Produsen dompet keras kripto Ledger menghadapi gugatan class action yang menuntut sedikitnya US$500 juta, imbas kebocoran pada Desember 2023 yang oleh seorang nasabah dikaitkan dengan pencurian aset senilai US$1,9 juta.
Poin Penting:
- Douglas Kim mengajukan usulan gugatan class action terhadap Ledger pada 27 Agustus di pengadilan federal Manhattan, menuntut sedikitnya US$500 juta.
- Gugatan menuding kompromi Connect Kit pada Desember 2023 membuka jalan bagi skema penipuan penyamaran yang merugikannya US$1.948.074 pada Februari 2025.
- Ledger mengklaim telah menjual 7 juta unit, dan penggugat mengasumsikan 3% pembeli, atau sekitar 210.000 orang, terdampak insiden tersebut.
Douglas Kim Beberkan Rinci Kebocoran Connect Kit
Douglas Kim mendaftarkan gugatannya pada 27 Agustus di U.S. District Court for the Southern District of New York, dengan perusahaan Prancis Ledger SAS sebagai satu-satunya tergugat. Firma hukum Ervin Cohen & Jessup mengajukan perkara ini sebagai gugatan class action nasional untuk seluruh pembeli.
Perkara ini berporos pada insiden keamanan sekitar 14 Desember 2023, ketika pelaku berhasil mengambil alih akun NPMJS yang digunakan untuk menerbitkan Ledger Connect Kit.
Pustaka perangkat lunak tersebut berfungsi sebagai penghubung dompet keras Ledger dengan aplikasi terdesentralisasi. Menurut gugatan, pelaku menembus akun itu melalui skema phishing terhadap mantan karyawan yang hak aksesnya tidak pernah dicabut. Ledger sebelumnya telah mengakui kelalaian tersebut.
Kim mengklaim, pada 18 Februari 2025 ia dihubungi seseorang yang menyamar sebagai perwakilan Coincover, yang memperingatkannya bahwa ada pihak di Belanda mencoba mendaftarkan dirinya ke layanan Ledger Recover. Penelepon kedua kemudian mengarahkan Kim ke situs tiruan yang menyerupai laman resmi. Di sana ia memasukkan passphrase dompetnya, dan dua hari kemudian ia mendapati aset kripto senilai US$1.948.074 sudah lenyap.
Juga Baca: XRP Ledger Diuji BIS untuk Publikasi Data 3–5 Detik
Tuntutan Ganti Rugi Ledger Bertumpu pada Estimasi
Dalam berkas pengadilan, penggugat memaparkan tujuh dasar gugatan, antara lain kelalaian (negligence), penyajian informasi yang menyesatkan (negligent misrepresentation), promissory estoppel, serta pelanggaran Sections 349 dan 350 New York General Business Law yang mengatur praktik curang dan iklan menyesatkan. Kim juga meminta pengadilan menyatakan Ledger melanggar SHIELD Act negara bagian New York karena tidak memberi tahu warga New York yang terdampak dalam waktu 30 hari.
Nilai tuntutan US$500 juta itu bersifat estimatif, bukan hasil penghitungan aktual kerugian. Angka tersebut ditarik dari klaim Ledger bahwa mereka telah menjual 7 juta unit dompet, dengan asumsi 3% pembeli — sekitar 210.000 orang — mengalami dampak dari insiden keamanan ini.
Kerugian Kim sendiri terjadi 14 bulan setelah kebocoran Connect Kit, dan gugatan menghubungkan kedua peristiwa itu “berdasarkan informasi dan keyakinan”, sambil menyatakan akan menggunakan hak untuk mengubah gugatan setelah proses pembuktian (discovery).
Rekam Jejak Keamanan Ledger Kian Disorot
Eksploitasi terhadap Connect Kit itu, menurut pengakuan perusahaan beberapa hari setelah kejadian, menguras sekitar US$600.000 dari pengguna yang menandatangani transaksi “secara buta” di aplikasi berbasis mesin virtual Ethereum (ETH).
Ledger kemudian berjanji akan mengganti kerugian para pengguna yang terdampak dan mulai menghapus praktik blind signing dari layanannya.
CEO Pascal Gauthier saat itu menegaskan bahwa akar masalah berada pada aplikasi pihak ketiga, bukan pada perangkat keras Ledger itu sendiri.
Namun, reputasi keamanan Ledger sudah lebih dulu tercoreng oleh kebocoran data pada 2020 yang mengungkap informasi lebih dari 270.000 pelanggan. Data tersebut beredar di kanal pasar gelap, gugatan terkait insiden itu masih bergulir di Northern District of California, dan para penipu bahkan mengirim surat berlogo Ledger yang disertai kode QR kepada pemilik dompet hingga setidaknya April 2025.
Baca Berikutnya: Full Sail Tutup Setelah Peretasan Sui US$91.000 Menguras Tiga Vault
