Ledger a été frappé par une action collective proposée demandant au moins 500 millions de dollars en raison d'allégations selon lesquelles de mauvaises mesures de sécurité et des manquements en matière de divulgation liés à un incident de décembre 2023 auraient exposé les clients à des vols de cryptomonnaies et à d'autres pertes financières.
Résumé
- Ledger fait face à une action collective proposée demandant au moins 500 millions de dollars en raison d'allégations de manquements en matière de sécurité et de divulgation liés à un incident de décembre 2023.
- Le plaignant Douglas Kim allègue que des fraudeurs ont utilisé des informations clients compromises pour se faire passer pour des représentants de Ledger avant de voler près de 1,95 million de dollars en cryptomonnaies.
- La plainte cite la violation de données de Ledger en 2020 ayant affecté plus de 270 000 clients comme faisant partie d'un prétendu schéma de protections de données inadéquates.
- Le procès invoque sept causes d'action et demande des dommages-intérêts réels, compensatoires, statutaires, triples et punitifs.
La plainte, déposée par Douglas Kim auprès du tribunal de district des États-Unis pour le district sud de New York le 27 août, accuse le fabricant de portefeuilles matériels de ne pas avoir correctement protégé les informations personnelles identifiables des clients et les données de sécurité des cryptomonnaies. Kim a intenté cette action individuellement et au nom d'une classe nationale proposée.
Kim allègue que Ledger n'a pas correctement informé les clients après l'incident de sécurité de décembre 2023 et n'a pas entièrement divulgué son ampleur. Le procès prétend que des pirates ont ensuite utilisé les coordonnées des clients pour se faire passer pour des représentants de Ledger et accéder aux portefeuilles de cryptomonnaies et aux clés privées des clients.
La plainte invoque sept causes d'action, notamment des réclamations en vertu des sections 349 et 350 de la loi commerciale générale de New York, la négligence, la fausse déclaration négligente, la promesse créant une obligation et la violation de l'obligation implicite de bonne foi et de loyauté.
Le procès contre Ledger se concentre sur l'incident de sécurité de décembre 2023
L'incident de décembre 2023 impliquait Ledger Connect Kit, une bibliothèque logicielle utilisée pour connecter les portefeuilles matériels aux sites Web et aux applications décentralisées.
La plainte indique que les attaquants ont accédé au compte NPMJS d'un ancien employé de Ledger par le biais d'une attaque de phishing. Ledger n'avait pas correctement révoqué l'accès de l'ancien employé après la fin de son emploi, selon le dossier.
Ledger a reconnu à l'époque la défaillance du contrôle d'accès, déclarant que l'accès NPMJS de l'ancien employé n'avait pas été correctement révoqué.
Une fois à l'intérieur du compte, les attaquants ont téléchargé une version malveillante de Ledger Connect Kit qui pouvait rediriger les transactions vers des adresses qu'ils contrôlaient en incitant les utilisateurs à approuver des transactions malveillantes. Ledger a publiquement reconnu que le logiciel malveillant pouvait tromper les utilisateurs en leur faisant signer des transactions qui vidaient leurs portefeuilles.
crypto.news a précédemment rapporté qu'un ancien employé de Ledger a été victime de phishing avant qu'un attaquant n'utilise l'accès compromis pour publier du code malveillant. Le PDG de Ledger, Pascal Gauthier, a déclaré à l'époque que l'incident était isolé aux applications tierces et que les portefeuilles matériels Ledger restaient non affectés.
Les estimations à l'époque situaient les pertes dues à l'exploitation de Connect Kit entre environ 480 000 et 600 000 dollars. Ledger a ensuite déclaré qu'il rembourserait les utilisateurs concernés et a annoncé son intention de supprimer progressivement la signature aveugle pour les applications décentralisées de la machine virtuelle Ethereum.
Le nouveau procès va au-delà des pertes signalées immédiatement après la compromission de Connect Kit. Kim allègue que des pirates ont accédé et utilisé les informations personnelles identifiables des clients de Ledger, y compris les noms, adresses e-mail et numéros de téléphone, et que Ledger n'a pas fourni aux clients un avertissement suffisant concernant l'incident.
Le plaignant affirme que des fraudeurs ont volé près de 1,95 million de dollars en cryptomonnaies
Kim, qui a acheté pour la première fois un portefeuille matériel Ledger vers 2017 et a acheté un Nano X à New York en 2021, déclare avoir ensuite été victime d'un stratagème d'usurpation d'identité de Ledger.
Le 18 février 2025, Kim a reçu un appel de quelqu'un prétendant représenter Coincover, que l'appelant a présenté comme un département de Ledger, selon la plainte. L'appelant aurait dit à Kim que quelqu'un aux Pays-Bas avait tenté de s'inscrire à Ledger Recover en utilisant ses informations et que ses actifs cryptographiques pourraient être en danger.
Kim a reçu ce qui semblait être un e-mail de Ledger, selon la plainte. La plainte allègue, sur information et croyance, que les attaquants ont utilisé les informations de contact des clients provenant de l'incident de décembre 2023 pour l'identifier comme client de Ledger et déclencher l'e-mail. Kim se réserve le droit de modifier cette allégation après avoir obtenu les rapports de criminalistique de la violation et de réponse aux incidents de Ledger par le biais de la découverte.
