ผู้ผลิตกระเป๋าฮาร์ดแวร์ Ledger กำลังเผชิญคดีฟ้องร้องแบบกลุ่ม (class action) ที่เรียกค่าเสียหายอย่างน้อย 500 ล้านดอลลาร์ จากเหตุการณ์ละเมิดความปลอดภัยในเดือนธันวาคม 2023 ซึ่งโจทก์อ้างว่าเชื่อมโยงกับการถูกขโมยคริปโตรวม 1.9 ล้านดอลลาร์
ประเด็นสำคัญ:
- Douglas Kim ยื่นคำฟ้องคดีแบบกลุ่มต่อ Ledger เมื่อวันที่ 27 ส.ค. ที่ศาลรัฐบาลกลางแมนฮัตตัน เรียกค่าเสียหายอย่างน้อย 500 ล้านดอลลาร์
- คำฟ้องกล่าวโทษการถูกเจาะระบบ Connect Kit เมื่อ ธ.ค. 2023 ว่าเป็นต้นตอของกลโกงปลอมตัว หลอกให้สูญเงิน 1,948,074 ดอลลาร์ในเดือน ก.พ. 2025
- Ledger ขายฮาร์ดแวร์วอลเล็ตไปแล้ว 7 ล้านเครื่อง โดยคำฟ้องประเมินว่ามีผู้ได้รับผลกระทบราว 3% หรือประมาณ 210,000 ราย
รายละเอียดคดี Connect Kit ของ Douglas Kim
Douglas Kim ได้ยื่นคำฟ้องต่อศาลแขวงสหรัฐ เขต Southern District of New York เมื่อวันที่ 27 ส.ค. โดยระบุบริษัทฝรั่งเศส Ledger SAS เป็นจำเลยเพียงรายเดียว สำนักงานกฎหมาย Ervin Cohen & Jessup เป็นตัวแทนโจทก์ในการฟ้องร้องแบบกลุ่มระดับประเทศสำหรับผู้ซื้อผลิตภัณฑ์ของ Ledger ทั่วสหรัฐ
คดีนี้ มีศูนย์กลาง อยู่ที่เหตุละเมิดความปลอดภัยเมื่อราววันที่ 14 ธ.ค. 2023 ซึ่งแฮกเกอร์ได้ยึดบัญชีบน NPMJS ที่ใช้เผยแพร่ซอฟต์แวร์ Ledger Connect Kit
ไลบรารีนี้ทำหน้าที่เชื่อมฮาร์ดแวร์วอลเล็ตของ Ledger เข้ากับแอปพลิเคชันกระจายศูนย์ (dApp) โดยผู้โจมตีสามารถเข้าถึงบัญชีได้จากการฟิชชิ่งพนักงานเก่ารายหนึ่งที่บริษัทไม่เคยเพิกถอนสิทธิ์เข้าถึง ซึ่ง Ledger เคยยอมรับข้อบกพร่องดังกล่าวไว้แล้วในขณะนั้น
Kim ระบุว่า เมื่อวันที่ 18 ก.พ. 2025 มีผู้โทรมาหา อ้างตัวเป็นตัวแทนของ Coincover แจ้งเตือนว่ามีบุคคลในเนเธอร์แลนด์พยายามลงทะเบียนบริการ Ledger Recover แทนเขา จากนั้นมีอีกสายหนึ่งโทรมาชี้นำให้เข้าเว็บไซต์ปลอมที่ทำหน้าตาเลียนแบบ Ledger เขาจึงกรอก passphrase ลงไป และสองวันถัดมาเขาพบว่าเงินรวม 1,948,074 ดอลลาร์หายไป
อ่านเพิ่มเติม: เครือข่าย XRP Ledger ผ่านการทดสอบของ BIS ด้วยความถี่เผยแพร่ข้อมูล 3–5 วินาที
คำร้องเรียกค่าเสียหาย 500 ล้านดอลลาร์อิงจากการประเมิน
คำฟ้องระบุฐานความผิดรวม 7 ข้อ อาทิ ความประมาทเลินเล่อ (negligence), การให้ข้อมูลคลาดเคลื่อนโดยประมาท (negligent misrepresentation), promissory estoppel ตลอดจนการละเมิดกฎหมายธุรกิจทั่วไปของรัฐนิวยอร์ก มาตรา 349 และ 350 ว่าด้วยการโฆษณาและการประกอบธุรกิจที่เป็นเท็จหรือหลอกลวง นอกจากนี้ Kim ยังขอให้ศาลมีคำวินิจฉัยว่า Ledger ละเมิดกฎหมาย SHIELD Act ของนิวยอร์ก จากการไม่แจ้งเตือนลูกค้าที่พำนักในรัฐนิวยอร์กภายใน 30 วันหลังพบเหตุละเมิดข้อมูล
ตัวเลข 500 ล้านดอลลาร์เป็นการประเมิน ไม่ใช่ยอดความเสียหายที่คำนวณจริง โดยอ้างอิงจากยอดขายฮาร์ดแวร์วอลเล็ตของ Ledger 7 ล้านเครื่อง และสมมติฐานว่ามีผู้ซื้อลงเอยได้รับความเสียหาย 3% หรือราว 210,000 ราย ความเสียหายของ Kim เกิดขึ้นหลังเหตุรั่วไหล 14 เดือน โดยคำฟ้องเชื่อมโยงทั้งสองเหตุการณ์บนฐาน “ข้อมูลและความเชื่อ” และสงวนสิทธิ์ในการ แก้ไขคำฟ้อง ภายหลังเมื่อได้ข้อมูลเพิ่มเติมจากกระบวนการค้นข้อเท็จจริง (discovery)
ประวัติด้านความปลอดภัยของ Ledger ถูกจับตา
ช่องโหว่ใน Connect Kit เคยทำให้ผู้ใช้ที่ลงนามธุรกรรมแบบ “blind signing” บนแอปที่ใช้ Ethereum (ETH) Virtual Machine สูญคริปโตไปราว 600,000 ดอลลาร์ ตามตัวเลขที่ Ledger เปิดเผยไม่กี่วันหลังเหตุการณ์
Ledger ให้คำมั่น ว่าจะชดเชยความเสียหายให้ผู้ใช้ที่ได้รับผลกระทบทั้งหมด และเดินหน้าเลิกการทำธุรกรรมแบบ blind signing อย่างค่อยเป็นค่อยไป
Pascal Gauthier ประธานเจ้าหน้าที่บริหารของ Ledger ระบุในขณะนั้นว่า ปัญหาอยู่ที่แอปพลิเคชันของบุคคลที่สาม ไม่ใช่ที่ฮาร์ดแวร์ของ Ledger เอง
ย้อนกลับไปในปี 2020 Ledger เคยเกิดเหตุข้อมูลลูกค้ารั่วไหลแล้วหนึ่งครั้ง ซึ่งกระทบลูกค้ามากกว่า 270,000 ราย ข้อมูลดังกล่าวถูกนำไปเผยแพร่และซื้อขายในตลาดมืด คดีความเกี่ยวข้องกับเหตุการณ์นั้นยังคงอยู่ในชั้นศาลแขวง Northern District of California และมิจฉาชีพยังคงส่งจดหมายปลอมที่ใช้แบรนด์ Ledger พร้อม QR code ไปถึงเจ้าของวอลเล็ตอย่างน้อยจนถึงเดือนเมษายน 2025
อ่านถัดไป: Full Sail ปิดตัว หลังถูกแฮกราว 91,000 ดอลลาร์บน Sui สูญสามคลังหลัก
