Un propriétaire de portefeuille Ledger découvre qu'il a perdu près de deux millions de dollars en crypto après un appel téléphonique d'un faux opérateur de sécurité. Ce n'est pas un cas isolé, mais le cœur d'un nouveau cas provoque la violation des données du grand livre qui vise droit au portefeuille de l'entreprise française : un projet de class action aux Etats-Unis demande au moins 500 millions de dollars compensation pour des failles de sécurité présumées et un manque de transparence liés à un incident survenu en décembre 2023.
Points clés
- Le recours collectif, déposé par Douglas Kim le 27 août devant le tribunal du district sud de New York, réclame au moins 500 millions de dollars.
- Kim affirme avoir perdu près de 1,95 million de dollars en crypto après avoir été contacté par des escrocs se faisant passer pour des représentants de Ledger.
- Le procès lie le vol aux données compromises lors de l’incident de sécurité de décembre 2023 sur le Ledger Connect Kit.
- Le texte cite également la violation de 2020, qui a touché plus de 270 000 clients, comme preuve d’une tendance à la médiocrité des protections.
- Le groupe proposé pourrait compter des milliers de membres, avec des dommages collectifs estimés à plus de 500 millions de dollars.
Une violation de données Ledger qui remonte à 2023 et qui revient dans l'actualité
Tout part d'un problème technique limité, du moins selon les premières communications officielles. En décembre 2023, un ancien employé de Ledger a été victime d'une attaque de phishing qui a compromis son compte NPMJS, la plateforme utilisée pour gérer les bibliothèques de logiciels. L'entreprise n'avait pas correctement révoqué l'accès de cette personne après la fin de son emploi, un détail que Ledger avait elle-même admis à l'époque.
Les attaquants, une fois à l'intérieur, ont chargé une version malveillante du Kit de connexion au grand livrela bibliothèque logicielle qui connecte les portefeuilles matériels aux sites Web et applications décentralisés. Le code modifié pourrait rediriger les transactions vers des adresses contrôlées par des criminels, incitant les utilisateurs à approuver des transactions frauduleuses sans s'en rendre compte. Ledger a publiquement reconnu que le logiciel malveillant pouvait inciter les utilisateurs à signer des transactions qui vidaient leur portefeuille.
À l'époque, le PDG Pascal Gauthier avait qualifié l'incident d'isolé aux applications tierces, assurant que les périphériques matériels de Ledger n'avaient pas été affectés. Les estimations des dommages directs liés à l'exploit Connect Kit variaient entre 480 000 et 600 000 $et Ledger avait promis des remboursements aux victimes ainsi que l'abandon progressif de la signature aveugle pour les dapps sur Ethereum.
Parce que le nouveau procès modifie l'ampleur des dommages
La nouvelle plainte va bien plus loin que ces chiffres initiaux. Kim allègue que des pirates ont accédé aux données personnelles des clients, notamment leurs e-mails, noms et numéros de téléphone, et que Ledger n'a pas alerté correctement les utilisateurs de toute l'étendue de l'incident. C’est là qu’intervient le véritable enjeu juridique : non pas tant le défaut technique de 2023, mais la gestion ultérieure des informations compromises.
L'affaire Kim : 1,95 million de dollars volés lors d'une usurpation d'identité
Douglas Kim avait acheté son premier portefeuille Ledger en 2017 et un Nano. L'appelant lui aurait dit que quelqu'un aux Pays-Bas essayait de s'inscrire à Ledger Recover en utilisant ses informations, mettant ainsi ses crypto-actifs en danger.
Une deuxième personne l'a alors contacté en se faisant passer pour un autre représentant de Ledger, lui demandant de vérifier son courrier électronique comme preuve de légitimité. Kim a en fait reçu ce qui ressemblait à un e-mail officiel du Ledger. La plainte allègue, sur la base des informations et des convictions du demandeur, que les attaquants ont utilisé les informations de contact de l'incident de décembre 2023 pour l'identifier en tant que client de Ledger et activer ce message. Kim se réserve le droit de modifier cette accusation spécifique après avoir obtenu les documents médico-légaux et de réponse aux incidents de Ledger par découverte.
Le faux représentant a dirigé Kim vers un site conçu pour ressembler aux services Ledger, lui demandant de saisir sa phrase secrète confidentielle pour une supposée réinitialisation de l'appareil. Kim l'a fait et a reçu ce qu'il pensait être une phrase secrète de remplacement. Deux jours plus tard, il a vérifié ses biens et a découvert des crypto-actifs valant 1 948 074 $ ils avaient été volés. Il n'a rien récupéré.
Il ne s'agit pas d'un incident isolé. En février 2026, des fraudeurs ont envoyé de fausses lettres au nom de Ledger qui dirigeaient les destinataires vers des sites de phishing conçus pour collecter des phrases de récupération de portefeuille. Des attaques de courrier similaires avaient déjà été signalées en avril 2025, lorsque des criminels auraient utilisé des données divulguées lors de la violation de 2020 pour envoyer des lettres contenant des codes QR frauduleux.
Le précédent de 2020 pèse sur la nouvelle action collective
Le procès ne se limite pas à l’incident de 2023. Il cite explicitement une violation antérieure, survenue en 2020, qui a touché plus de 270 000 clients de Ledger et a révélé des noms, des adresses physiques et des numéros de téléphone, qui ont ensuite fini par circuler sur les canaux du marché noir en ligne. Cette violation avait déjà fait l'objet d'un litige distinct dans le district nord de Californie.
