Ledger wurde mit einer geplanten Sammelklage konfrontiert, die mindestens 500 Millionen US-Dollar fordert, mit der Behauptung, dass schlechte Sicherheits- und Offenlegungsfehler im Zusammenhang mit einem Vorfall im Dezember 2023 Kunden Kryptowährungsdiebstahl und anderen finanziellen Verlusten ausgesetzt haben.
Zusammenfassung
- Ledger sieht sich einer geplanten Sammelklage gegenüber, die mindestens 500 Millionen US-Dollar fordert, wegen angeblicher Sicherheits- und Offenlegungsfehler im Zusammenhang mit einem Vorfall im Dezember 2023.
- Der Kläger Douglas Kim behauptet, dass Betrüger kompromittierte Kundeninformationen nutzten, um sich als Ledger-Vertreter auszugeben, bevor sie fast 1,95 Millionen US-Dollar in Krypto stahlen.
- Die Beschwerde führt den Sicherheitsverstoß von Ledger aus dem Jahr 2020 an, von dem mehr als 270.000 Kunden betroffen waren, als Teil eines angeblichen Musters unzureichender Datenschutzmaßnahmen.
- Die Klage umfasst sieben Klagegründe und fordert tatsächlichen, kompensatorischen, gesetzlichen, dreifachen und Strafschadenersatz.
Die Beschwerde, eingereicht von Douglas Kim beim US-Bezirksgericht für den südlichen Bezirk von New York am 27. August, beschuldigt den Hardware-Wallet-Hersteller, die persönlich identifizierbaren Informationen der Kunden und die Sicherheitsdaten der Kryptowährungen nicht angemessen geschützt zu haben. Kim reichte die Klage individuell und im Namen einer geplanten landesweiten Klasse ein.
Kim behauptet, dass Ledger es versäumt hat, Kunden nach dem Sicherheitsvorfall im Dezember 2023 ordnungsgemäß zu benachrichtigen und den Umfang nicht vollständig offenzulegen. Die Klage behauptet, dass Hacker später Kundenkontaktinformationen nutzten, um sich als Ledger-Vertreter auszugeben und Zugang zu den Kryptowährungs-Wallets und privaten Schlüsseln der Kunden zu erhalten.
Die Beschwerde umfasst sieben Klagegründe, einschließlich Ansprüchen nach den Abschnitten 349 und 350 des New Yorker Allgemeinen Geschäftsgesetzes, Fahrlässigkeit, fahrlässige Falschdarstellung, Vertrauenshaftung (promissory estoppel) und Verletzung der stillschweigenden Verpflichtung zu Treu und Glauben und fairem Umgang.
Ledger-Klage dreht sich um Sicherheitsvorfall im Dezember 2023
Der Vorfall im Dezember 2023 betraf Ledger Connect Kit, eine Softwarebibliothek, die verwendet wird, um Hardware-Wallets mit Websites und dezentralen Anwendungen zu verbinden.
Die Beschwerde sagt, dass Angreifer durch einen Phishing-Angriff Zugang zum NPMJS-Konto eines ehemaligen Ledger-Mitarbeiters erlangten. Laut der Klageschrift hatte Ledger es versäumt, den Zugriff des ehemaligen Mitarbeiters nach Beendigung des Arbeitsverhältnisses ordnungsgemäß zu widerrufen.
Ledger räumte den Zugriffskontrollfehler damals ein und erklärte, dass der NPMJS-Zugriff des ehemaligen Mitarbeiters nicht ordnungsgemäß widerrufen worden war.
Sobald die Angreifer im Konto waren, luden sie eine bösartige Version von Ledger Connect Kit hoch, die Transaktionen auf von ihnen kontrollierte Adressen umleiten konnte, indem sie Benutzer dazu verleiteten, bösartige Transaktionen zu genehmigen. Ledger erkannte öffentlich an, dass die bösartige Software Benutzer dazu verleiten konnte, Transaktionen zu signieren, die ihre Wallets leerten.
crypto.news berichtete zuvor, dass ein ehemaliger Ledger-Mitarbeiter Opfer von Phishing wurde, bevor ein Angreifer den kompromittierten Zugriff nutzte, um bösartigen Code zu veröffentlichen. Ledger-CEO Pascal Gauthier sagte damals, dass der Vorfall auf Anwendungen von Drittanbietern beschränkt sei und Ledger-Hardware-Wallets nicht betroffen seien.
