قضية دعوى جماعية مقترحة مقدمة أمام المحكمة الفيدرالية للدائرة الجنوبية لولاية نيويورك تضع شركة Ledger، مُصنّع المحافظ المادية، في قلب جدل أمني جديد. يدّعي المدّعون أن Ledger عانت من مشكلات في مراقبة الوصول والإفصاح اللاحق بشأن حادث الأمن في ديسمبر 2023، مما سمح للمجرمين باستغلال معلومات العملاء ودفع المزيد من عمليات الاحتيال التشفيرية التي تتظاهر بأنها خدمة عملاء.
الدعوى تشير إلى أحداث ديسمبر 2023
تم تقديم هذه الدعوى في 27 أغسطس. قدم المدعي دوغلاس كيم الدعوى باسمه الشخصي، وباسم المجموعة الجماعية المقترحة على مستوى الولايات المتحدة، طالبًا بتعويضات لا تقل عن 500 مليون دولار. وتشير وثيقة الدعوى إلى أن Ledger فشلت في حماية معلومات الهوية الشخصية للعملاء، وكذلك البيانات المتعلقة بأمان الأصول المشفرة.
يتركز جوهر النزاع على Ledger Connect Kit، وهي مكتبة برمجية تُستخدم لربط المحافظ المادية بالمواقع الإلكترونية وتطبيقات اللامركزية. وتشير الدعوى القضائية إلى أن المهاجمين حصلوا على صلاحيات حساب أحد الموظفين السابقين على NPMJS عبر التصيد الاحتيالي، ولم تقم Ledger بإلغاء صلاحيات الوصول ذات الصلة بعد مغادرة الموظف.
ثم رفع المهاجمون الإصدار الضار من Connect Kit، مما حث المستخدمين على توقيع معاملات ضارة وتحويل الأموال إلى عناوين يتحكمون بها. واعترفت Ledger حينها بأن الكود الضار قد يحث المستخدمين على التوقيع، مما يؤدي إلى نقل أصول المحفظة.
ادعى المدعي أن أصولًا بقيمة近 195万美元 قد سُرقت
تدّعي الدعوى أن خسائر القضية لا تقتصر على التأثيرات المباشرة التي حدثت أثناء وقوع حادثة Connect Kit. ويعتقد المدّعون أن المهاجمين استخدموا لاحقًا معلومات مثل أسماء العملاء وعناوين البريد الإلكتروني وأرقام الهواتف، للتحايل على العملاء وادعاء أنهم يمثلون Ledger أو موظفين مرتبطين، ونفذوا عمليات احتيال ثانوية، بينما لم تُقدّم الشركة تحذيرات كافية للعملاء.
أشار دوغلاس كيم إلى أنه تلقى في فبراير 2025 مكالمة من أشخاص يدّعون أنهم من Coincover وLedger، زعموا أن معلومات حسابه استُخدمت في هولندا للتسجيل في Ledger Recover، مما يعرض أصوله للخطر. بعد ذلك، تلقى بريدًا إلكترونيًا يبدو أنه من Ledger، وتم توجيهه إلى موقع مزيف لإدخال كلمة الاسترداد "لإعادة تعيين الجهاز".
وفقًا لدعوى المحكمة، اكتشف كيم بعد يومين أن أصولًا مشفرة بقيمة 1,948,074 دولارًا أمريكيًا قد سُرقت ولم تُسترد حتى الآن. ويدّعي المدّعون أن المهاجمين حددوا هوية مستخدم Ledger الخاص بهم ونشطوا البريد الإلكتروني ذا الصلة باستخدام معلومات اتصال مستمدة من البيانات التي تم كشفها في حادثة ديسمبر 2023.
كما ذكرت الدعوى تسريب البيانات عام 2020
كما استشهدت الدعوى بسجل أمان Ledger السابق، مشيرةً إلى أن الشركة تعرضت لتسريب بيانات واسع النطاق في عام 2020، أثر على أكثر من 270 ألف عميل، وشملت المعلومات المسربة الأسماء والعناوين وأرقام الهواتف. وانتهت هذه البيانات لاحقًا في السوق السوداء على الإنترنت، وقد أثارت هذه الحادثة دعوى منفصلة أيضًا.
يدعي المدعي أن Ledger لم تعزز تدابير الأمان بشكل كافٍ بعد الحادث السابق، كما قللت من خطورة خرق البيانات عام 2020 وحادث الأمن في ديسمبر 2023. كما تسرد الدعوى سبعة أسباب للدعوى، تشمل أحكامًا من قانون الأعمال في ولاية نيويورك، والإهمال، والادعاء الكاذب، وخرق الواجبات الائتمانية.
المدّعون المُقترَحون هم المستخدمون الذين عانوا من خسائر مالية أو معاملات غير مصرح بها أو تكاليف معالجة سرقة الهوية في الولايات المتحدة نتيجة تسريب البيانات ذي الصلة. وتشير الدعوى إلى أن عدد المدّعين المحتملين قد يصل إلى آلاف الأشخاص.
معلومات إضافية: بعد حادثة عام 2023، أعلنت Ledger أنها ستُعوّض المستخدمين المتضررين وستعمل على إزالة ميزة التوقيع العشوائي في تطبيقات آلة إيثيريوم الافتراضية. وفي فبراير من هذا العام، ظهرت لا تزال رسائل مزيفة ومواقع تصيد تدّعي أنها تابعة لـ Ledger.