Le prétendu représentant a dirigé Kim vers un site Web conçu pour ressembler aux services de Ledger et lui a demandé de saisir sa phrase de passe confidentielle pour réinitialiser l'appareil, selon le procès. Kim a obtempéré et a reçu ce qu'il croyait être une phrase de passe de remplacement.
Deux jours plus tard, Kim a vérifié ses avoirs et a découvert que des cryptoactifs d'une valeur de 1 948 074 $ avaient été volés, allègue la plainte. Il n'a récupéré aucun de ces actifs.
Les clients de Ledger ont continué à faire face à des tentatives d'usurpation d'identité. En février 2026, des escrocs ont envoyé de fausses lettres de Ledger dirigeant les destinataires vers des sites de phishing conçus pour collecter les phrases de récupération du portefeuille.
Des attaques similaires par courrier physique ont été signalées en avril 2025, lorsque des escrocs auraient utilisé des données divulguées en 2020 pour envoyer des lettres de marque Ledger contenant des codes QR qui dirigeaient les clients vers des sites Web cherchant à obtenir leurs phrases de récupération.
La plainte pointe la violation de données de Ledger en 2020
Le procès de Kim utilise l'historique de sécurité antérieur de Ledger pour étayer ses allégations de garanties inadéquates.
Une violation en 2020 a touché plus de 270 000 clients de Ledger, selon la plainte, exposant des informations comprenant les noms, les adresses physiques et les numéros de téléphone. Les données sont ensuite devenues disponibles sur les canaux du marché noir en ligne. Une action en justice concernant cette violation a été intentée séparément dans le district nord de la Californie.
La nouvelle plainte allègue que Ledger n'a pas suffisamment amélioré ses pratiques de sécurité après cet incident et accuse l'entreprise de minimiser à la fois la violation antérieure et l'incident de décembre 2023.
Kim fait valoir que les déclarations de sécurité de Ledger étaient particulièrement importantes car l'entreprise exige que les clients fournissent des informations lors de l'achat de ses produits. La plainte énumère les noms, adresses e-mail, adresses de livraison, numéros de téléphone, détails de paiement, informations sur les produits et montants des commandes parmi les données clients collectées par Ledger.
Ledger a fait la publicité de mesures de sécurité comprenant le chiffrement, la formation des employés, l'authentification basée sur les rôles, l'authentification à deux facteurs, la surveillance continue du système et les tests de sécurité indépendants, selon les déclarations reproduites dans la plainte.
Le procès allègue que ces déclarations étaient trompeuses car Ledger n'a pas mis en œuvre des mesures adéquates pour protéger les informations des clients et n'a pas suffisamment traité les risques prévisibles après les incidents de cybersécurité antérieurs.
Les questions de sécurité autour de Ledger ont refait surface en août lorsque la société a déclaré qu'une faille de signature Ethereum avait été corrigée avant qu'une autre société de sécurité ne divulgue publiquement le problème. Le CTO de Ledger, Charles Guillemet, a déclaré que les utilisateurs exécutant un micrologiciel et des applications mis à jour étaient protégés, tandis qu'aucun vol vérifié indépendamment lié à cette vulnérabilité spécifique n'avait été signalé à l'époque.
Quelques jours plus tard, Ledger a rejeté les affirmations selon lesquelles il aurait été piraté après que l'équipe de sécurité de OneKey a reproduit une faille de substitution de transaction en utilisant une version obsolète de l'application Ethereum de Ledger. Ledger a déclaré que des protections avaient déjà été ajoutées dans une version plus récente de l'application.
L'action collective demande au moins 500 millions de dollars
Kim propose une classe nationale couvrant les personnes aux États-Unis dont les informations personnelles identifiables (PII), les cryptoactifs, les cryptomonnaies ou les identifiants cryptographiques ont été compromis à la suite de la violation de données alléguée et qui ont subi des pertes financières, des transactions non autorisées ou des frais d'atténuation du vol d'identité. La plainte indique que la classe proposée pourrait compter des milliers de personnes.
Une sous-classe distincte de New York couvrirait les clients éligibles dont les transactions avec Ledger, y compris les achats de produits ou de services ou la création de comptes Ledger, ont eu lieu à New York.
La plainte estime les dommages de Kim à environ 2 millions de dollars et affirme que les dommages collectifs de la classe pourraient atteindre au moins 500 millions de dollars, pouvant potentiellement atteindre des milliards de dollars selon le nombre de clients concernés et l'ampleur des pertes individuelles. Ces chiffres sont des estimations avancées par le plaignant et n'ont pas été établis par le tribunal.
La demande de Kim cherche à obtenir des déclarations selon lesquelles Ledger a violé la loi SHIELD de New York et les sections 349 et 350 de la loi générale sur les affaires, ainsi que des constatations de négligence et de fausse déclaration par négligence. Les réparations demandées comprennent des dommages-intérêts réels, compensatoires, légaux, triples et punitifs, ainsi que les honoraires d'avocat et les frais.
Le demandeur a demandé un procès devant jury.
