Проти компанії Ledger подано пропозицію про колективний позов з вимогою відшкодування щонайменше $500 мільйонів через звинувачення в низькому рівні безпеки та провалах розкриття інформації, пов'язаних з інцидентом у грудні 2023 року, що призвів до крадіжки криптовалюти та інших фінансових втрат у клієнтів.
Позов, поданий Дугласом Кімом до Окружного суду США Південного округу Нью-Йорка 27 серпня, звинувачує виробника апаратних гаманців у нездатності адекватно захистити особисту інформацію, що ідентифікує клієнтів, та дані безпеки криптовалют. Кім подав справу індивідуально та від імені запропонованого загальнонаціонального класу.
Кім стверджує, що Ledger не повідомила належним чином клієнтів після інциденту безпеки у грудні 2023 року та не розкрила повністю його масштаби. У позові зазначається, що хакери пізніше використовували контактну інформацію клієнтів, щоб видавати себе за представників Ledger та отримувати доступ до криптовалютних гаманців і приватних ключів клієнтів.
Позов містить сім причин позову, включаючи претензії згідно з розділами 349 і 350 Закону Нью-Йорка про загальну ділову діяльність, недбалість, недбале введення в оману, обіцянкове зобов'язання (promissory estoppel) та порушення прихованої обіцянки добросовісності та чесної співпраці.
Інцидент у грудні 2023 року стосувався Ledger Connect Kit, програмної бібліотеки, що використовується для підключення апаратних гаманців до веб-сайтів і децентралізованих додатків.
У позові йдеться, що зловмисники отримали доступ до облікового запису NPMJS колишнього співробітника Ledger через фішингову атаку. Згідно з поданими документами, Ledger не змогла належним чином відкликати доступ колишнього співробітника після припинення його роботи.
Ledger визнала збій у контролі доступу на той час, заявивши, що доступ колишнього співробітника до NPMJS не був належним чином відкликаний.
Отримавши доступ до облікового запису, зловмисники завантажили шкідливу версію Ledger Connect Kit, яка могла перенаправляти транзакції на контрольовані ними адреси, спонукаючи користувачів схвалювати шкідливі транзакції. Ledger публічно визнала, що шкідливе програмне забезпечення може обманом змусити користувачів підписувати транзакції, що спустошують їхні гаманці.
crypto.news раніше повідомляв, що колишній співробітник Ledger став жертвою фішингу, перш ніж зловмисник використав скомпрометований доступ для публікації шкідливого коду. Генеральний директор Ledger Паскаль Готьє заявив тоді, що інцидент був ізольований для сторонніх додатків, і що апаратні гаманці Ledger залишилися незачепленими.
Оцінки того часу показували, що втрати від експлойту Connect Kit становили приблизно від $480 000 до $600 000. Пізніше Ledger заявила, що відшкодує кошти постраждалим користувачам і оголосила про плани поетапного відмови від "сліпого підписання" (blind signing) для децентралізованих додатків віртуальної машини Ethereum.
Новий позов виходить за рамки втрат, про які повідомлялося одразу після компрометації Connect Kit. Кім стверджує, що хакери отримали доступ до особистої інформації клієнтів Ledger, включаючи імена, адреси електронної пошти та номери телефонів, і використали її, а також що Ledger не надала клієнтам достатнього попередження про інцидент.
Кім, який вперше придбав апаратний гаманець Ledger близько 2017 року та купив Nano X у Нью-Йорку у 2021 році, каже, що пізніше став жертвою схеми імітації Ledger.
18 лютого 2025 року Кіму зателефонувала особа, яка стверджувала, що представляє Coincover, яку абонент представив як відділ компанії Ledger, згідно з позовом. Абонент нібито повідомив Кіму, що хтось у Нідерландах намагався зареєструватися в Ledger Recover, використовуючи його інформацію, і що його криптоактиви можуть бути під загрозою.
Потім з Кімом зв'язалася інша особа, яка видавала себе за іншого представника Ledger, і попросила його перевірити свою електронну пошту як доказ легітимності абонента.
Кім отримав, як здавалося, електронний лист від Ledger, йдеться у заяві. У позові стверджується, ґрунтуючись на інформації та вірі, що зловмисники використали контактну інформацію клієнтів, отриману в результаті інциденту в грудні 2023 року, щоб ідентифікувати його як клієнта Ledger та запустити відправку електронного листа. Кім залишив за собою право змінити це твердження після отримання судових даних Ledger щодо витоків та записів про реагування на інциденти через процедуру відкриття доказів (discovery).
