Action Collective Contre Ledger
Ledger est confronté à une action collective visant à obtenir au moins 500 millions de dollars, suite à des allégations de sécurité insuffisante et de manquements en matière de divulgation. Ces allégations sont liées à un incident survenu en décembre 2023, qui aurait exposé les clients au vol de crypto-monnaie et à d’autres pertes financières.
La plainte, déposée par Douglas Kim devant le tribunal de district des États-Unis pour le district sud de New York le 27 août, accuse le fabricant de portefeuilles matériels de ne pas avoir protégé adéquatement les informations personnellement identifiables de ses clients.
Kim a intenté l’affaire à titre individuel et au nom d’une classe nationale proposée. Il allègue que Ledger n’a pas correctement informé ses clients après l’incident de sécurité de décembre 2023 et n’a pas pleinement divulgué son ampleur. Le procès affirme que des hackers ont utilisé les informations de contact des clients pour se faire passer pour des représentants de Ledger et accéder aux portefeuilles de crypto-monnaie et aux clés privées des clients.
Détails de l’Incident
La plainte présente sept causes d’action, y compris des réclamations en vertu des sections 349 et 350 de la loi générale sur les affaires de New York, négligence, fausse déclaration négligente, estoppel promissoire et violation de la convention implicite de bonne foi et de juste traitement. L’incident de décembre 2023 impliquait le Ledger Connect Kit, une bibliothèque logicielle utilisée pour connecter des portefeuilles matériels à des sites Web et des applications décentralisées.
Les attaquants ont accédé au compte NPMJS d’un ancien employé de Ledger par le biais d’une attaque de phishing. Ledger a reconnu l’échec de contrôle d’accès à l’époque, déclarant que l’accès NPMJS de l’ancien employé n’avait pas été correctement révoqué.
Une fois à l’intérieur du compte, les attaquants ont téléchargé une version malveillante du Ledger Connect Kit, capable de rediriger les transactions vers des adresses qu’ils contrôlaient.
Ledger a publiquement reconnu que le logiciel malveillant pouvait tromper les utilisateurs en leur faisant signer des transactions qui vident leurs portefeuilles. Les estimations à l’époque évaluaient les pertes dues à l’exploitation du Connect Kit entre environ 480 000 et 600 000 dollars.
Conséquences pour les Clients
Kim, qui a acheté un portefeuille matériel Ledger vers 2017, affirme qu’il est devenu victime d’un stratagème d’usurpation d’identité lié à Ledger. Le 18 février 2025, Kim a reçu un appel d’une personne prétendant représenter Coincover, qui a informé Kim que ses crypto-actifs pouvaient être en danger.
La plainte allègue que les attaquants ont utilisé les informations de contact des clients provenant de l’incident de décembre 2023 pour identifier Kim comme un client de Ledger. Kim a obéi aux instructions d’un prétendu représentant et a perdu des crypto-actifs d’une valeur de 1 948 074 dollars.
Historique de Sécurité et Réactions de Ledger
Les clients de Ledger ont continué à faire face à des tentatives d’usurpation d’identité. En février 2026, des escrocs ont envoyé de fausses lettres de Ledger dirigeant les destinataires vers des sites de phishing. La plainte utilise l’historique de sécurité antérieur de Ledger pour soutenir ses allégations de protections inadéquates.
Une violation en 2020 a touché plus de 270 000 clients de Ledger, exposant des informations personnelles. La nouvelle plainte allègue que Ledger n’a pas suffisamment amélioré ses pratiques de sécurité après cet incident.
Kim propose une classe nationale couvrant les individus américains dont les informations personnellement identifiables ont été compromises et qui ont subi des pertes financières.
Demandes et Estimations de Dommages
La plainte estime les dommages de Kim à environ 2 millions de dollars et affirme que les dommages collectifs de la classe pourraient atteindre au moins 500 millions de dollars, potentiellement se chiffrant en milliards de dollars selon le nombre de clients affectés.
Le dépôt de Kim demande des déclarations selon lesquelles Ledger a violé la loi SHIELD de New York et les sections 349 et 350 de la loi générale sur les affaires, ainsi que des constatations de négligence et de fausse déclaration négligente. Le recours demandé comprend des dommages-intérêts réels, compensatoires, statutaires, triples et punitifs, ainsi que des frais d’avocat et des coûts.
Le plaignant a demandé un procès devant jury.
