Ledger telah digugat dalam gugatan class action yang diusulkan, menuntut setidaknya $500 juta atas tuduhan bahwa kegagalan keamanan dan pengungkapan yang buruk terkait insiden Desember 2023 membuat pelanggan rentan terhadap pencurian kripto dan kerugian finansial lainnya.
Gugatan, yang diajukan oleh Douglas Kim di Pengadilan Distrik AS untuk Distrik Selatan New York pada 27 Agustus, menuduh pembuat dompet hardware gagal melindungi informasi identitas pribadi pelanggan dan data keamanan mata uang kripto secara memadai. Kim mengajukan kasus ini secara individu dan atas nama class nasional yang diusulkan.
Kim menuduh bahwa Ledger gagal memberitahu pelanggan dengan benar setelah insiden keamanan Desember 2023 dan tidak sepenuhnya mengungkapkan cakupannya. Gugatan tersebut mengklaim bahwa peretas kemudian menggunakan informasi kontak pelanggan untuk menyamar sebagai perwakilan Ledger dan mendapatkan akses ke dompet mata uang kripto dan kunci pribadi pelanggan.
Gugatan tersebut mengajukan tujuh penyebab tindakan, termasuk klaim berdasarkan New York General Business Law Bagian 349 dan 350, kelalaian, kelalaian dalam memberikan informasi yang salah, estoppel janji, dan pelanggaran perjanjian tersirat tentang itikad baik dan transaksi yang adil.
Insiden Desember 2023 melibatkan Ledger Connect Kit, sebuah pustaka perangkat lunak yang digunakan untuk menghubungkan dompet hardware dengan situs web dan aplikasi terdesentralisasi.
Gugatan tersebut menyatakan bahwa penyerang mendapatkan akses ke akun NPMJS mantan karyawan Ledger melalui serangan phishing. Ledger telah gagal mencabut akses mantan karyawan tersebut dengan benar setelah masa kerja mereka berakhir, menurut berkas tersebut.
Ledger mengakui kegagalan kontrol akses pada saat itu, menyatakan bahwa akses NPMJS mantan karyawan tersebut belum dicabut dengan benar.
Setelah masuk ke dalam akun, penyerang mengunggah versi berbahaya dari Ledger Connect Kit yang dapat mengarahkan ulang transaksi ke alamat yang mereka kontrol dengan menginduksi pengguna untuk menyetujui transaksi berbahaya. Ledger secara publik mengakui bahwa perangkat lunak berbahaya tersebut dapat menipu pengguna untuk menandatangani transaksi yang menguras dompet mereka.
crypto.news sebelumnya melaporkan bahwa seorang mantan karyawan Ledger telah menjadi korban phishing sebelum penyerang menggunakan akses yang disusupi untuk menerbitkan kode berbahaya. CEO Ledger Pascal Gauthier mengatakan pada saat itu bahwa insiden tersebut terisolasi pada aplikasi pihak ketiga dan dompet hardware Ledger tetap tidak terpengaruh.
Estimasi pada saat itu menempatkan kerugian dari eksploitasi Connect Kit antara sekitar $480.000 dan $600.000. Ledger kemudian mengatakan akan mengganti rugi pengguna yang terpengaruh dan mengumumkan rencana untuk menghapus penandatanganan buta untuk aplikasi terdesentralisasi mesin virtual Ethereum.
Gugatan baru ini melampaui kerugian yang dilaporkan segera setelah kompromi Connect Kit. Kim menuduh bahwa peretas mengakses dan menggunakan PII pelanggan Ledger, termasuk nama, alamat email, dan nomor telepon, dan bahwa Ledger gagal memberikan peringatan yang cukup kepada pelanggan tentang insiden tersebut.
Kim, yang pertama kali membeli dompet hardware Ledger sekitar tahun 2017 dan membeli Nano X di New York City pada tahun 2021, mengatakan ia kemudian menjadi korban skema peniruan identitas Ledger.
Pada 18 Februari 2025, Kim menerima panggilan dari seseorang yang mengaku mewakili Coincover, yang oleh penelepon disajikan sebagai departemen di dalam Ledger, menurut gugatan tersebut. Penelepon tersebut diduga memberi tahu Kim bahwa seseorang di Belanda telah mencoba mendaftar untuk Ledger Recover menggunakan informasinya dan bahwa aset kriptonya bisa berisiko.
Orang kedua kemudian menghubungi Kim sambil menyamar sebagai perwakilan Ledger lainnya dan memintanya untuk memeriksa emailnya sebagai bukti bahwa penelepon itu sah.
Kim menerima apa yang tampak seperti email dari Ledger, demikian menurut berkas tersebut. Gugatan tersebut menuduh, berdasarkan informasi dan keyakinan, bahwa penyerang menggunakan informasi kontak pelanggan yang berasal dari insiden Desember 2023 untuk mengidentifikasinya sebagai pelanggan Ledger dan memicu email tersebut. Kim berhak untuk mengubah tuduhan tersebut setelah mendapatkan forensik pelanggaran dan catatan respons insiden Ledger melalui penemuan.
