Der Hardware-Wallet-Hersteller Ledger sieht sich einer geplanten Sammelklage gegenüber, in der mindestens 500 Millionen US‑Dollar wegen eines Sicherheitsvorfalls im Dezember 2023 gefordert werden. Ein Kunde macht den Vorfall für einen Kryptodiebstahl von 1,9 Millionen US‑Dollar verantwortlich.
Wichtigste Fakten:
- Douglas Kim reichte am 27. August vor einem Bundesgericht in Manhattan eine geplante Sammelklage gegen Ledger ein und fordert mindestens 500 Millionen US‑Dollar.
- In der Klage wird ein kompromittiertes Connect-Kit-Update vom Dezember 2023 für einen Phishing-Betrug verantwortlich gemacht, der ihn im Februar 2025 1.948.074 US‑Dollar kostete.
- Ledger hat 7 Millionen Geräte verkauft, die Klage unterstellt, dass 3 % der Käufer – rund 210.000 Personen – betroffen waren.
Douglas Kim schildert den Connect-Kit-Hack
Douglas Kim hat seine Klage am 27. August beim U.S. District Court for the Southern District of New York eingereicht und die französische Gesellschaft Ledger SAS als alleinige Beklagte benannt. Die Anwaltskanzlei Ervin Cohen & Jessup vertritt eine vorgeschlagene landesweite Sammelklägergruppe von Käufern.
Im Mittelpunkt des Falls steht ein Sicherheitsvorfall vom oder um den 14. Dezember 2023, als Angreifer das NPMJS-Konto übernahmen, über das das Ledger Connect Kit veröffentlicht wurde.
Diese Software-Bibliothek verbindet die Hardware-Wallets des Unternehmens mit dezentralen Anwendungen. Die Angreifer verschafften sich Zugang, indem sie einen ehemaligen Mitarbeiter per Phishing attackierten, dessen Zugriffsrechte nie widerrufen worden waren. Ledger hatte dieses Versäumnis seinerzeit eingeräumt.
Kim berichtet, ihn habe am 18. Februar 2025 eine Person angerufen, die sich als Mitarbeiter von Coincover ausgab und davor warnte, dass jemand in den Niederlanden versucht habe, ihn bei Ledger Recover zu registrieren. Ein zweiter Anrufer lotste ihn anschließend auf eine täuschend echt wirkende Website, auf der Kim seine Passphrase eingab. Zwei Tage später stellte er fest, dass 1.948.074 US‑Dollar von seinem Wallet verschwunden waren.
Auch interessant: XRP Ledger erhält BIS‑Test mit 3–5‑Sekunden‑Datenpublikation
Schadensersatzforderung gegen Ledger basiert auf Schätzungen
Die Klageschrift führt sieben Anspruchsgrundlagen auf, darunter Fahrlässigkeit, fahrlässige Falschdarstellung, „promissory estoppel“ (Vertrauenshaftung aus Zusagen) sowie Verstöße gegen die Sections 349 und 350 des New Yorker General Business Law, die unlautere Geschäftspraktiken und irreführende Werbung regeln. Zudem verlangt Kim eine Feststellung, dass Ledger gegen das SHIELD‑Gesetz des Bundesstaats New York verstoßen habe, indem betroffene Einwohner New Yorks nicht innerhalb von 30 Tagen informiert wurden.
Die Summe von 500 Millionen US‑Dollar ist eine Schätzung, kein exakter Schaden. Sie leitet sich aus 7 Millionen verkauften Ledger-Geräten und der Annahme ab, dass 3 % der Käufer – also rund 210.000 Personen – geschädigt wurden. Kims Verlust trat 14 Monate nach dem Vorfall ein; die Klage stellt einen Zusammenhang „nach bestem Wissen und Gewissen“ her und behält sich vor, die Forderung nach der Beweisaufnahme anzupassen.
Ledgers Sicherheitsbilanz gerät unter Druck
Der Connect-Kit-Exploit führte laut Ledger dazu, dass rund 600.000 US‑Dollar von Nutzern abflossen, die im Vertrauen „blind“ Transaktionen in Anwendungen der Ethereum-(ETH)-Virtual-Machine signierten.
Das Unternehmen sagte zu, die betroffenen Nutzer vollständig zu entschädigen, und leitete Maßnahmen ein, um Blind Signings auslaufen zu lassen.
Vorstandschef Pascal Gauthier erklärte damals, das Problem habe bei Drittanbieter-Anwendungen gelegen, nicht bei der Ledger-Hardware.
Bereits 2020 war es zu einem Datenleck gekommen, bei dem die Daten von mehr als 270.000 Ledger-Kunden offengelegt wurden. Diese Informationen kursieren seither auf Untergrundmärkten; eine Klage hierzu ist vor dem Bundesgericht im Northern District of California noch anhängig. Noch im April 2025 erhielten Wallet-Besitzer betrügerische Briefe im Ledger-Design mit QR‑Codes.
Nächster Artikel: Full Sail stellt Betrieb nach Sui‑Hack über 91.000 US‑Dollar und der Plünderung von drei Vaults ein