Schätzungen zu dieser Zeit bezifferten die Verluste durch den Connect-Kit-Exploit auf etwa 480.000 bis 600.000 US-Dollar. Ledger sagte später, dass es betroffene Benutzer entschädigen werde, und kündigte Pläne an, das Blind-Signing für dezentrale Anwendungen der Ethereum Virtual Machine auslaufen zu lassen.
Die neue Klage geht über die unmittelbar nach dem Connect-Kit-Kompromiss gemeldeten Verluste hinaus. Kim behauptet, dass Hacker auf personenbezogene Daten von Ledger-Kunden zugegriffen und diese verwendet haben, einschließlich Namen, E-Mail-Adressen und Telefonnummern, und dass Ledger es versäumt hat, Kunden ausreichend vor dem Vorfall zu warnen.
Kläger sagt, Betrüger stahlen fast 1,95 Millionen US-Dollar in Krypto
Kim, der erstmals um 2017 eine Ledger-Hardware-Wallet kaufte und 2021 in New York City eine Nano X erwarb, sagt, dass er später Opfer eines Ledger-Identitätsdiebstahl-Schemas wurde.
Am 18. Februar 2025 erhielt Kim einen Anruf von jemandem, der behauptete, Coincover zu vertreten, was der Anrufer als eine Abteilung innerhalb von Ledger darstellte, so die Beschwerde. Der Anrufer soll Kim erzählt haben, dass jemand in den Niederlanden versucht habe, sich mit seinen Informationen für Ledger Recover zu registrieren, und dass seine Krypto-Vermögenswerte gefährdet sein könnten.
Kim erhielt eine E-Mail, die offenbar von Ledger stammte, so die Klageschrift. Die Beschwerde behauptet auf Informationsbasis und Glauben, dass die Angreifer Kundenkontaktdaten aus dem Vorfall vom Dezember 2023 verwendet haben, um ihn als Ledger-Kunden zu identifizieren und die E-Mail auszulösen. Kim behält sich das Recht vor, diese Behauptung zu ändern, nachdem er Ledgers Forensik- und Vorfallreaktionsunterlagen im Rahmen der Beweisaufnahme erhalten hat.
Der angebliche Vertreter führte Kim zu einer Website, die so gestaltet war, dass sie Ledgers Diensten ähnelte, und wies ihn an, seine vertrauliche Passphrase einzugeben, um das Gerät zurückzusetzen, so die Klage. Kim kam dem nach und erhielt eine Passphrase, von der er glaubte, dass sie ein Ersatz sei.
Zwei Tage später überprüfte Kim seine Bestände und stellte fest, dass Kryptoassets im Wert von 1.948.074 US-Dollar gestohlen worden waren, so die Beschwerde. Er hat keines dieser Vermögenswerte zurückerhalten.
Ledger-Kunden waren weiterhin mit Identitätsdiebstahlversuchen konfrontiert. Im Februar 2026 schickten Betrüger gefälschte Ledger-Briefe, die die Empfänger auf Phishing-Websites führten, die darauf ausgelegt waren, Wallet-Wiederherstellungsphrasen zu sammeln.
Ähnliche physische Postangriffe wurden im April 2025 gemeldet, als Betrüger Berichten zufolge im Jahr 2020 durchgesickerte Daten verwendeten, um Ledger-Briefe mit QR-Codes zu senden, die Kunden auf Websites führten, die ihre Wiederherstellungsphrasen abfragten.
Beschwerde verweist auf Ledgers Datenpanne von 2020
Kims Klage nutzt Ledgers frühere Sicherheitsgeschichte, um ihre Behauptungen über unzureichende Schutzmaßnahmen zu untermauern.
Eine Datenpanne im Jahr 2020 betraf mehr als 270.000 Ledger-Kunden, so die Beschwerde, und legte Informationen offen, die Namen, physische Adressen und Telefonnummern umfassten. Die Daten wurden später auf Online-Schwarzmarktkanälen verfügbar. Über diese Datenpanne wurde separat im Northern District of California geklagt.
