米国ニューヨーク南部地方裁判所で受理された提訴集団訴訟により、ハードウェアウォレットメーカーのLedgerが新たなセキュリティ問題の中心に置かれている。原告は、Ledgerが2023年12月のセキュリティイベントにおけるアクセス制御およびその後の開示に問題があり、その結果、顧客情報が悪意のある人物に悪用され、カスタマーサポートを装った暗号資産詐欺がさらに発生したと主張している。
訴訟は2023年12月の出来事に指向しています
この訴訟は8月27日に提出されました。原告のダグラス・キムは、個人としておよび提唱される全米クラスアクションを代表して、最低5億ドルの賠償を求めて訴えを提起しました。訴状によると、Ledgerは顧客の個人識別情報および暗号資産のセキュリティに関連するデータを十分に保護していませんでした。
争点はLedger Connect Kitにある。これはハードウェアウォレットとウェブサイト、デセントラライズドアプリを接続するためのソフトウェアライブラリである。告訴書によると、攻撃者はフィッシングにより元従業員のNPMJSアカウントのアクセス権を取得し、Ledgerは従業員の退職後にそのアクセス権を適切に取り消さなかった。
攻撃者はその後、悪意のあるバージョンのConnect Kitをアップロードし、ユーザーに悪意のあるトランザクションに署名させ、資金を自身が制御するアドレスに転送しました。Ledgerは当時、悪意のあるコードがユーザーに署名を促す可能性があり、ウォレット資産が移動する原因となったことを認めていました。
原告は、約195万ドルの資産が盗まれたと主張している。
訴状によると、本件の損失はConnect Kitイベント発生時の直接的な影響にとどまらない。原告は、攻撃者がその後、顧客の名前、メールアドレス、電話番号などの情報を悪用してLedgerまたは関連サービス担当者を装い、二次的な詐欺を実行したと主張しており、同社は顧客に対して十分な警告を行わなかったとしている。
ダグラス・キムは、2025年2月にCoincoverおよびLedgerの職員を装った電話を受け、自分のアカウント情報がオランダでLedger Recoverの登録に使用され、資産が危険にさらされていると通知されたと述べた。その後、彼はLedgerから来たように見えるメールを受け取り、偽のウェブサイトに誘導され、デバイスを「リセット」するためにメンション語を入力した。
訴状によると、2日後にKimは1,948,074ドル相当の暗号資産が盗まれ、未だ回収されていないことを発見した。原告は、攻撃者が2023年12月のイベントで漏洩したデータを用いて、Ledgerユーザーの身元を特定し、関連するメールをトリガーしたと主張している。
訴状には2020年のデータ漏洩も言及されている。
この告訴書は、Ledgerの過去のセキュリティ記録を引用し、同社は2020年にすでに大規模なデータ漏洩を起こしており、27万人以上の顧客の名前、住所、電話番号が漏洩したと述べている。これらのデータは後にネット上の闇市場に流出し、この事件は過去にも個別の訴訟を引き起こした。
原告は、Ledgerが以前のイベント後に十分なセキュリティ対策を強化しておらず、2020年のデータ漏洩および2023年12月のセキュリティイベントの深刻さを軽視したと主張している。訴状には、ニューヨーク州商業法の関連条項、過失、虚偽陳述、および誠実義務の違反を含む7つの訴因が列挙されている。
提訴の対象は、米国内で関連するデータ漏洩により資金損失、不正取引、または身元盗用の対処コストを被ったユーザーである。訴状によると、潜在的な原告は数千人に達する可能性がある。
追加情報：Ledgerは2023年のイベント後、影響を受けたユーザーへの補償を実施し、イーサリアム仮想マシンアプリにおけるブラインド署名機能の削除を推進すると表明しました。今年2月には、Ledgerを装った偽の手紙やフィッシングサイトが市場に依然として存在していました。