Perwakilan yang disebutkan itu mengarahkan Kim ke situs web yang dirancang menyerupai layanan Ledger dan menginstruksikannya untuk memasukkan frasa sandi rahasianya untuk mengatur ulang perangkat, menurut gugatan tersebut. Kim mematuhi dan diberi apa yang dia yakini sebagai frasa sandi pengganti.
Dua hari kemudian, Kim memeriksa kepemilikannya dan menemukan bahwa aset kripto senilai $1.948.074 telah dicuri, demikian dugaan gugatan tersebut. Ia belum memulihkan aset-aset tersebut.
Pelanggan Ledger terus menghadapi upaya peniruan identitas. Pada Februari 2026, penipu mengirim surat Ledger palsu yang mengarahkan penerima ke situs web phishing yang dirancang untuk mengumpulkan frasa pemulihan dompet.
Serangan surat fisik serupa dilaporkan pada April 2025, ketika penipu dilaporkan menggunakan data yang bocor pada tahun 2020 untuk mengirim surat bermerek Ledger yang berisi kode QR yang mengarahkan pelanggan ke situs web yang meminta frasa pemulihan mereka.
Gugatan Kim menggunakan riwayat keamanan Ledger sebelumnya untuk mendukung tuduhannya tentang perlindungan yang tidak memadai.
Pelanggaran data tahun 2020 memengaruhi lebih dari 270.000 pelanggan Ledger, menurut gugatan tersebut, mengekspos informasi yang mencakup nama, alamat fisik, dan nomor telepon. Data tersebut kemudian tersedia di saluran pasar gelap online. Litigasi atas pelanggaran tersebut secara terpisah diajukan di Distrik Utara California.
Gugatan baru tersebut menuduh Ledger gagal meningkatkan praktik keamanannya secara memadai setelah insiden tersebut dan menuduh perusahaan meremehkan pelanggaran sebelumnya dan insiden Desember 2023.
Kim berpendapat bahwa representasi keamanan Ledger sangat penting karena perusahaan mewajibkan pelanggan untuk memberikan informasi saat membeli produknya. Gugatan tersebut mencantumkan nama, alamat email, alamat pengiriman, nomor telepon, detail pembayaran, informasi produk, dan jumlah pesanan sebagai data pelanggan yang dikumpulkan oleh Ledger.
Ledger telah mengiklankan langkah-langkah keamanan termasuk enkripsi, pelatihan karyawan, autentikasi berbasis peran, autentikasi dua faktor, pemantauan sistem berkelanjutan, dan pengujian keamanan independen, menurut pernyataan yang direproduksi dalam gugatan tersebut.
Gugatan tersebut menuduh bahwa representasi tersebut menipu karena Ledger gagal menerapkan langkah-langkah yang memadai untuk melindungi informasi pelanggan dan tidak cukup mengatasi risiko yang dapat diperkirakan setelah insiden keamanan siber sebelumnya.
Pertanyaan keamanan seputar Ledger kembali muncul pada Agustus ketika perusahaan mengatakan cacat penandatanganan Ethereum telah diperbaiki sebelum perusahaan keamanan lain secara publik mengungkapkan masalah tersebut. CTO Ledger Charles Guillemet mengatakan bahwa pengguna yang menjalankan firmware dan aplikasi yang diperbarui terlindungi, sementara tidak ada pencurian yang diverifikasi secara independen yang terkait dengan kerentanan spesifik tersebut yang dilaporkan pada saat itu.
Beberapa hari kemudian, Ledger menolak klaim bahwa mereka diretas setelah tim keamanan OneKey mereproduksi cacat substitusi transaksi menggunakan versi aplikasi Ethereum Ledger yang sudah usang. Ledger mengatakan perlindungan telah ditambahkan dalam versi aplikasi yang lebih baru.
Kim mengusulkan kelas nasional yang mencakup individu AS yang PII, aset kripto, mata uang kripto, atau kredensial kripto mereka disusupi sebagai akibat dari dugaan pelanggaran data dan yang menderita kerugian finansial, transaksi tidak sah, atau biaya mitigasi pencurian identitas. Gugatan tersebut menyatakan bahwa kelas yang diusulkan dapat berjumlah ribuan.
Sub-kelas New York terpisah akan mencakup pelanggan yang memenuhi syarat yang transaksinya dengan Ledger, termasuk pembelian produk atau layanan atau pembuatan akun Ledger, terjadi di New York.
Gugatan tersebut memperkirakan kerugian Kim sekitar $2 juta dan mengklaim bahwa kerugian kelas kolektif dapat mencapai setidaknya $500 juta, berpotensi mencapai miliaran dolar tergantung pada jumlah pelanggan yang terpengaruh dan ukuran kerugian individu. Angka-angka tersebut adalah perkiraan yang diajukan oleh penggugat dan belum ditetapkan oleh pengadilan.
Berkas Kim mencari deklarasi bahwa Ledger melanggar Undang-Undang SHIELD New York dan New York General Business Law Bagian 349 dan 350, bersama dengan temuan kelalaian dan kelalaian dalam memberikan informasi yang salah. Bantuan yang diminta termasuk ganti rugi aktual, kompensasi, berdasarkan undang-undang, tiga kali lipat, dan hukuman, serta biaya dan ongkos pengacara.
Penggugat telah menuntut persidangan juri.
