkatapos ng kanilang pagtatapos ng trabaho, ayon sa paghaharap.
Kinilala ng Ledger ang kabiguan sa kontrol ng access noong panahong iyon, na nagsasaad na hindi naayos na nabawi ang NPMJS access ng dating empleyado.
Nang makapasok sa account, in-upload ng mga attacker ang isang malisyosong bersyon ng Ledger Connect Kit na maaaring mag-redirect ng mga transaksyon sa mga address na kinokontrol nila sa pamamagitan ng pag-udyok sa mga user na aprubahan ang malisyosong transaksyon. Pampublikong kinilala ng Ledger na ang malisyosong software ay maaaring linlangin ang mga user na pumirma sa mga transaksyon na nag-ubos ng kanilang mga wallet.
crypto.news dati nang nag-ulat na isang dating empleyado ng Ledger ang na-phish bago ginamit ng isang attacker ang nakompromisong access upang mag-publish ng malisyosong code. Sinabi ng CEO ng Ledger na si Pascal Gauthier noong panahong iyon na ang insidente ay nakahiwalay lamang sa mga third-party na aplikasyon at na nanatiling hindi apektado ang mga hardware wallet ng Ledger.
Ang mga pagtatantya noong panahong iyon ay naglagay ng mga pagkalugi mula sa Connect Kit exploit sa humigit-kumulang $480,000 hanggang $600,000. Kalaunan ay sinabi ng Ledger na babayaran nito ang mga apektadong user at inihayag ang mga plano na unti-unting alisin ang blind signing para sa mga decentralized na aplikasyon ng Ethereum virtual machine.
Ang bagong kaso ay lumalampas sa mga pagkalugi na iniulat kaagad pagkatapos ng Connect Kit compromise. Inaakusahan ni Kim na na-access at ginamit ng mga hacker ang PII ng customer ng Ledger, kabilang ang mga pangalan, email address at numero ng telepono, at na nabigo ang Ledger na bigyan ang mga customer ng sapat na babala tungkol sa insidente.
Si Kim, na unang bumili ng Ledger hardware wallet noong humigit-kumulang 2017 at bumili ng Nano X sa New York City noong 2021, ay nagsasabing kalaunan ay naging biktima siya ng isang pamamaraan ng pagpapanggap bilang Ledger.
Noong Pebrero 18, 2025, nakatanggap si Kim ng tawag mula sa isang taong nagsasabing kinakatawan ang Coincover, na ipinakilala ng tumatawag bilang isang departamento sa loob ng Ledger, ayon sa reklamo. Diumano’y sinabi ng tumatawag kay Kim na may isang tao sa Netherlands na nagtangkang magrehistro para sa Ledger Recover gamit ang kanyang impormasyon at na maaaring mapanganib ang kanyang mga cryptoasset.
Pagkatapos ay kinontak siya ng pangalawang tao habang nagpapanggap bilang isa pang kinatawan ng Ledger at hiniling sa kanya na suriin ang kanyang email bilang patunay na lehitimo ang tumatawag.
Nakatanggap si Kim ng kung ano ang lumitaw na isang email mula sa Ledger, ayon sa paghaharap. Inaakusahan ng reklamo, batay sa impormasyon at paniniwala, na ginamit ng mga attacker ang impormasyon ng contact ng customer na nagmula sa insidente noong Disyembre 2023 upang tukuyin siya bilang isang customer ng Ledger at i-trigger ang email. Inilaan ni Kim ang karapatan na amyendahan ang alegasyong iyon pagkatapos makuha ang breach forensics at insidente response records ng Ledger sa pamamagitan ng discovery.
Ang diumano’y kinatawan ay nagdirekta kay Kim sa isang website na dinisenyo upang maging katulad ng mga serbisyo ng Ledger at inutusan siyang ipasok ang kanyang kumpidensyal na passphrase upang i-reset ang device, ayon sa kaso. Sumunod si Kim at binigyan ng pinaniniwalaan niyang kapalit na passphrase.
Pagkalipas ng dalawang araw, sinuri ni Kim ang kanyang mga hawak at natuklasan na ang mga cryptoasset na nagkakahalaga ng $1,948,074 ay nanakaw, ayon sa reklamo. Hindi pa niya nababawi ang alinman sa mga asset na iyon.
Patuloy na nahaharap ang mga customer ng Ledger sa mga pagtatangka ng pagpapanggap. Noong Pebrero 2026, nagpadala ang mga scammer ng mga pekeng sulat ng Ledger na nagdidirekta sa mga tatanggap sa mga phishing website na dinisenyo upang kolektahin ang mga wallet recovery phrase.
Katulad na pisikal na pag-atake sa pamamagitan ng koreo ang iniulat noong Abril 2025, nang diumano’y ginamit ng mga scammer ang data na na-leak noong 2020 upang magpadala ng mga sulat na may tatak na Ledger na naglalaman ng mga QR code na nagdidirekta sa mga customer sa mga website na humihingi ng kanilang mga recovery phrase.
