Hardware wallet-fabrikant Ledger wordt geconfronteerd met een voorgestelde collectieve rechtszaak waarin ten minste $500 miljoen wordt geëist vanwege een lek in december 2023. Eén klant houdt dat incident verantwoordelijk voor de diefstal van $1,9 miljoen aan crypto.
Kernpunten:
- Douglas Kim heeft op 27 augustus bij de federale rechtbank in Manhattan een collectieve claim tegen Ledger ingediend en eist minimaal $500 miljoen.
- De aanklacht wijt een compromittering van de Connect Kit in december 2023 aan een imitatiezwendel die hem in februari 2025 $1.948.074 kostte.
- Ledger heeft 7 miljoen hardware wallets verkocht; de klacht gaat ervan uit dat 3% van de kopers, ofwel 210.000 mensen, is getroffen.
Douglas Kim schetst de Connect Kit-hack
Douglas Kim heeft op 27 augustus zijn klacht ingediend bij de U.S. District Court for the Southern District of New York. De Franse vennootschap Ledger SAS wordt genoemd als enige gedaagde. Advocatenkantoor Ervin Cohen & Jessup procedeert namens een voorgestelde landelijke klasse van kopers.
De zaak concentreert zich op een beveiligingsincident rond 14 december 2023, toen aanvallers het NPMJS‑account wisten over te nemen waarmee de Ledger Connect Kit werd gepubliceerd.
Deze softwarebibliotheek vormt de schakel tussen de hardware wallets van het bedrijf en gedecentraliseerde applicaties. De aanvallers kregen toegang via een phishingaanval op een voormalig medewerker van wie de toegangsrechten nooit waren ingetrokken. Ledger heeft die fout destijds erkend.
Kim stelt dat hij op 18 februari 2025 werd gebeld door iemand die zich voordeed als medewerker van Coincover, met de waarschuwing dat iemand in Nederland zou hebben geprobeerd hem aan te melden voor Ledger Recover. Een tweede beller leidde hem naar een nagemaakte website, waar hij zijn passphrase invoerde. Twee dagen later ontdekte hij dat er voor $1.948.074 aan crypto was verdwenen.
Ook interessant: XRP Ledger krijgt BIS‑proef met datapunblicatie in 3–5 seconden
Schadeclaim tegen Ledger rust op aannames
In de dagvaarding worden zeven rechtsgronden opgesomd, waaronder nalatigheid, nalatige misrepresentatie, promissory estoppel en schendingen van Sections 349 en 350 van de New York General Business Law, de bepalingen over misleidende handelspraktijken en valse reclame. Kim vraagt daarnaast om een verklaring voor recht dat het bedrijf de New Yorkse SHIELD Act heeft geschonden door getroffen inwoners van de staat niet binnen dertig dagen te informeren.
Het gevorderde bedrag van $500 miljoen is een schatting, geen optelsom. De eis is gebaseerd op de verkoop van 7 miljoen Ledger‑apparaten en de aanname dat 3% van de kopers – ongeveer 210.000 personen – schade heeft geleden. Het verlies van Kim deed zich 14 maanden na het lek voor; de klacht legt op basis van “information and belief” een verband tussen beide en behoudt zich het recht voor de vordering te wijzigen na het bewijsverzamelingsproces (discovery).
Beveiligingsdossier van Ledger onder het vergrootglas
Volgens Ledger zelf werd via de Connect Kit‑exploit ongeveer $600.000 buitgemaakt bij gebruikers die “blind” transacties ondertekenden op toepassingen die draaien op de virtuele machine van Ethereum (ETH).
Het bedrijf beloofde toen alle direct getroffen gebruikers volledig te compenseren en kondigde stappen aan om blind signing uit te faseren.
Topman Pascal Gauthier stelde destijds dat het probleem lag bij externe applicaties en niet bij de hardware van Ledger zelf.
Al in 2020 raakte Ledger verwikkeld in een groot datalek waarbij gegevens van meer dan 270.000 klanten op straat kwamen te liggen. Die informatie circuleert sindsdien op illegale marktplaatsen; een rechtszaak hierover loopt nog altijd bij de federale rechtbank in het Northern District of California. Oplichters versturen bovendien nog tot in april 2025 brieven in Ledger‑huisstijl met QR‑codes naar wallet‑houders in een poging hen te misleiden.
Lees verder: Full Sail sluit de deuren na $91.000 Sui-hack die drie kluizen leegtrekt
