Einleitung
Ledger sieht sich mit einer vorgeschlagenen Sammelklage konfrontiert, die mindestens 500 Millionen Dollar fordert. Der Vorwurf lautet, dass mangelhafte Sicherheitsmaßnahmen und Offenlegungsfehler im Zusammenhang mit einem Vorfall im Dezember 2023 Kunden dem Risiko von Krypto-Diebstahl und anderen finanziellen Verlusten ausgesetzt haben.
Details der Klage
Die Klage, eingereicht von Douglas Kim beim US-Bezirksgericht für den südlichen Bezirk von New York am 27. August, beschuldigt den Hardware-Wallet-Hersteller, die personenbezogenen Daten der Kunden sowie die Sicherheitsdaten für Kryptowährungen nicht ausreichend geschützt zu haben. Kim bringt den Fall sowohl individuell als auch im Namen einer vorgeschlagenen landesweiten Klasse vor.
„Ledger hat es versäumt, die Kunden nach dem Sicherheitsvorfall im Dezember 2023 ordnungsgemäß zu benachrichtigen und den Umfang des Vorfalls nicht vollständig offenzulegen.“
Die Klage umfasst sieben Klagegründe, darunter Ansprüche gemäß den Abschnitten 349 und 350 des New Yorker Handelsgesetzbuchs, Fahrlässigkeit, fahrlässige Falschdarstellung, promissory estoppel und Verletzung des stillschweigenden Gebots von Treu und Glauben.
Der Vorfall im Dezember 2023
Der Vorfall betraf das Ledger Connect Kit, eine Softwarebibliothek, die verwendet wird, um Hardware-Wallets mit Websites und dezentralen Anwendungen zu verbinden. Die Klage besagt, dass Angreifer über einen Phishing-Angriff Zugriff auf das NPMJS-Konto eines ehemaligen Ledger-Mitarbeiters erlangten. Ledger hatte es versäumt, den Zugriff des ehemaligen Mitarbeiters nach Beendigung seines Arbeitsverhältnisses ordnungsgemäß zu widerrufen.
Nachdem die Angreifer Zugang zum Konto hatten, luden sie eine bösartige Version des Ledger Connect Kit hoch, die Transaktionen an Adressen umleiten konnte, die sie kontrollierten. Ledger erkannte öffentlich an, dass die bösartige Software Benutzer dazu bringen konnte, Transaktionen zu unterzeichnen, die ihre Wallets leer machten.
Folgen für die Kunden
Die neue Klage geht über die unmittelbar nach dem Kompromiss des Connect Kit gemeldeten Verluste hinaus. Kim behauptet, dass Hacker auf die personenbezogenen Daten (PII) von Ledger-Kunden zugriffen und diese verwendeten, einschließlich Namen, E-Mail-Adressen und Telefonnummern. Er berichtet, dass er später Opfer eines Ledger-Imitationsschemas wurde.
„Am 18. Februar 2025 erhielt Kim einen Anruf von jemandem, der behauptete, Coincover zu vertreten, das der Anrufer als Abteilung innerhalb von Ledger präsentierte.“
Die Klage behauptet, dass die Angreifer die Kontaktdaten der Kunden verwendeten, um Kim als Ledger-Kunden zu identifizieren und die E-Mail auszulösen. Kim kam der Aufforderung nach, seine vertrauliche Passphrase einzugeben, was zu einem Verlust von Krypto-Assets im Wert von 1.948.074 Dollar führte.
Frühere Sicherheitsvorfälle
Kims Klage nutzt die frühere Sicherheitsgeschichte von Ledger, um ihre Vorwürfe unzureichender Sicherheitsvorkehrungen zu untermauern. Ein Datenleck im Jahr 2020 betraf mehr als 270.000 Ledger-Kunden und legte Informationen offen, die Namen, physische Adressen und Telefonnummern umfassten. Die Klage behauptet, Ledger habe es versäumt, seine Sicherheitspraktiken nach diesem Vorfall ausreichend zu verbessern.
Vorgeschlagene Klasse und Schadensersatz
Kim schlägt eine landesweite Klasse vor, die US-Personen abdeckt, deren PII, Krypto-Assets oder Krypto-Identifikationen infolge des angeblichen Datenlecks kompromittiert wurden. Die Klage schätzt Kims Schäden auf etwa 2 Millionen Dollar und behauptet, dass die kollektiven Klassenschäden mindestens 500 Millionen Dollar erreichen könnten.
Die beantragte Entschädigung umfasst tatsächliche, kompensatorische, gesetzliche, dreifache und punitive Schäden sowie Anwaltsgebühren und Kosten. Der Kläger hat ein Geschworenengericht gefordert.
