Proposta di Azione Collettiva contro Ledger
Ledger è stata colpita da una proposta di azione collettiva che chiede almeno 500 milioni di dollari a causa di presunti fallimenti nella sicurezza e nella divulgazione legati a un incidente avvenuto nel dicembre 2023, che ha esposto i clienti al furto di criptovalute e ad altre perdite finanziarie. Il reclamo, presentato da Douglas Kim presso il Tribunale Distrettuale degli Stati Uniti per il Distretto Meridionale di New York il 27 agosto, accusa il produttore di portafogli hardware di non aver protetto adeguatamente le informazioni personali identificabili dei clienti e i dati di sicurezza delle criptovalute.
Dettagli dell’Incidente di Sicurezza
Kim sostiene che Ledger non ha informato correttamente i clienti dopo l’incidente di sicurezza del dicembre 2023 e non ha rivelato completamente la sua portata. La causa afferma che gli hacker hanno successivamente utilizzato le informazioni di contatto dei clienti per impersonare i rappresentanti di Ledger e ottenere accesso ai portafogli di criptovalute e alle chiavi private dei clienti. Il reclamo presenta sette motivi di azione, tra cui affermazioni ai sensi delle Sezioni 349 e 350 della Legge Generale sul Commercio di New York, negligenza, rappresentazione negligente, estoppel promissorio e violazione del patto implicito di buona fede e correttezza.
L’incidente ha coinvolto Ledger Connect Kit, una libreria software utilizzata per collegare portafogli hardware con siti web e applicazioni decentralizzate. Gli aggressori hanno ottenuto accesso all’account NPMJS di un ex dipendente di Ledger attraverso un attacco di phishing. Ledger ha riconosciuto il fallimento nel controllo degli accessi, affermando che l’accesso NPMJS dell’ex dipendente non era stato revocato correttamente.
Conseguenze dell’Attacco
Una volta all’interno dell’account, gli aggressori hanno caricato una versione malevola di Ledger Connect Kit che poteva reindirizzare le transazioni verso indirizzi che controllavano, inducendo gli utenti ad approvare transazioni fraudolente. Ledger ha riconosciuto pubblicamente che il software malevolo poteva ingannare gli utenti facendoli firmare transazioni che svuotavano i loro portafogli. Crypto.news ha precedentemente riportato che un ex dipendente di Ledger era stato vittima di phishing prima che un aggressore utilizzasse l’accesso compromesso per pubblicare codice malevolo.
Il CEO di Ledger, Pascal Gauthier, ha dichiarato che l’incidente era isolato ad applicazioni di terze parti e che i portafogli hardware di Ledger erano rimasti non colpiti. Le stime indicavano che le perdite derivanti dall’exploit di Connect Kit si aggiravano tra circa 480.000 e 600.000 dollari. Ledger ha successivamente dichiarato che avrebbe rimborsato gli utenti colpiti.
Implicazioni per i Clienti
La nuova causa va oltre le perdite segnalate immediatamente dopo il compromesso di Connect Kit. Kim sostiene che gli hacker hanno avuto accesso e utilizzato le informazioni personali identificabili dei clienti di Ledger, inclusi nomi, indirizzi email e numeri di telefono, e che Ledger non ha fornito ai clienti un avviso sufficiente riguardo all’incidente. Kim, che ha acquistato per la prima volta un portafoglio hardware Ledger nel 2017, afferma di essere successivamente diventato vittima di uno schema di impersonificazione di Ledger.
Il 18 febbraio 2025, Kim ha ricevuto una chiamata da qualcuno che affermava di rappresentare Coincover, presentato come un dipartimento all’interno di Ledger. Il chiamante avrebbe detto a Kim che qualcuno nei Paesi Bassi aveva tentato di registrarsi per Ledger Recover utilizzando le sue informazioni e che i suoi cryptoasset potrebbero essere a rischio.
Il reclamo sostiene che gli aggressori hanno utilizzato le informazioni di contatto dei clienti provenienti dall’incidente di dicembre 2023 per identificare Kim come cliente di Ledger e attivare l’email. Kim ha acconsentito ed è stato fornito di quella che credeva fosse una frase segreta sostitutiva. Due giorni dopo, ha scoperto che cryptoasset del valore di 1.948.074 dollari erano stati rubati.
Attacchi Successivi e Precedenti Violazioni
I clienti di Ledger hanno continuato a subire tentativi di impersonificazione. Nel febbraio 2026, i truffatori hanno inviato false lettere di Ledger indirizzando i destinatari a siti web di phishing progettati per raccogliere frasi di recupero dei portafogli. La causa di Kim utilizza la precedente storia di sicurezza di Ledger per supportare le sue accuse di salvaguardie inadeguate. Una violazione del 2020 ha colpito più di 270.000 clienti di Ledger, esponendo informazioni che includevano nomi, indirizzi fisici e numeri di telefono.
Il nuovo reclamo sostiene che Ledger non ha sufficientemente migliorato le sue pratiche di sicurezza dopo quell’incidente e accusa l’azienda di minimizzare sia la violazione precedente che l’incidente di dicembre 2023.
Richiesta di Risarcimento
Kim propone una classe nazionale che copra gli individui statunitensi le cui informazioni personali identificabili, cryptoasset, criptovalute o credenziali crypto sono state compromesse a causa della presunta violazione dei dati. Il reclamo stima i danni di Kim a circa 2 milioni di dollari e afferma che i danni collettivi della classe potrebbero raggiungere almeno 500 milioni di dollari, potenzialmente arrivando a miliardi di dollari a seconda del numero di clienti colpiti e della dimensione delle perdite individuali.
Il deposito di Kim richiede dichiarazioni che Ledger ha violato il SHIELD Act di New York e le Sezioni 349 e 350 della Legge Generale sul Commercio, insieme a riscontri di negligenza e rappresentazione negligente. Il risarcimento richiesto include danni effettivi, compensatori, legali, tripli e punitivi, oltre a spese legali e costi. Il querelante ha richiesto un processo con giuria.
