A fabricante de carteiras de hardware Ledger enfrenta uma ação coletiva proposta que pede pelo menos US$ 500 milhões, em decorrência de uma violação ocorrida em dezembro de 2023 e que um cliente associa a um roubo de US$ 1,9 milhão.
Principais pontos:
- Douglas Kim entrou com uma ação coletiva proposta contra a Ledger em 27 de agosto, no tribunal federal de Manhattan, pedindo pelo menos US$ 500 milhões.
- A queixa responsabiliza o comprometimento do Connect Kit, em dezembro de 2023, por um golpe de falsidade ideológica que lhe custou US$ 1.948.074 em fevereiro de 2025.
- A Ledger já vendeu 7 milhões de unidades, e a petição parte da premissa de que 3% dos compradores, cerca de 210 mil pessoas, foram afetados.
Douglas Kim detalha falha no Connect Kit
Douglas Kim protocolou a ação em 27 de agosto no Tribunal Distrital dos EUA para o Distrito Sul de Nova York, apontando a francesa Ledger SAS como única ré. O caso foi apresentado pelo escritório Ervin Cohen & Jessup, em nome de uma classe nacional proposta de compradores.
O processo gira em torno de um incidente de segurança datado de 14 de dezembro de 2023 (ou próximo disso), quando invasores se apoderaram da conta NPMJS usada para publicar o Ledger Connect Kit.
Essa biblioteca faz a ponte entre as carteiras de hardware da empresa e aplicações descentralizadas. Segundo a ação, os atacantes obtiveram acesso por meio de um golpe de phishing contra um ex-funcionário cujo acesso não havia sido revogado — uma falha que a própria Ledger reconheceu à época.
Kim relata que, em 18 de fevereiro de 2025, recebeu uma ligação de alguém que se passou por representante da Coincover, alertando que uma pessoa na Holanda teria tentado cadastrá-lo no Ledger Recover. Um segundo telefonema o direcionou para um site falso, visualmente semelhante ao oficial, onde ele inseriu sua passphrase. Dois dias depois, constatou que US$ 1.948.074 haviam sido retirados de sua carteira, conforme documento anexado ao processo.
Veja também: XRP Ledger recebe teste do BIS com publicação de dados em 3-5 segundos
Cálculo dos danos parte de estimativas
A petição elenca sete fundamentos jurídicos, incluindo negligência, declaração negligente, promissory estoppel (quebra de promessa com confiança legítima) e violações das Seções 349 e 350 da Lei Geral de Negócios do estado de Nova York, que tratam de práticas enganosas e publicidade falsa. Kim também pede uma declaração judicial de que a empresa violou a lei SHIELD de Nova York ao não notificar, em até 30 dias, os residentes do estado afetados pela violação.
O valor de US$ 500 milhões é descrito como estimativo, não um cálculo fechado. Ele deriva do volume de 7 milhões de unidades vendidas pela Ledger e da suposição de que 3% dos compradores — cerca de 210 mil pessoas — sofreram algum tipo de prejuízo. A perda de Kim ocorreu 14 meses após a falha inicial, e a ligação entre os dois eventos é feita “com base em informações e crenças”, reservando-se o direito de alterar a petição após a fase de produção de provas (discovery).
Histórico de segurança da Ledger volta ao centro do debate
Segundo a própria empresa, o ataque ao Connect Kit drenou cerca de US$ 600 mil de usuários que assinavam transações “às cegas” em aplicações da máquina virtual da Ethereum (ETH).
A Ledger prometeu ressarcir integralmente esses clientes e anunciou medidas para descontinuar o mecanismo de assinatura às cegas.
O presidente-executivo, Pascal Gauthier, sustentou então que o problema estava nas aplicações de terceiros, e não no hardware da Ledger.
Essa não foi a primeira vez que a segurança da empresa foi questionada. Em 2020, uma outra violação expôs dados de mais de 270 mil clientes da Ledger. As informações circularam em canais do mercado paralelo, processos relacionados ainda tramitam no Tribunal do Distrito Norte da Califórnia e golpistas chegaram a enviar cartas com a marca Ledger, contendo códigos QR, a usuários de carteiras tão recentemente quanto abril de 2025.
Leia a seguir: Full Sail encerra operações após ataque de US$ 91 mil em Sui drenar três cofres
