Một vụ kiện tập thể đề xuất được nộp tại Tòa án Liên bang khu vực Nam New York, Hoa Kỳ, đã đưa nhà sản xuất ví phần cứng Ledger vào trung tâm của một cuộc tranh cãi an ninh mới. Nguyên đơn cho rằng Ledger có vấn đề về kiểm soát truy cập và tiết lộ thông tin sau sự cố an ninh vào tháng 12 năm 2023, dẫn đến thông tin khách hàng bị kẻ xấu lợi dụng, từ đó gây ra các vụ lừa đảo tiền mã hóa giả danh dịch vụ khách hàng.
Vụ kiện nhắm vào sự kiện tháng 12 năm 2023
Vụ kiện này được nộp vào ngày 27 tháng 8. Nguyên đơn Douglas Kim đã khởi kiện với tư cách cá nhân và đại diện cho nhóm tập thể toàn quốc đề xuất, yêu cầu bồi thường ít nhất 500 triệu USD. Bản kiện cáo buộc Ledger đã không bảo vệ đầy đủ thông tin nhận dạng cá nhân của khách hàng và các dữ liệu liên quan đến bảo mật tài sản tiền mã hóa.
Trung tâm của tranh chấp hướng đến Ledger Connect Kit — một thư viện phần mềm dùng để kết nối ví phần cứng với các trang web và ứng dụng phi tập trung. Đơn kiện cho rằng kẻ tấn công đã lấy được quyền truy cập vào tài khoản NPMJS của một cựu nhân viên, trong khi Ledger không thu hồi quyền truy cập liên quan ngay sau khi nhân viên nghỉ việc.
Sau đó, kẻ tấn công đã tải lên phiên bản độc hại của Connect Kit, lừa người dùng ký các giao dịch độc hại và chuyển tài sản đến các địa chỉ do chúng kiểm soát. Ledger lúc đó đã thừa nhận rằng mã độc có thể lừa người dùng ký tên, dẫn đến việc tài sản ví bị chuyển đi.
Nguyên đơn cho biết gần 1,95 triệu USD tài sản đã bị đánh cắp
Đơn kiện cho rằng thiệt hại của vụ việc không chỉ giới hạn ở ảnh hưởng trực tiếp tại thời điểm sự kiện Connect Kit xảy ra. Nguyên đơn cho rằng kẻ tấn công sau đó đã sử dụng thông tin như tên khách hàng, email và số điện thoại để giả danh Ledger hoặc nhân viên dịch vụ liên quan thực hiện các vụ lừa đảo thứ cấp, trong khi công ty không cảnh báo đầy đủ cho khách hàng.
Douglas Kim cho biết, vào tháng 2 năm 2025, anh nhận được cuộc gọi từ những người giả danh nhân viên của Coincover và Ledger, nói rằng thông tin tài khoản của anh đã được sử dụng tại Hà Lan để đăng ký Ledger Recover, khiến tài sản của anh gặp rủi ro. Sau đó, anh lại nhận được một email trông giống như đến từ Ledger và bị hướng dẫn truy cập vào trang web giả mạo để nhập từ phục hồi nhằm “đặt lại thiết bị”.
The complaint states that two days later, Kim discovered that $1,948,074 worth of crypto assets had been stolen and have not been recovered. The plaintiff alleges that the attacker identified their Ledger account and triggered the associated email using contact information exposed in the December 2023 incident.
Đơn kiện cũng đề cập đến vụ rò rỉ dữ liệu năm 2020
Đơn kiện này còn trích dẫn lịch sử bảo mật trước đây của Ledger, cho biết công ty đã từng xảy ra vụ rò rỉ dữ liệu quy mô lớn từ năm 2020, ảnh hưởng đến hơn 270.000 khách hàng, với thông tin bị rò rỉ bao gồm tên, địa chỉ và số điện thoại. Dữ liệu liên quan sau đó đã trôi nổi trên thị trường đen trực tuyến, sự kiện này cũng từng gây ra các vụ kiện riêng biệt.
Nguyên đơn lập luận rằng Ledger không tăng cường đủ các biện pháp an toàn sau sự kiện trước đó, đồng thời giảm nhẹ mức độ nghiêm trọng của vụ rò rỉ dữ liệu năm 2020 và sự cố an toàn tháng 12 năm 2023. Đơn kiện cũng liệt kê bảy căn cứ kiện, bao gồm các điều khoản liên quan đến luật thương mại bang New York, sơ suất, tuyên bố sai sự thật và vi phạm nghĩa vụ trung thực.
Đối tượng của vụ kiện tập thể được đề xuất là những người dùng tại Hoa Kỳ đã chịu tổn thất tài chính, giao dịch không được ủy quyền hoặc chi phí xử lý trộm cắp danh tính do sự rò rỉ dữ liệu liên quan. Đơn kiện cho biết số lượng nguyên đơn tiềm năng có thể lên đến hàng ngàn người.
Thông tin bổ sung: Sau sự kiện năm 2023, Ledger đã tuyên bố sẽ bồi thường cho người dùng bị ảnh hưởng và thúc đẩy loại bỏ tính năng ký mù trong các ứng dụng Ethereum Virtual Machine. Vào tháng 2 năm nay, vẫn xuất hiện các thư giả mạo và trang web lừa đảo mạo danh Ledger trên thị trường.