Fazer loginRegistrar-se
Depositar
Conectar
Transferência
A Ledger foi alvo de uma ação coletiva proposta que busca pelo menos US$ 500 milhões sob alegações de que falhas de segurança e divulgação, relacionadas a um incidente de dezembro de 2023, expuseram clientes a roubo de criptomoedas e outras perdas financeiras.
A queixa, apresentada por Douglas Kim no Tribunal Distrital dos EUA para o Distrito Sul de Nova York em 27 de agosto, acusa o fabricante de carteiras de hardware de não proteger adequadamente as informações de identificação pessoal (PII) dos clientes e os dados de segurança de criptomoedas. Kim moveu a ação individualmente e em nome de uma classe proposta a nível nacional.
Kim alega que a Ledger não notificou adequadamente os clientes após o incidente de segurança de dezembro de 2023 e não divulgou completamente seu alcance. O processo alega que hackers usaram posteriormente informações de contato de clientes para se passar por representantes da Ledger e obter acesso às carteiras de criptomoedas e chaves privadas dos clientes.
A queixa apresenta sete causas de ação, incluindo reivindicações sob as Seções 349 e 350 da Lei Geral de Negócios de Nova York, negligência, deturpação negligente, estoppel promissório e violação do pacto implícito de boa-fé e tratamento justo.
O incidente de dezembro de 2023 envolveu o Ledger Connect Kit, uma biblioteca de software usada para conectar carteiras de hardware a sites e aplicativos descentralizados.
A queixa afirma que os invasores obtiveram acesso à conta NPMJS de um ex-funcionário da Ledger por meio de um ataque de phishing. A Ledger não havia revogado adequadamente o acesso do ex-funcionário após o término de seu vínculo empregatício, de acordo com o documento.
A Ledger reconheceu a falha de controle de acesso na época, afirmando que o acesso NPMJS do ex-funcionário não havia sido revogado adequadamente.
Uma vez dentro da conta, os invasores carregaram uma versão maliciosa do Ledger Connect Kit que poderia redirecionar transações para endereços que eles controlavam, induzindo os usuários a aprovar transações maliciosas. A Ledger reconheceu publicamente que o software malicioso poderia enganar os usuários para que assinassem transações que esvaziariam suas carteiras.
O crypto.news relatou anteriormente que um ex-funcionário da Ledger foi vítima de phishing antes que um invasor usasse o acesso comprometido para publicar código malicioso. O CEO da Ledger, Pascal Gauthier, disse na época que o incidente estava isolado a aplicativos de terceiros e que as carteiras de hardware da Ledger permaneceram não afetadas.
As estimativas na época apontaram perdas do exploit do Connect Kit entre aproximadamente US$ 480.000 e US$ 600.000. A Ledger disse mais tarde que reembolsaria os usuários afetados e anunciou planos para eliminar gradualmente o blind signing para aplicativos descentralizados da máquina virtual Ethereum.
O novo processo vai além das perdas relatadas imediatamente após o comprometimento do Connect Kit. Kim alega que hackers acessaram e usaram PII de clientes da Ledger, incluindo nomes, endereços de e-mail e números de telefone, e que a Ledger não forneceu aos clientes aviso suficiente sobre o incidente.
Kim, que comprou sua primeira carteira de hardware Ledger por volta de 2017 e adquiriu uma Nano X na cidade de Nova York em 2021, afirma que mais tarde se tornou vítima de um esquema de impersonificação da Ledger.
Em 18 de fevereiro de 2025, Kim recebeu uma ligação de alguém que afirmava representar a Coincover, que o chamador apresentou como um departamento dentro da Ledger, de acordo com a queixa. O chamador supostamente disse a Kim que alguém na Holanda havia tentado se registrar no Ledger Recover usando suas informações e que seus criptoativos poderiam estar em risco.
Uma segunda pessoa então contatou Kim, passando-se por outro representante da Ledger, e pediu-lhe para verificar seu e-mail como prova de que o chamador era legítimo.
Kim recebeu o que parecia ser um e-mail da Ledger, diz o documento. A queixa alega, com base em informações e crenças, que os atacantes usaram informações de contato de clientes originárias do incidente de dezembro de 2023 para identificá-lo como um cliente da Ledger e acionar o e-mail. Kim reservou o direito de emendar essa alegação após obter os registros forenses da violação e de resposta a incidentes da Ledger por meio de descoberta.
