दिसंबर 2023 की एक घटना से जुड़ी खराब सुरक्षा और जानकारी उजागर करने में विफलता के आरोपों को लेकर लेजर (Ledger) पर कम से कम 500 मिलियन डॉलर के प्रस्तावित वर्ग-कार्रवाई मुकदमे (class action lawsuit) का सामना करना पड़ रहा है, जिसने ग्राहकों को क्रिप्टोकरेंसी चोरी और अन्य वित्तीय नुकसान का शिकार बनाया।

27 अगस्त को न्यूयॉर्क के दक्षिणी जिले के अमेरिकी जिला न्यायालय में डगलस किम द्वारा दायर शिकायत में हार्डवेयर वॉलेट निर्माता पर ग्राहक की व्यक्तिगत पहचान योग्य जानकारी और क्रिप्टोकरेंसी सुरक्षा डेटा की पर्याप्त सुरक्षा करने में विफल रहने का आरोप लगाया गया है। किम ने यह मामला व्यक्तिगत रूप से और प्रस्तावित राष्ट्रव्यापी वर्ग की ओर से दायर किया है।

किम का आरोप है कि लेजर दिसंबर 2023 की सुरक्षा घटना के बाद ग्राहकों को ठीक से सूचित करने में विफल रहा और उसने इसके दायरे का पूरी तरह से खुलासा नहीं किया। मुकदमे में दावा किया गया है कि बाद में हैकर्स ने ग्राहक संपर्क जानकारी का उपयोग करके लेजर प्रतिनिधियों का रूप धारण किया और ग्राहकों के क्रिप्टोकरेंसी वॉलेट और निजी चाबियों तक पहुंच प्राप्त की।

शिकायत में सात प्रकार के आरोप शामिल हैं, जिनमें न्यूयॉर्क के सामान्य व्यापार कानून की धारा 349 और 350 के तहत दावे, लापरवाही, लापरवाही से गलत बयानी, प्रतिज्ञा विबंधन (promissory estoppel) और सद्भावना व निष्पक्ष व्यवहार के निहित अनुबंध का उल्लंघन शामिल है।

लेजर का मुकदमा दिसंबर 2023 की सुरक्षा घटना पर केंद्रित

दिसंबर 2023 की घटना में लेजर कनेक्ट किट (Ledger Connect Kit) शामिल थी, जो एक सॉफ्टवेयर लाइब्रेरी है जिसका उपयोग हार्डवेयर वॉलेट्स को वेबसाइटों और विकेन्द्रीकृत एप्लिकेशन्स से जोड़ने के लिए किया जाता है।

शिकायत में कहा गया है कि हमलावरों ने फ़िशिंग हमले के माध्यम से लेजर के एक पूर्व कर्मचारी के NPMJS खाते तक पहुंच प्राप्त की। फाइलिंग के अनुसार, लेजर अपने रोजगार समाप्त होने के बाद पूर्व कर्मचारी की पहुंच को ठीक से रद्द करने में विफल रहा था।

लेजर ने उस समय पहुंच नियंत्रण विफलता को स्वीकार किया था, जिसमें कहा गया था कि पूर्व कर्मचारी की NPMJS पहुंच को ठीक से रद्द नहीं किया गया था।

खाते में घुसने के बाद, हमलावरों ने लेजर कनेक्ट किट का एक दुर्भावनापूर्ण संस्करण अपलोड किया जो उपयोगकर्ताओं को दुर्भावनापूर्ण लेनदेन को मंजूरी देने के लिए प्रेरित करके उनके नियंत्रण वाले पतों पर लेनदेन को रीडायरेक्ट कर सकता था। लेजर ने सार्वजनिक रूप से स्वीकार किया कि दुर्भावनापूर्ण सॉफ्टवेयर उपयोगकर्ताओं को ऐसे लेनदेन पर हस्ताक्षर करने के लिए धोखा दे सकता था जो उनके वॉलेट को खाली कर देते थे।

crypto.news ने पहले रिपोर्ट किया था कि लेजर के एक पूर्व कर्मचारी को फ़िश किया गया था, जिसके बाद एक हमलावर ने समझौता किए गए एक्सेस का उपयोग करके दुर्भावनापूर्ण कोड प्रकाशित किया था। लेजर के सीईओ पास्कल गौथियर ने उस समय कहा था कि यह घटना तीसरे पक्ष के एप्लिकेशन्स तक ही सीमित थी और लेजर हार्डवेयर वॉलेट अप्रभावित रहे।

उस समय कनेक्ट किट एक्सप्लॉइट से हुए नुकसान का अनुमान लगभग $480,000 से $600,000 के बीच था। लेजर ने बाद में कहा कि वह प्रभावित उपयोगकर्ताओं को क्षतिपूर्ति करेगा और एथेरियम वर्चुअल मशीन विकेन्द्रीकृत एप्लिकेशन्स के लिए ब्लाइंड साइनिंग को चरणबद्ध तरीके से समाप्त करने की योजना की घोषणा की।

