Ledger fait l'objet d'une proposition d'action collective réclamant au moins 500 millions de dollars. Des allégations de sécurité défaillante et de manquements à la divulgation liés à un incident survenu en décembre 2023 auraient exposé les clients à des vols de cryptomonnaies et à d'autres pertes financières.

La plainte, déposée par Douglas Kim auprès du tribunal de district des États-Unis pour le district sud de New York le 27 août, accuse le fabricant de portefeuilles matériels de ne pas avoir protégé adéquatement les informations personnelles identifiables et les données de sécurité de cryptomonnaies de ses clients. Kim a intenté l'action à titre individuel et au nom d'une action collective proposée à l'échelle nationale.

Kim allègue que Ledger n'a pas correctement informé ses clients après l'incident de sécurité de décembre 2023 et n'en a pas divulgué l'étendue complète. Le procès affirme que des pirates informatiques ont ensuite utilisé les informations de contact des clients pour se faire passer pour des représentants de Ledger et obtenir l'accès aux portefeuilles de cryptomonnaies et aux clés privées des clients.

La plainte invoque sept motifs d'action, y compris des allégations en vertu des sections 349 et 350 de la loi générale sur les affaires de New York, de négligence, de fausse déclaration par négligence, d'estoppel promissaire et de violation de l'engagement implicite de bonne foi et de loyauté.

Le procès contre Ledger est axé sur l'incident de sécurité de décembre 2023

L'incident de décembre 2023 impliquait Ledger Connect Kit, une bibliothèque logicielle utilisée pour connecter les portefeuilles matériels aux sites web et aux applications décentralisées.

La plainte indique que des attaquants ont eu accès au compte NPMJS d'un ancien employé de Ledger via une attaque de phishing. Ledger n'aurait pas révoqué correctement l'accès de l'ancien employé après la fin de son emploi, selon le dossier.

Ledger a reconnu à l'époque la défaillance du contrôle d'accès, déclarant que l'accès NPMJS de l'ancien employé n'avait pas été correctement révoqué.

Une fois à l'intérieur du compte, les attaquants ont téléchargé une version malveillante de Ledger Connect Kit qui pouvait rediriger les transactions vers des adresses qu'ils contrôlaient en incitant les utilisateurs à approuver des transactions malveillantes. Ledger a publiquement reconnu que le logiciel malveillant pouvait tromper les utilisateurs et les amener à signer des transactions qui vidaient leurs portefeuilles.

crypto.news avait précédemment rapporté qu'un ancien employé de Ledger avait été victime de phishing avant qu'un attaquant n'utilise l'accès compromis pour publier du code malveillant. Le PDG de Ledger, Pascal Gauthier, avait déclaré à l'époque que l'incident était isolé aux applications tierces et que les portefeuilles matériels Ledger restaient intacts.

Les estimations de l'époque chiffraient les pertes dues à l'exploit de Connect Kit entre environ 480 000 et 600 000 dollars. Ledger a par la suite déclaré qu'elle rembourserait les utilisateurs affectés et a annoncé son intention d'éliminer progressivement la signature aveugle pour les applications décentralisées de machines virtuelles Ethereum.

Le nouveau procès va au-delà des pertes signalées immédiatement après la compromission de Connect Kit. Kim allègue que des pirates ont accédé et utilisé les IPI des clients de Ledger, y compris leurs noms, adresses e-mail et numéros de téléphone, et que Ledger n'a pas fourni aux clients un avertissement suffisant concernant l'incident.

Le plaignant affirme que des escrocs ont volé près de 1,95 million de dollars en cryptomonnaies

Kim, qui a acheté son premier portefeuille matériel Ledger vers 2017 et un Nano X à New York en 2021, affirme avoir ensuite été victime d'un stratagème d'usurpation d'identité Ledger.

Le 18 février 2025, Kim a reçu un appel d'une personne se présentant comme représentant Coincover, que l'appelant a présenté comme un département au sein de Ledger, selon la plainte. L'appelant aurait dit à Kim que quelqu'un aux Pays-Bas avait tenté de s'enregistrer pour Ledger Recover en utilisant ses informations et que ses cryptoactifs pourraient être en danger.

Une deuxième personne a ensuite contacté Kim en se faisant passer pour un autre représentant de Ledger et lui a demandé de vérifier son e-mail comme preuve que l'appelant était légitime.

Kim a reçu ce qui semblait être un e-mail de Ledger, selon le dossier. La plainte allègue, sur la base d'informations et de convictions, que les attaquants ont utilisé des informations de contact client provenant de l'incident de décembre 2023 pour l'identifier comme un client Ledger et déclencher l'e-mail. Kim s'est réservé le droit de modifier cette allégation après avoir obtenu les rapports d'analyse forensique et d'intervention en cas d'incident de Ledger par le biais de la phase de découverte.