O suposto representante direcionou Kim para um site projetado para se assemelhar aos serviços da Ledger e o instruiu a inserir sua passphrase confidencial para redefinir o dispositivo, de acordo com o processo. Kim obedeceu e recebeu o que ele acreditava ser uma passphrase de substituição.
Dois dias depois, Kim verificou suas participações e descobriu que criptoativos avaliados em US$ 1.948.074 haviam sido roubados, alega a queixa. Ele não recuperou nenhum desses ativos.
Os clientes da Ledger continuaram a enfrentar tentativas de impersonificação. Em fevereiro de 2026, golpistas enviaram cartas falsas da Ledger direcionando os destinatários a sites de phishing projetados para coletar frases de recuperação de carteira.
Ataques semelhantes por correio físico foram relatados em abril de 2025, quando golpistas supostamente usaram dados vazados em 2020 para enviar cartas com a marca Ledger contendo códigos QR que direcionavam os clientes a sites que solicitavam suas frases de recuperação.
O processo de Kim usa o histórico de segurança anterior da Ledger para apoiar suas alegações de salvaguardas inadequadas.
Uma violação em 2020 afetou mais de 270.000 clientes da Ledger, de acordo com a queixa, expondo informações que incluíam nomes, endereços físicos e números de telefone. Os dados mais tarde ficaram disponíveis em canais do mercado negro online. A litigação sobre essa violação foi separadamente apresentada no Distrito Norte da Califórnia.
A nova queixa alega que a Ledger não melhorou suficientemente suas práticas de segurança após esse incidente e acusa a empresa de minimizar tanto a violação anterior quanto o incidente de dezembro de 2023.
Kim argumenta que as representações de segurança da Ledger eram particularmente importantes porque a empresa exige que os clientes forneçam informações ao comprar seus produtos. A queixa lista nomes, endereços de e-mail, endereços de entrega, números de telefone, detalhes de pagamento, informações de produtos e valores de pedidos entre os dados de clientes coletados pela Ledger.
A Ledger anunciou medidas de segurança incluindo criptografia, treinamento de funcionários, autenticação baseada em função, autenticação de dois fatores, monitoramento contínuo de sistemas e testes de segurança independentes, de acordo com declarações reproduzidas na queixa.
O processo alega que essas representações eram enganosas porque a Ledger não implementou medidas adequadas para proteger as informações dos clientes e não abordou suficientemente os riscos previsíveis após incidentes de cibersegurança anteriores.
Questões de segurança em torno da Ledger ressurgiram em agosto, quando a empresa disse que uma falha de assinatura do Ethereum foi corrigida antes que outra empresa de segurança divulgasse publicamente o problema. O CTO da Ledger, Charles Guillemet, disse que os usuários que executam firmware e aplicativos atualizados estavam protegidos, enquanto nenhum roubo verificado independentemente ligado a essa vulnerabilidade específica havia sido relatado na época.
Dias depois, a Ledger rejeitou alegações de que foi hackeada depois que a equipe de segurança da OneKey reproduziu uma falha de substituição de transação usando uma versão desatualizada do aplicativo Ethereum da Ledger. A Ledger disse que proteções já haviam sido adicionadas em uma versão mais recente do aplicativo.
Kim propõe uma classe nacional abrangendo indivíduos dos EUA cujas PII, criptoativos, criptomoedas ou credenciais de cripto foram comprometidas como resultado da suposta violação de dados e que sofreram perdas financeiras, transações não autorizadas ou custos de mitigação de roubo de identidade. A queixa afirma que a classe proposta pode somar milhares.
Uma subclasse separada em Nova York cobriria clientes qualificados cujas transações com a Ledger, incluindo compras de produtos ou serviços ou a criação de contas Ledger, ocorreram em Nova York.
A queixa estima os danos de Kim em aproximadamente US$ 2 milhões e alega que os danos coletivos da classe poderiam atingir pelo menos US$ 500 milhões, podendo chegar a bilhões de dólares dependendo do número de clientes afetados e do tamanho das perdas individuais. Esses valores são estimativas apresentadas pelo autor e não foram estabelecidos pelo tribunal.
A petição de Kim busca declarações de que a Ledger violou a Lei SHIELD de Nova York e as Seções 349 e 350 da Lei Geral de Negócios, juntamente com constatações de negligência e deturpação negligente. O recurso solicitado inclui danos reais, compensatórios, estatutários, triplos e punitivos, bem como honorários advocatícios e custas judiciais.
O autor exigiu um julgamento com júri.
ETH