A Ledger foi atingida por uma ação coletiva proposta buscando pelo menos US$ 500 milhões por alegações de que falhas de segurança e divulgação relacionadas a um incidente de dezembro de 2023 expuseram clientes a roubo de criptomoedas e outras perdas financeiras.
Resumo
- A Ledger enfrenta uma ação coletiva proposta buscando pelo menos US$ 500 milhões por supostas falhas de segurança e divulgação relacionadas a um incidente de dezembro de 2023.
- O autor Douglas Kim alega que golpistas usaram informações comprometidas de clientes para se passar por representantes da Ledger antes de roubar quase US$ 1,95 milhão em criptomoedas.
- A queixa cita a violação de 2020 da Ledger que afetou mais de 270.000 clientes como parte de um suposto padrão de salvaguardas inadequadas de dados.
- O processo traz sete causas de ação e busca danos reais, compensatórios, legais, triplos e punitivos.
A queixa, apresentada por Douglas Kim no Tribunal Distrital dos EUA para o Distrito Sul de Nova York em 27 de agosto, acusa o fabricante de carteiras de hardware de não proteger adequadamente as informações pessoais identificáveis dos clientes e os dados de segurança de criptomoedas. Kim entrou com o caso individualmente e em nome de uma classe nacional proposta.
Kim alega que a Ledger não notificou adequadamente os clientes após o incidente de segurança de dezembro de 2023 e não divulgou totalmente seu alcance. O processo alega que hackers posteriormente usaram informações de contato de clientes para se passar por representantes da Ledger e obter acesso às carteiras de criptomoedas e chaves privadas dos clientes.
A queixa traz sete causas de ação, incluindo reivindicações sob as Seções 349 e 350 da Lei Geral de Negócios de Nova York, negligência, declaração negligente, estoppel promissório e violação da garantia implícita de boa fé e negociação justa.
Processo contra a Ledger centra-se no incidente de segurança de dezembro de 2023
O incidente de dezembro de 2023 envolveu o Ledger Connect Kit, uma biblioteca de software usada para conectar carteiras de hardware a sites e aplicativos descentralizados.
A queixa diz que os atacantes obtiveram acesso à conta NPMJS de um ex-funcionário da Ledger por meio de um ataque de phishing. A Ledger não revogou adequadamente o acesso do ex-funcionário após o término do emprego, de acordo com o processo.
A Ledger reconheceu a falha de controle de acesso na época, afirmando que o acesso NPMJS do ex-funcionário não havia sido revogado adequadamente.
Uma vez dentro da conta, os atacantes enviaram uma versão maliciosa do Ledger Connect Kit que poderia redirecionar transações para endereços que controlavam, induzindo os usuários a aprovar transações maliciosas. A Ledger reconheceu publicamente que o software malicioso poderia enganar os usuários para assinar transações que drenavam suas carteiras.
crypto.news relatou anteriormente que um ex-funcionário da Ledger foi alvo de phishing antes de um atacante usar o acesso comprometido para publicar código malicioso. O CEO da Ledger, Pascal Gauthier, disse na época que o incidente foi isolado a aplicativos de terceiros e que as carteiras de hardware da Ledger permaneceram afetadas.
As estimativas na época colocaram as perdas com a exploração do Connect Kit entre aproximadamente US$ 480.000 e US$ 600.000. A Ledger posteriormente disse que iria reembolsar os usuários afetados e anunciou planos para eliminar gradualmente a assinatura cega para aplicativos descentralizados da máquina virtual Ethereum.
O novo processo vai além das perdas relatadas imediatamente após o comprometimento do Connect Kit. Kim alega que hackers acessaram e usaram informações pessoais identificáveis (PII) de clientes da Ledger, incluindo nomes, endereços de e-mail e números de telefone, e que a Ledger não forneceu aos clientes aviso suficiente sobre o incidente.
Autor diz que golpistas roubaram quase US$ 1,95 milhão em criptomoedas
Kim, que comprou uma carteira de hardware Ledger pela primeira vez por volta de 2017 e comprou uma Nano X na cidade de Nova York em 2021, diz que mais tarde se tornou vítima de um esquema de falsificação da Ledger.
Em 18 de fevereiro de 2025, Kim recebeu uma ligação de alguém alegando representar a Coincover, que o chamador apresentou como um departamento dentro da Ledger, de acordo com a queixa. O chamador supostamente disse a Kim que alguém na Holanda havia tentado se registrar para o Ledger Recover usando suas informações e que seus criptoativos poderiam estar em risco.
Kim recebeu o que parecia ser um e-mail da Ledger, diz o processo. A queixa alega, com base em informações e crença, que os atacantes usaram informações de contato de clientes originárias do incidente de dezembro de 2023 para identificá-lo como cliente da Ledger e disparar o e-mail. Kim reservou-se o direito de alterar essa alegação após obter os registros de perícia forense e resposta a incidentes da Ledger por meio de descoberta processual.