Die neue Beschwerde behauptet, Ledger habe es versäumt, seine Sicherheitspraktiken nach diesem Vorfall ausreichend zu verbessern, und beschuldigt das Unternehmen, sowohl die frühere Datenpanne als auch den Vorfall vom Dezember 2023 herunterzuspielen.
Kim argumentiert, dass Ledgers Sicherheitsdarstellungen besonders wichtig seien, da das Unternehmen von Kunden verlangt, beim Kauf seiner Produkte Informationen bereitzustellen. Die Beschwerde listet Namen, E-Mail-Adressen, Lieferadressen, Telefonnummern, Zahlungsdetails, Produktinformationen und Bestellmengen unter den von Ledger gesammelten Kundendaten auf.
Ledger hat Sicherheitsmaßnahmen beworben, darunter Verschlüsselung, Mitarbeiterschulungen, rollenbasierte Authentifizierung, Zwei-Faktor-Authentifizierung, kontinuierliche Systemüberwachung und unabhängige Sicherheitstests, so Aussagen, die in der Beschwerde wiedergegeben werden.
Die Klage behauptet, diese Darstellungen seien irreführend gewesen, da Ledger es versäumt habe, angemessene Maßnahmen zum Schutz von Kundeninformationen zu implementieren und vorhersehbare Risiken nach früheren Cybersicherheitsvorfällen nicht ausreichend adressiert habe.
Sicherheitsfragen rund um Ledger kamen im August wieder auf, als das Unternehmen sagte, dass ein Ethereum-Signaturfehler behoben worden sei, bevor ein anderes Sicherheitsunternehmen das Problem öffentlich offenlegte. Ledger-CTO Charles Guillemet sagte, Benutzer mit aktualisierter Firmware und Anwendungen seien geschützt, während zu diesem Zeitpunkt keine unabhängig verifizierten Diebstähle im Zusammenhang mit dieser spezifischen Schwachstelle gemeldet worden seien.
Tage später wies Ledger Behauptungen zurück, gehackt worden zu sein, nachdem das Sicherheitsteam von OneKey einen Transaktionssubstitutionsfehler mit einer veralteten Version von Ledgers Ethereum-Anwendung reproduziert hatte. Ledger sagte, dass Schutzmaßnahmen bereits in einer neueren Anwendungsversion hinzugefügt worden seien.
Sammelklage fordert mindestens 500 Millionen US-Dollar
Kim schlägt eine landesweite Klasse vor, die US-Personen umfasst, deren PII, Kryptoassets, Kryptowährungen oder Krypto-Anmeldeinformationen infolge der behaupteten Datenpanne kompromittiert wurden und die finanzielle Verluste, unbefugte Transaktionen oder Kosten für die Identitätsdiebstahl-Minderung erlitten haben. Die Beschwerde sagt, die vorgeschlagene Klasse könnte in die Tausende gehen.
Eine separate New Yorker Unterklasse würde qualifizierte Kunden abdecken, deren Transaktionen mit Ledger, einschließlich Käufen von Produkten oder Dienstleistungen oder der Erstellung von Ledger-Konten, in New York stattfanden.
Die Beschwerde schätzt Kims Schäden auf etwa 2 Millionen US-Dollar und behauptet, dass die kollektiven Klassenschäden mindestens 500 Millionen US-Dollar erreichen könnten, möglicherweise in Milliardenhöhe, abhängig von der Anzahl der betroffenen Kunden und der Höhe der individuellen Verluste. Diese Zahlen sind Schätzungen des Klägers und wurden vom Gericht nicht festgestellt.
Kims Klageschrift beantragt Feststellungen, dass Ledger gegen das SHIELD-Gesetz von New York und die Abschnitte 349 und 350 des General Business Law verstoßen hat, sowie Feststellungen von Fahrlässigkeit und fahrlässiger Falschdarstellung. Die beantragten Rechtsmittel umfassen tatsächliche, kompensatorische, gesetzliche, dreifache und punitive Schadensersatzleistungen sowie Anwaltsgebühren und Kosten.
Der Kläger hat ein Schwurgerichtsverfahren beantragt.