Ginagamit ng kaso ni Kim ang naunang kasaysayan ng seguridad ng Ledger upang suportahan ang kanyang mga alegasyon ng hindi sapat na proteksyon.
Isang paglabag noong 2020 ang nakaapekto sa mahigit 270,000 customer ng Ledger, ayon sa reklamo, na naglantad ng impormasyon na kinabibilangan ng mga pangalan, pisikal na address at numero ng telepono. Ang data ay kalaunan ay naging available sa mga channel ng black market online. Ang pagsasakdal tungkol sa paglabag na iyon ay hiwalay na iniharap sa Northern District ng California.
Inaakusahan ng bagong reklamo na nabigo ang Ledger na sapat na pagbutihin ang mga kasanayan nito sa seguridad kasunod ng insidenteng iyon at inakusahan ang kumpanya ng pagmaliit sa naunang paglabag at sa insidente noong Disyembre 2023.
Ipinangangatwiran ni Kim na napakahalaga ng mga representasyon ng seguridad ng Ledger dahil hinihingi ng kumpanya ang mga customer na magbigay ng impormasyon kapag bumibili ng mga produkto nito. Inilista ng reklamo ang mga pangalan, email address, delivery address, numero ng telepono, detalye ng pagbabayad, impormasyon ng produkto at halaga ng order sa mga data ng customer na kinokolekta ng Ledger.
Nag-anunsyo ang Ledger ng mga panukalang seguridad kabilang ang encryption, pagsasanay ng empleyado, role-based authentication, two-factor authentication, patuloy na pagsubaybay sa sistema at independiyenteng pagsubok sa seguridad, ayon sa mga pahayag na kinopya sa reklamo.
Inaakusahan ng kaso na ang mga representasyong iyon ay nakakapanlinlang dahil nabigo ang Ledger na magpatupad ng sapat na mga panukala upang protektahan ang impormasyon ng customer at hindi sapat na tinugunan ang inaasahang mga panganib pagkatapos ng naunang mga insidente sa cybersecurity.
Muling lumabas ang mga katanungan sa seguridad tungkol sa Ledger noong Agosto nang sabihin ng kumpanya na naayos na ang isang depekto sa pag-sign ng Ethereum bago ibinunyag sa publiko ng isa pang kumpanya ng seguridad ang isyu. Sinabi ng CTO ng Ledger na si Charles Guillemet na protektado ang mga user na nagpapatakbo ng updated firmware at aplikasyon, habang walang independiyenteng napatunayang mga pagnanakaw na may kaugnayan sa partikular na kahinaan na iyon ang naiulat noong panahong iyon.
Pagkalipas ng ilang araw, tinanggihan ng Ledger ang mga claim na ito ay na-hack pagkatapos na muling nilikha ng security team ng OneKey ang isang depekto sa pagpapalit ng transaksyon gamit ang isang lumang bersyon ng Ethereum application ng Ledger. Sinabi ng Ledger na naidagdag na ang mga proteksyon sa isang mas bagong bersyon ng aplikasyon.
Iminumungkahi ni Kim ang isang pambansang grupo ng mga nagdemanda na sumasaklaw sa mga indibidwal sa U.S. na ang PII, cryptoasset, cryptocurrency o crypto credentials ay nakompromiso bilang resulta ng diumano’y paglabag sa data at nagdusa ng mga pinansyal na pagkalugi, hindi awtorisadong transaksyon o gastos sa pagpapagaan ng pagnanakaw ng identidad. Sinasabi ng reklamo na maaaring umabot sa libu-libo ang iminungkahing klase.
Ang isang hiwalay na subclass sa New York ay sasakop sa mga kwalipikadong customer na ang mga transaksyon sa Ledger, kabilang ang mga pagbili ng produkto o serbisyo o ang paglikha ng mga Ledger account, ay naganap sa New York.
Tinataya ng reklamo ang mga danyos ni Kim sa humigit-kumulang $2 milyon at sinasabing maaaring umabot sa hindi bababa sa $500 milyon ang kolektibong danyos ng klase, na posibleng umabot sa bilyun-bilyong dolyar depende sa bilang ng mga apektadong customer at sa laki ng mga indibidwal na pagkalugi. Ang mga pigurang iyon ay mga pagtatantya na iniharap ng nagdemanda at hindi pa naitatatag ng korte.
Ang paghaharap ni Kim ay humihingi ng mga deklarasyon na nilabag ng Ledger ang SHIELD Act ng New York at Seksyon 349 at 350 ng General Business Law, kasama ang mga natuklasan ng kapabayaan at kapabayaan sa maling paglalahad. Kasama sa hinihinging remedyo ang aktwal, kompensatoryo, ayon sa batas, treble at pampaparusa na mga danyos, gayundin ang mga bayarin at gastos ng abogado.
Humiling ang nagdemanda ng paglilitis ng hurado.
ETH