Нібито представник скерував Кіма на веб-сайт, оформлений як сервіси Ledger, та наказав йому ввести конфіденційну фразу для відновлення доступу до пристрою, згідно з позовом. Кім виконав це та отримав те, що він вважав новою фразою.
Через два дні Кім перевірив свої активи і виявив, що криптовалютні активи вартістю $1 948 074 були викрадені, стверджується в позові. Він не повернув жодного з цих активів.
Клієнти Ledger продовжують стикатися зі спробами імітації. У лютому 2026 року шахраї розіслали фальшиві листи від Ledger, спрямовуючи одержувачів на фішингові веб-сайти, розроблені для збору фраз відновлення гаманців.
Подібні атаки фізичною поштою були зафіксовані у квітні 2025 року, коли шахраї, як повідомляється, використовували дані, витік яких стався у 2020 році, щоб розсилати листи під брендом Ledger, що містили QR-коди, які направляли клієнтів на веб-сайти, що запитували їхні фрази відновлення.
Позов Кіма використовує попередню історію безпеки Ledger для обґрунтування своїх звинувачень у неадекватних заходах захисту.
Згідно з позовом, витік даних у 2020 році торкнувся понад 270 000 клієнтів Ledger, розкривши інформацію, яка включала імена, фізичні адреси та номери телефонів. Пізніше ці дані стали доступними на чорних ринках в Інтернеті. Судовий процес щодо цього витоку був окремо порушений у Північному окрузі Каліфорнії.
Новий позов стверджує, що Ledger не змогла достатньо покращити свої практики безпеки після цього інциденту та звинувачує компанію в применшенні як попереднього витоку, так і інциденту у грудні 2023 року.
Кім стверджує, що запевнення Ledger щодо безпеки були особливо важливими, оскільки компанія вимагає від клієнтів надавати інформацію при покупці її продуктів. У позові серед даних клієнтів, зібраних Ledger, перелічені імена, адреси електронної пошти, адреси доставки, номери телефонів, платіжні дані, інформація про продукт та суми замовлень.
Ledger рекламувала заходи безпеки, включаючи шифрування, навчання співробітників, автентифікацію на основі ролей, двофакторну автентифікацію, безперервний моніторинг системи та незалежне тестування безпеки, згідно з заявами, відтвореними в позові.
У позові стверджується, що ці заяви були оманливими, оскільки Ledger не впровадила адекватних заходів для захисту інформації клієнтів та недостатньо врахувала передбачувані ризики після попередніх інцидентів кібербезпеки.
Питання безпеки щодо Ledger знову виникли в серпні, коли компанія заявила, що помилка підписання Ethereum була виправлена, перш ніж інша компанія з безпеки публічно розкрила цю проблему. Технічний директор Ledger Чарльз Гільєме заявив, що користувачі, які використовують оновлене програмне забезпечення та додатки, були захищені, тоді як на той час не було зареєстровано жодних незалежно підтверджених крадіжок, пов'язаних з цією конкретною вразливістю.
Через кілька днів Ledger відхилила заяви про хакерську атаку після того, як команда безпеки OneKey відтворила недолік підміни транзакції, використовуючи застарілу версію програми Ethereum від Ledger. Ledger заявила, що захист вже був доданий у новішій версії програми.
Кім пропонує загальнонаціональний клас, що охоплює громадян США, чиї особисті дані (PII), криптоактиви, криптовалюти або криптографічні облікові дані були скомпрометовані в результаті ймовірного витоку даних, і які зазнали фінансових втрат, несанкціонованих транзакцій або витрат на пом'якшення наслідків крадіжки особистих даних. У позові зазначено, що запропонований клас може налічувати тисячі осіб.
Окремий підклас у Нью-Йорку охоплюватиме кваліфікованих клієнтів, чиї транзакції з Ledger, включаючи придбання продуктів або послуг чи створення облікових записів Ledger, відбувалися в Нью-Йорку.
Позов оцінює збитки Кіма приблизно в $2 мільйони та стверджує, що загальні збитки класу можуть сягнути щонайменше $500 мільйонів, потенційно доходячи до мільярдів доларів залежно від кількості постраждалих клієнтів та розміру індивідуальних втрат. Ці цифри є оцінками, висунутими позивачем, і не були встановлені судом.
У заяві Кіма вимагається декларація про те, що Ledger порушила Закон SHIELD Нью-Йорка та розділи 349 і 350 Закону про загальну ділову діяльність, а також висновки про недбалість та недбале введення в оману. Запитана допомога включає фактичні, компенсаційні, статутні, потрійні та штрафні збитки, а також гонорари адвокатів та судові витрати.
Позивач вимагає розгляду справи судом присяжних.
ETH
