Sebuah gugatan kelas yang diajukan di Pengadilan Distrik Amerika Serikat untuk Distrik Selatan New York menempatkan produsen hardware wallet Ledger di tengah kontroversi keamanan baru. Penggugat menyatakan bahwa Ledger memiliki masalah dalam kontrol akses dan pengungkapan setelah insiden keamanan pada Desember 2023, yang menyebabkan informasi pelanggan dimanfaatkan oleh pihak jahat dan memicu penipuan kripto berkedok layanan pelanggan.
Gugatan menunjuk pada peristiwa Desember 2023
Gugatan ini diajukan pada 27 Agustus. Penggugat Douglas Kim mengajukan gugatan atas nama pribadi dan mewakili kelas nasional yang diusulkan, menuntut ganti rugi setidaknya 500 juta dolar AS. Gugatan tersebut menyatakan bahwa Ledger gagal melindungi informasi identitas pribadi pelanggan serta data terkait keamanan aset kripto.
Inti perselisihan berfokus pada Ledger Connect Kit. Ini adalah perpustakaan perangkat lunak yang digunakan untuk menghubungkan hardware wallet dengan situs web dan aplikasi terdesentralisasi. Gugatan menyatakan bahwa penyerang memperoleh akses ke akun NPMJS seorang mantan karyawan melalui serangan phishing, sementara Ledger gagal mencabut izin akses terkait setelah karyawan tersebut mengundurkan diri.
Penyerang kemudian mengunggah versi berbahaya dari Connect Kit, yang menipu pengguna untuk menandatangani transaksi berbahaya dan mentransfer dana ke alamat yang dikendalikan oleh mereka. Ledger pada saat itu mengakui bahwa kode berbahaya tersebut dapat menipu pengguna untuk menandatangani, sehingga menyebabkan aset dompet ditransfer.
Plaintiff alleges that nearly $1.95 million in assets were stolen.
Gugatan tersebut menyatakan bahwa kerugian kasus tidak terbatas pada dampak langsung pada saat kejadian Connect Kit. Penggugat berpendapat bahwa pelaku serangan kemudian memanfaatkan informasi seperti nama klien, alamat email, dan nomor telepon untuk melakukan penipuan sekunder dengan menyamar sebagai Ledger atau staf terkait, sementara perusahaan gagal memberikan peringatan yang memadai kepada klien.
Douglas Kim menyatakan bahwa pada Februari 2025, ia menerima panggilan dari orang yang mengaku sebagai staf Coincover dan Ledger, yang mengatakan bahwa informasi akunnya digunakan di Belanda untuk mendaftarkan Ledger Recover, sehingga asetnya berisiko. Setelah itu, ia menerima email yang tampaknya berasal dari Ledger dan diarahkan ke situs palsu untuk memasukkan frase pemulihan guna "mengatur ulang perangkat".
Menurut gugatan, dua hari kemudian Kim menemukan aset kripto senilai $1.948.074 dicuri dan hingga kini belum ditemukan kembali. Penggugat menyatakan bahwa penyerang mengidentifikasi identitas pengguna Ledger mereka dan memicu email terkait menggunakan informasi kontak yang berasal dari data yang terungkap dalam kejadian Desember 2023.
Keluhan tersebut juga menyebut kebocoran data tahun 2020
Gugatan ini juga mengutip catatan keamanan Ledger sebelumnya, menyatakan bahwa perusahaan pernah mengalami kebocoran data besar-besaran pada tahun 2020 yang memengaruhi lebih dari 270.000 pelanggan, dengan informasi yang bocor mencakup nama, alamat, dan nomor telepon. Data terkait kemudian beredar di pasar gelap online, dan insiden ini juga memicu gugatan terpisah.
Plaintiff berargumen bahwa Ledger tidak meningkatkan langkah-langkah keamanan secara memadai setelah kejadian sebelumnya, serta meremehkan seriusnya kebocoran data tahun 2020 dan insiden keamanan Desember 2023. Gugatan tersebut juga mencantumkan tujuh dasar gugatan, termasuk ketentuan terkait Hukum Bisnis Negara Bagian New York, kelalaian, pernyataan yang salah, dan pelanggaran kewajiban kepercayaan.
Calon objek gugatan kolektif adalah pengguna yang mengalami kerugian dana, transaksi tidak sah, atau biaya penanganan pencurian identitas di Amerika Serikat akibat kebocoran data terkait. Gugatan tersebut menyatakan bahwa jumlah calon penggugat dapat mencapai ribuan orang.
Informasi tambahan: Setelah insiden tahun 2023, Ledger menyatakan akan mengganti kerugian pengguna yang terdampak dan mengadvokasi penghapusan fitur blind signing di aplikasi Ethereum Virtual Machine. Pada Februari tahun ini, masih muncul surat palsu dan situs phishing yang mengatasnamakan Ledger.