Pourquoi cette référence historique est-elle importante ? Parce que cela construit, aux yeux du demandeur, une image de négligence répétée plutôt qu'un seul incident isolé. La nouvelle plainte allègue que Ledger n'a pas suffisamment amélioré ses pratiques de sécurité après 2020, accusant l'entreprise d'avoir minimisé à la fois cette violation et leIncident de sécurité du grand livre de 2023.
Kim fait valoir que les allégations de sécurité de l'entreprise étaient particulièrement pertinentes car Ledger exige que les clients fournissent des informations personnelles lors de l'achat : noms, e-mails, adresses de livraison, numéros de téléphone, détails de paiement et informations de commande. Selon la plainte, Ledger a annoncé des mesures telles que le cryptage, la formation des employés, l'authentification basée sur les rôles, l'authentification à deux facteurs, la surveillance continue du système et des tests de sécurité indépendants. Le procès allègue que ces déclarations étaient trompeuses parce que l’entreprise n’a pas mis en œuvre de mesures adéquates ni suffisamment pris en compte les risques prévisibles à la suite d’incidents antérieurs.
Les problèmes de sécurité autour de Ledger sont également revenus dans l'actualité récemment : en août, la société a déclaré qu'une faille dans la signature des transactions Ethereum avait déjà été corrigée avant qu'une autre société de sécurité ne la rende publique. Le CTO Charles Guillemet a expliqué que les utilisateurs disposant de micrologiciels et d'applications mis à jour étaient protégés, sans vol vérifié de manière indépendante lié à cette vulnérabilité spécifique. Quelques jours plus tard, Ledger a nié les accusations selon lesquelles il aurait été piraté après que l'équipe de sécurité de OneKey ait reproduit une faille de substitution de transaction en utilisant une version obsolète de l'application Ethereum de Ledger.
Ce que réclame le recours collectif et quelles lois sont impliquées
La plainte propose une classe nationale qui inclurait les citoyens américains dont les données personnelles, les crypto-actifs, les crypto-monnaies ou les informations d'identification cryptographiques ont été compromises à la suite des allégations. Violation des données client du grand livreet qui ont subi des pertes financières, des transactions non autorisées ou des coûts liés à l'atténuation du vol d'identité. Selon le texte, la classe pourrait compter des milliers de membres. Il existe également une sous-classe New York pour les clients qui ont acheté ou créé des comptes Ledger dans l'État de New York.
La plainte estime les dommages personnels de Kim à environ 2 millions de dollarstandis que les dommages collectifs de la classe pourraient atteindre au moins 500 millions de dollars, avec la possibilité d'atteindre des chiffres en milliards en fonction du nombre de clients impliqués et de l'ampleur des pertes individuelles. Il s'agit d'estimations avancées par le plaignant, non encore vérifiées par un tribunal.
Le procès comprend sept causes d'action, notamment les violations des articles 349 et 350 de la loi générale des affaires de New York, la négligence, les fausses déclarations par négligence, la préclusion promissoire et la violation de l'engagement implicite de bonne foi. Kim exige également une déclaration formelle selon laquelle Ledger a violé le SHIELD Act de New York. Les réparations demandées comprennent des dommages-intérêts réels, compensatoires, légaux, triples et punitifs, ainsi que les honoraires d'avocat. Le plaignant a demandé un procès devant jury.
Ce Action collective en matière de grand livre Cela arrive à un moment où le secteur des portefeuilles matériels est de plus en plus confronté à des attaques d’ingénierie sociale plutôt qu’à des exploits purement techniques : les données volées lors d’une brèche, même vieilles de plusieurs années, restent une mine pour les fraudeurs qui les recyclent dans de nouvelles campagnes de phishing et d’usurpation d’identité, testant la capacité des sociétés de cryptographie à protéger non seulement les clés privées, mais aussi les coordonnées de leurs clients.
FAQ
Qu’est-ce qui a déclenché le recours collectif contre Ledger ?
Le procès découle d'une violation de données en décembre 2023 impliquant un code malveillant dans le kit Ledger Connect, un accès non autorisé via le compte compromis d'un ancien employé et le vol ultérieur de crypto lié à ces données.
Quel montant le plaignant demande-t-il à titre d’indemnisation ?
Le demandeur, Douglas Kim, et le groupe proposé réclament au moins 500 millions de dollars au total pour les prétendues atteintes à la sécurité, les pertes financières et autres réclamations connexes.
Quelles failles de sécurité sont reprochées à Ledger dans le cadre du procès ?
La plainte allègue que Ledger n'a pas révoqué correctement l'accès d'un ancien employé, n'a pas informé correctement les clients après la violation et n'a pas pris de mesures suffisantes après des incidents de sécurité précédents.
À quels types d’attaques les clients ont-ils été exposés après la violation ?
Les clients ont été victimes de phishing, d'usurpations d'identité basées sur des informations de contact volées et de pertes cryptographiques via des stratagèmes frauduleux se faisant passer pour des représentants de Ledger.
Contenu créé avec l’aide de l’intelligence artificielle et de la révision éditoriale humaine.