नया मुकदमा कनेक्ट किट समझौते के तुरंत बाद रिपोर्ट किए गए नुकसान से आगे जाता है। किम का आरोप है कि हैकर्स ने लेजर ग्राहक PII (व्यक्तिगत पहचान योग्य जानकारी), जिसमें नाम, ईमेल पते और फोन नंबर शामिल हैं, तक पहुंच प्राप्त की और उनका उपयोग किया, और लेजर घटना के बारे में ग्राहकों को पर्याप्त चेतावनी प्रदान करने में विफल रहा।

वादी का कहना है कि स्कैमर्स ने लगभग $1.95 मिलियन की क्रिप्टो चुरा ली

किम, जिन्होंने पहली बार 2017 के आसपास एक लेजर हार्डवेयर वॉलेट खरीदा और 2021 में न्यूयॉर्क शहर में एक नैनो एक्स (Nano X) खरीदा, कहते हैं कि वह बाद में एक लेजर प्रतिरूपण योजना का शिकार हुए।

18 फरवरी, 2025 को, किम को एक ऐसे व्यक्ति का फोन आया जिसने खुद को कॉइनकवर (Coincover) का प्रतिनिधि बताया, जिसे फोन करने वाले ने लेजर के भीतर एक विभाग के रूप में प्रस्तुत किया, शिकायत के अनुसार। कॉलर ने कथित तौर पर किम को बताया कि नीदरलैंड में किसी ने उसकी जानकारी का उपयोग करके लेजर रिकवर (Ledger Recover) के लिए पंजीकरण करने का प्रयास किया था और उसकी क्रिप्टो संपत्ति खतरे में हो सकती है।

एक दूसरे व्यक्ति ने फिर किम से संपर्क किया, खुद को एक और लेजर प्रतिनिधि के रूप में प्रस्तुत करते हुए, और उसे यह साबित करने के लिए अपना ईमेल जांचने के लिए कहा कि फोन करने वाला वैध था।

किम को लेजर से एक ईमेल प्राप्त हुआ, जैसा कि फाइलिंग में कहा गया है। शिकायत में, सूचना और विश्वास के आधार पर, आरोप लगाया गया है कि हमलावरों ने दिसंबर 2023 की घटना से उत्पन्न ग्राहक संपर्क जानकारी का उपयोग उसे लेजर ग्राहक के रूप में पहचानने और ईमेल को ट्रिगर करने के लिए किया। किम ने डिस्कवरी के माध्यम से लेजर के उल्लंघन फोरेंसिक और घटना प्रतिक्रिया रिकॉर्ड प्राप्त करने के बाद उस आरोप को संशोधित करने का अधिकार सुरक्षित रखा।

कथित प्रतिनिधि ने किम को एक वेबसाइट पर निर्देशित किया जिसे लेजर की सेवाओं के समान दिखने के लिए डिज़ाइन किया गया था और उसे डिवाइस को रीसेट करने के लिए अपना गोपनीय वाक्यांश दर्ज करने का निर्देश दिया, मुकदमे के अनुसार। किम ने इसका पालन किया और उसे वह दिया गया जिसे वह एक प्रतिस्थापन वाक्यांश मानता था।

दो दिन बाद, किम ने अपनी होल्डिंग्स की जांच की और पाया कि $1,948,074 मूल्य की क्रिप्टो संपत्ति चोरी हो गई थी, शिकायत का आरोप है। उसने उन संपत्तियों में से कोई भी बरामद नहीं किया है।

लेजर के ग्राहकों को प्रतिरूपण के प्रयास लगातार झेलने पड़ रहे हैं। फरवरी 2026 में, स्कैमर्स ने नकली लेजर पत्र भेजे, जिसमें प्राप्तकर्ताओं को फ़िशिंग वेबसाइटों पर निर्देशित किया गया था जो वॉलेट रिकवरी वाक्यांशों को इकट्ठा करने के लिए डिज़ाइन की गई थीं।

इसी तरह के शारीरिक मेल हमलों की रिपोर्ट अप्रैल 2025 में की गई थी, जब स्कैमर्स ने कथित तौर पर 2020 में लीक हुए डेटा का उपयोग करके लेजर ब्रांडेड पत्र भेजे थे, जिनमें QR कोड थे जो ग्राहकों को उन वेबसाइटों पर निर्देशित करते थे जो उनके रिकवरी वाक्यांशों की तलाश में थीं।

शिकायत में लेजर के 2020 डेटा उल्लंघन का उल्लेख

किम का मुकदमा अपर्याप्त सुरक्षा उपायों के अपने आरोपों का समर्थन करने के लिए लेजर के पिछले सुरक्षा इतिहास का उपयोग करता है।

शिकायत के अनुसार, 2020 के उल्लंघन ने 270,000 से अधिक लेजर ग्राहकों को प्रभावित किया, जिससे नाम, भौतिक पते और फोन नंबर जैसी जानकारी उजागर हुई। यह डेटा बाद में ऑनलाइन ब्लैक मार्केट चैनलों पर उपलब्ध हो गया। उस उल्लंघन पर मुकदमा उत्तरी कैलिफोर्निया के जिला न्यायालय में अलग से लाया गया था।

