Gugatan Class Action Terhadap Ledger
Ledger, perusahaan pembuat dompet perangkat keras, kini menghadapi gugatan class action yang diusulkan dengan tuntutan mencapai $500 juta. Gugatan ini diajukan oleh Douglas Kim di Pengadilan Distrik AS untuk Distrik Selatan New York pada 27 Agustus 2023. Kim menuduh bahwa Ledger gagal melindungi informasi pribadi pelanggan dan data keamanan cryptocurrency dengan memadai, yang mengakibatkan pencurian cryptocurrency dan kerugian finansial lainnya akibat insiden keamanan yang terjadi pada Desember 2023.
Tuduhan dalam Gugatan
Dalam gugatannya, Kim menyatakan bahwa Ledger tidak memberikan informasi yang cukup kepada pelanggan setelah insiden tersebut dan tidak sepenuhnya mengungkapkan ruang lingkup masalah yang terjadi. Ia mengklaim bahwa para peretas menggunakan informasi kontak pelanggan untuk menyamar sebagai perwakilan Ledger dan mendapatkan akses ke dompet cryptocurrency serta kunci pribadi pelanggan.
Gugatan ini mencakup tujuh alasan tindakan, termasuk klaim berdasarkan Undang-Undang Bisnis Umum New York Pasal 349 dan 350, kelalaian, penyajian keliru yang lalai, estoppel janji, dan pelanggaran perjanjian tersirat mengenai itikad baik dan perlakuan yang adil.
Insiden Keamanan Desember 2023
Insiden yang terjadi pada Desember 2023 melibatkan Ledger Connect Kit, sebuah pustaka perangkat lunak yang digunakan untuk menghubungkan dompet perangkat keras dengan situs web dan aplikasi terdesentralisasi. Menurut gugatan, penyerang berhasil mengakses akun NPMJS seorang mantan karyawan Ledger melalui serangan phishing. Ledger diakui telah gagal mencabut akses mantan karyawan tersebut dengan benar setelah masa kerjanya berakhir.
Setelah mendapatkan akses, para penyerang mengunggah versi berbahaya dari Ledger Connect Kit yang dapat mengalihkan transaksi ke alamat yang mereka kendalikan, memaksa pengguna untuk menyetujui transaksi yang merugikan. Ledger mengakui bahwa perangkat lunak berbahaya tersebut dapat menipu pengguna untuk menandatangani transaksi yang menguras dompet mereka.
Kerugian dan Tindakan Ledger
CEO Ledger, Pascal Gauthier, menyatakan bahwa insiden tersebut terisolasi pada aplikasi pihak ketiga dan bahwa dompet perangkat keras Ledger tetap tidak terpengaruh. Namun, kerugian akibat eksploitasi Connect Kit diperkirakan antara $480.000 hingga $600.000. Ledger kemudian berjanji untuk mengganti rugi pengguna yang terdampak dan mengumumkan rencana untuk menghapus tanda tangan buta untuk aplikasi terdesentralisasi di mesin virtual Ethereum.
Pengalaman Douglas Kim
Kim, yang pertama kali membeli dompet perangkat keras Ledger pada tahun 2017 dan membeli Nano X di New York City pada tahun 2021, mengaku menjadi korban skema penyamaran yang mengatasnamakan Ledger. Pada 18 Februari 2025, Kim menerima panggilan dari seseorang yang mengaku mewakili Coincover, yang disebutkan sebagai departemen dalam Ledger. Penelepon tersebut memberi tahu Kim bahwa seseorang di Belanda telah mencoba mendaftar untuk Ledger Recover menggunakan informasinya dan bahwa aset kriptonya berisiko.
Kemudian, seseorang kedua menghubungi Kim dengan menyamar sebagai perwakilan Ledger lainnya dan memintanya untuk memeriksa emailnya sebagai bukti bahwa penelepon tersebut sah. Kim menerima apa yang tampak sebagai email dari Ledger. Gugatan tersebut menuduh bahwa para penyerang menggunakan informasi kontak pelanggan yang berasal dari insiden Desember 2023 untuk mengidentifikasi Kim sebagai pelanggan Ledger dan memicu email tersebut.
Upaya Penipuan Berlanjut
Pelanggan Ledger terus menghadapi upaya penyamaran. Pada Februari 2026, penipu mengirimkan surat palsu dari Ledger yang mengarahkan penerima ke situs phishing untuk mengumpulkan frasa pemulihan dompet. Serangan surat fisik serupa dilaporkan pada April 2025, ketika penipu menggunakan data yang bocor pada tahun 2020 untuk mengirim surat bermerek Ledger yang berisi kode QR yang mengarahkan pelanggan ke situs web yang meminta frasa pemulihan mereka.
Sejarah Keamanan Ledger
Gugatan Kim menggunakan sejarah keamanan Ledger sebelumnya untuk mendukung tuduhannya tentang perlindungan yang tidak memadai. Pelanggaran pada tahun 2020 mempengaruhi lebih dari 270.000 pelanggan Ledger, mengekspos informasi seperti nama, alamat fisik, dan nomor telepon. Data tersebut kemudian tersedia di saluran pasar gelap online. Litigasi atas pelanggaran tersebut dibawa secara terpisah di Distrik Utara California.
Gugatan baru ini menuduh Ledger gagal meningkatkan praktik keamanannya setelah insiden tersebut dan meremehkan baik pelanggaran sebelumnya maupun insiden Desember 2023.
Permintaan dalam Gugatan
Kim mengusulkan kelas nasional yang mencakup individu AS yang informasi pribadi, aset kripto, atau kredensial kripto mereka dikompromikan akibat dugaan pelanggaran data dan yang mengalami kerugian finansial, transaksi yang tidak sah, atau biaya mitigasi pencurian identitas. Gugatan tersebut menyatakan bahwa kelas yang diusulkan dapat berjumlah ribuan.
Subkelas New York yang terpisah akan mencakup pelanggan yang memenuhi syarat yang transaksinya dengan Ledger, termasuk pembelian produk atau layanan atau pembuatan akun Ledger, terjadi di New York. Kim memperkirakan kerugian pribadinya sekitar $2 juta dan mengklaim kerugian kolektif kelas dapat mencapai setidaknya $500 juta, yang berpotensi mencapai miliaran dolar tergantung pada jumlah pelanggan yang terkena dampak dan ukuran kerugian individu.
Angka-angka tersebut adalah perkiraan yang diajukan oleh penggugat dan belum ditetapkan oleh pengadilan. Pengajuan Kim meminta deklarasi bahwa Ledger melanggar SHIELD Act New York dan Pasal 349 dan 350 Undang-Undang Bisnis Umum, serta temuan kelalaian dan penyajian keliru yang lalai. Bantuan yang diminta mencakup ganti rugi yang sebenarnya, kompensasi, ganti rugi hukum, ganti rugi tiga kali lipat, dan ganti rugi hukuman, serta biaya pengacara dan biaya. Penggugat juga telah meminta persidangan juri.