Le prétendu représentant a dirigé Kim vers un site web conçu pour ressembler aux services de Ledger et lui a demandé d'entrer sa phrase secrète confidentielle pour réinitialiser l'appareil, selon le procès. Kim s'est conformé et a reçu ce qu'il croyait être une phrase de récupération de remplacement.

Deux jours plus tard, Kim a vérifié ses avoirs et a découvert que des cryptoactifs d'une valeur de 1 948 074 dollars avaient été volés, allègue la plainte. Il n'a récupéré aucun de ces actifs.

Les clients de Ledger ont continué à faire face à des tentatives d'usurpation d'identité. En février 2026, des escrocs ont envoyé de fausses lettres Ledger dirigeant les destinataires vers des sites de phishing conçus pour collecter les phrases de récupération de portefeuille.

Des attaques similaires par courrier physique ont été signalées en avril 2025, lorsque des escrocs auraient utilisé des données divulguées en 2020 pour envoyer des lettres de marque Ledger contenant des codes QR qui dirigeaient les clients vers des sites web demandant leurs phrases de récupération.

La plainte met en évidence la fuite de données de Ledger en 2020

Le procès de Kim utilise l'historique de sécurité antérieur de Ledger pour étayer ses allégations de mesures de protection inadéquates.

Une fuite de données en 2020 a touché plus de 270 000 clients de Ledger, selon la plainte, exposant des informations telles que les noms, adresses physiques et numéros de téléphone. Les données sont ensuite devenues disponibles sur les marchés noirs en ligne. Un litige concernant cette violation a été intenté séparément dans le district nord de la Californie.

La nouvelle plainte allègue que Ledger n'a pas suffisamment amélioré ses pratiques de sécurité après cet incident et accuse la société de minimiser à la fois la précédente fuite de données et l'incident de décembre 2023.

Kim soutient que les représentations de sécurité de Ledger étaient particulièrement importantes car l'entreprise exige des clients qu'ils fournissent des informations lors de l'achat de ses produits. La plainte énumère les noms, adresses e-mail, adresses de livraison, numéros de téléphone, détails de paiement, informations sur les produits et montants des commandes parmi les données client collectées par Ledger.

Ledger a fait la publicité de mesures de sécurité incluant le chiffrement, la formation des employés, l'authentification basée sur les rôles, l'authentification à deux facteurs, la surveillance continue des systèmes et les tests de sécurité indépendants, selon les déclarations reproduites dans la plainte.

Le procès allègue que ces représentations étaient trompeuses car Ledger n'a pas mis en œuvre de mesures adéquates pour protéger les informations client et n'a pas suffisamment traité les risques prévisibles après les incidents de cybersécurité antérieurs.

Les questions de sécurité autour de Ledger ont refait surface en août lorsque l'entreprise a déclaré qu'une faille de signature Ethereum avait été corrigée avant qu'une autre société de sécurité ne divulgue publiquement le problème. Le CTO de Ledger, Charles Guillemet, a déclaré que les utilisateurs exécutant des micrologiciels et des applications mis à jour étaient protégés, et qu'aucun vol vérifié de manière indépendante lié à cette vulnérabilité spécifique n'avait été signalé à l'époque.

Quelques jours plus tard, Ledger a rejeté les affirmations selon lesquelles elle aurait été piratée après que l'équipe de sécurité de OneKey a reproduit une faille de substitution de transaction en utilisant une version obsolète de l'application Ethereum de Ledger. Ledger a déclaré que des protections avaient déjà été ajoutées dans une version plus récente de l'application.

L'action collective réclame au moins 500 millions de dollars

Kim propose une action collective nationale couvrant les personnes physiques américaines dont les IPI, les cryptoactifs, les cryptomonnaies ou les identifiants crypto ont été compromis à la suite de la prétendue fuite de données et qui ont subi des pertes financières, des transactions non autorisées ou des coûts d'atténuation du vol d'identité. La plainte indique que la classe proposée pourrait compter des milliers de personnes.

Une sous-classe distincte pour New York couvrirait les clients éligibles dont les transactions avec Ledger, y compris les achats de produits ou de services ou la création de comptes Ledger, ont eu lieu à New York.

La plainte estime les dommages de Kim à environ 2 millions de dollars et affirme que les dommages collectifs de la classe pourraient atteindre au moins 500 millions de dollars, potentiellement des milliards de dollars selon le nombre de clients affectés et l'ampleur des pertes individuelles. Ces chiffres sont des estimations avancées par le plaignant et n'ont pas été établis par le tribunal.

Le dossier de Kim demande des déclarations selon lesquelles Ledger a violé la loi SHIELD de New York et les sections 349 et 350 de la loi générale sur les affaires, ainsi que des conclusions de négligence et de fausse déclaration par négligence. Les réparations demandées comprennent des dommages-intérêts réels, compensatoires, légaux, triplés et punitifs, ainsi que les honoraires et frais d'avocats.

Le plaignant a demandé un procès devant jury.