O suposto representante direcionou Kim para um site projetado para se assemelhar aos serviços da Ledger e instruiu-o a inserir sua frase de recuperação confidencial para redefinir o dispositivo, de acordo com o processo. Kim obedeceu e recebeu o que acreditava ser uma frase de recuperação substituta.
Dois dias depois, Kim verificou suas participações e descobriu que criptoativos no valor de US$ 1.948.074 haviam sido roubados, alega a queixa. Ele não recuperou nenhum desses ativos.
Os clientes da Ledger continuaram a enfrentar tentativas de personificação. Em fevereiro de 2026, golpistas enviaram cartas falsas da Ledger direcionando os destinatários a sites de phishing projetados para coletar frases de recuperação de carteiras.
Ataques semelhantes por correio físico foram relatados em abril de 2025, quando golpistas supostamente usaram dados vazados em 2020 para enviar cartas com a marca Ledger contendo códigos QR que direcionavam os clientes a sites que buscavam suas frases de recuperação.
Queixa aponta para violação de dados da Ledger em 2020
O processo de Kim usa o histórico de segurança anterior da Ledger para apoiar suas alegações de salvaguardas inadequadas.
Uma violação em 2020 afetou mais de 270.000 clientes da Ledger, de acordo com a queixa, expondo informações que incluíam nomes, endereços físicos e números de telefone. Os dados posteriormente ficaram disponíveis em canais de mercado negro online. Litígios sobre essa violação foram movidos separadamente no Distrito Norte da Califórnia.
A nova queixa alega que a Ledger não conseguiu melhorar suficientemente suas práticas de segurança após aquele incidente e acusa a empresa de minimizar tanto a violação anterior quanto o incidente de dezembro de 2023.
Kim argumenta que as declarações de segurança da Ledger eram particularmente importantes porque a empresa exige que os clientes forneçam informações ao comprar seus produtos. A queixa lista nomes, endereços de e-mail, endereços de entrega, números de telefone, detalhes de pagamento, informações de produto e valores de pedido entre os dados de clientes coletados pela Ledger.
A Ledger anunciou medidas de segurança incluindo criptografia, treinamento de funcionários, autenticação baseada em funções, autenticação de dois fatores, monitoramento contínuo do sistema e testes de segurança independentes, de acordo com declarações reproduzidas na queixa.
O processo alega que essas declarações eram enganosas porque a Ledger não implementou medidas adequadas para proteger as informações dos clientes e não abordou suficientemente os riscos previsíveis após incidentes anteriores de segurança cibernética.
Questões de segurança em torno da Ledger ressurgiram em agosto, quando a empresa disse que uma falha de assinatura Ethereum foi corrigida antes que outra empresa de segurança divulgasse publicamente o problema. O CTO da Ledger, Charles Guillemet, disse que usuários executando firmware e aplicativos atualizados estavam protegidos, enquanto nenhum roubo verificado de forma independente ligado a essa vulnerabilidade específica havia sido relatado na época.
Dias depois, a Ledger rejeitou alegações de que foi hackeada depois que a equipe de segurança da OneKey reproduziu uma falha de substituição de transação usando uma versão desatualizada do aplicativo Ethereum da Ledger. A Ledger disse que proteções já haviam sido adicionadas em uma versão mais recente do aplicativo.
Ação coletiva busca pelo menos US$ 500 milhões
Kim propõe uma classe nacional cobrindo indivíduos dos EUA cujas informações pessoais identificáveis (PII), criptoativos, criptomoedas ou credenciais criptográficas foram comprometidas como resultado da suposta violação de dados e que sofreram perdas financeiras, transações não autorizadas ou custos de mitigação de roubo de identidade. A queixa diz que a classe proposta pode chegar a milhares.
Uma subclasse separada de Nova York cobriria clientes qualificados cujas transações com a Ledger, incluindo compras de produtos ou serviços ou criação de contas Ledger, ocorreram em Nova York.
A queixa estima os danos de Kim em aproximadamente US$ 2 milhões e afirma que os danos coletivos da classe podem chegar a pelo menos US$ 500 milhões, potencialmente atingindo bilhões de dólares, dependendo do número de clientes afetados e do tamanho das perdas individuais. Esses números são estimativas apresentadas pelo autor e não foram estabelecidas pelo tribunal.
O pedido de Kim busca declarações de que a Ledger violou a Lei SHIELD de Nova York e as Seções 349 e 350 da Lei Geral de Negócios, juntamente com conclusões de negligência e declaração negligente. A reparação solicitada inclui danos reais, compensatórios, legais, triplos e punitivos, bem como honorários advocatícios e custas.
O autor exigiu julgamento por júri.