नई शिकायत का आरोप है कि लेजर उस घटना के बाद अपनी सुरक्षा प्रथाओं में पर्याप्त सुधार करने में विफल रहा और कंपनी पर पहले के उल्लंघन और दिसंबर 2023 की घटना दोनों को कम करके आंकने का आरोप लगाता है।

किम का तर्क है कि लेजर की सुरक्षा प्रतिनिधित्व विशेष रूप से महत्वपूर्ण थे क्योंकि कंपनी ग्राहकों को अपने उत्पाद खरीदते समय जानकारी प्रदान करने की आवश्यकता होती है। शिकायत में लेजर द्वारा एकत्र किए गए ग्राहक डेटा में नाम, ईमेल पते, वितरण पते, फोन नंबर, भुगतान विवरण, उत्पाद जानकारी और आदेश राशि सूचीबद्ध हैं।

शिकायत में प्रस्तुत बयानों के अनुसार, लेजर ने एन्क्रिप्शन, कर्मचारी प्रशिक्षण, भूमिका-आधारित प्रमाणीकरण, दो-कारक प्रमाणीकरण, निरंतर सिस्टम निगरानी और स्वतंत्र सुरक्षा परीक्षण सहित सुरक्षा उपायों का विज्ञापन किया है।

मुकदमे का आरोप है कि वे प्रतिनिधित्व भ्रामक थे क्योंकि लेजर ग्राहक जानकारी की सुरक्षा के लिए पर्याप्त उपाय लागू करने में विफल रहा और पिछले साइबर सुरक्षा घटनाओं के बाद अनुमानित जोखिमों को पर्याप्त रूप से संबोधित नहीं किया।

लेजर के आसपास सुरक्षा संबंधी प्रश्न अगस्त में फिर से उठे जब कंपनी ने कहा कि एक एथेरियम हस्ताक्षर दोष को ठीक कर लिया गया था, इससे पहले कि एक अन्य सुरक्षा कंपनी ने सार्वजनिक रूप से इस मुद्दे का खुलासा किया। लेजर के सीटीओ चार्ल्स गिलेमेट ने कहा कि अपडेटेड फर्मवेयर और एप्लिकेशन्स चलाने वाले उपयोगकर्ता सुरक्षित थे, जबकि उस विशिष्ट भेद्यता से जुड़े किसी भी स्वतंत्र रूप से सत्यापित चोरी की उस समय रिपोर्ट नहीं की गई थी।

कुछ दिनों बाद, लेजर ने उन दावों को खारिज कर दिया कि उसे हैक कर लिया गया था, जब वनकी (OneKey) की सुरक्षा टीम ने लेजर के एथेरियम एप्लिकेशन के एक पुराने संस्करण का उपयोग करके एक लेनदेन प्रतिस्थापन दोष को पुन: पेश किया। लेजर ने कहा कि नए एप्लिकेशन संस्करण में सुरक्षा पहले ही जोड़ दी गई थी।

वर्ग-कार्रवाई में कम से कम $500 मिलियन की मांग

किम एक राष्ट्रव्यापी वर्ग का प्रस्ताव करता है जिसमें वे अमेरिकी व्यक्ति शामिल हैं जिनकी PII, क्रिप्टो संपत्ति, क्रिप्टोकरेंसी या क्रिप्टो क्रेडेंशियल कथित डेटा उल्लंघन के परिणामस्वरूप समझौता किए गए थे और जिन्हें वित्तीय नुकसान, अनधिकृत लेनदेन या पहचान चोरी शमन लागत का सामना करना पड़ा। शिकायत में कहा गया है कि प्रस्तावित वर्ग में हजारों की संख्या हो सकती है।

एक अलग न्यूयॉर्क उप-वर्ग में वे योग्य ग्राहक शामिल होंगे जिनके लेजर के साथ लेनदेन, जिसमें उत्पाद या सेवा खरीद या लेजर खातों का निर्माण शामिल है, न्यूयॉर्क में हुए।

शिकायत में किम के नुकसान का अनुमान लगभग $2 मिलियन लगाया गया है और दावा किया गया है कि सामूहिक वर्ग का नुकसान कम से कम $500 मिलियन तक पहुंच सकता है, जो प्रभावित ग्राहकों की संख्या और व्यक्तिगत नुकसान के आकार के आधार पर अरबों डॉलर तक संभावित रूप से पहुंच सकता है। ये आंकड़े वादी द्वारा प्रस्तुत अनुमान हैं और अदालत द्वारा स्थापित नहीं किए गए हैं।

किम की फाइलिंग में घोषणाओं की मांग की गई है कि लेजर ने न्यूयॉर्क के शील्ड एक्ट (SHIELD Act) और सामान्य व्यापार कानून की धारा 349 और 350 का उल्लंघन किया है, साथ ही लापरवाही और लापरवाही से गलत बयानी के निष्कर्षों के साथ। अनुरोधित राहत में वास्तविक, प्रतिपूरक, वैधानिक, तिगुने और दंडात्मक हर्जाने के साथ-साथ अटॉर्नी शुल्क और लागत भी शामिल है।

वादी ने जूरी परीक्षण की मांग की है।