// TOM'S HARDWARE ITALIA — CYBERSECURITY
Ledger sotto accusa, chiesti 500 milioni per i data breach
Ledger è stata citata in giudizio con una proposta di class action che chiede almeno 500 milioni di dollari. Douglas Kim, cliente dell’azienda, sostiene che informazioni riconducibili a una violazione comunicata nel 2023 abbiano permesso ai truffatori di impersonare il supporto e sottrargli quasi due milioni di dollari. La denuncia, depositata il 27 agosto presso il tribunale federale del distretto meridionale di New York, punta a rappresentare circa 210.000 clienti.
La causa non sostiene che siano state compromesse le chiavi private custodite all’interno di un dispositivo Ledger. Le accuse riguardano invece la gestione degli accessi, la protezione dei dati dei clienti e le comunicazioni successive all’incidente. Kim afferma di aver perso 1.948.074 dollari nel febbraio 2025, oltre un anno dopo l’attacco descritto nella denuncia.
La vicenda tecnica risale al dicembre 2023 e coinvolge Ledger Connect Kit, una libreria JavaScript utilizzata per collegare gli hardware wallet a siti e applicazioni decentralizzate. Un ex dipendente sarebbe caduto in una campagna di phishing, consentendo a un aggressore di pubblicare versioni malevole del pacchetto attraverso il suo account NPMJS. Il codice alterato poteva indurre gli utenti ad approvare transazioni dirette verso un portafoglio controllato dall’attaccante.
Ledger riconobbe inoltre che l’accesso dell’ex dipendente non era stato revocato correttamente. Secondo la denuncia, le conseguenze sarebbero proseguite ben oltre la rimozione del pacchetto compromesso. Kim racconta di aver ricevuto una telefonata da una persona che si presentava come rappresentante di Coincover, seguita da un’email apparentemente autentica e dall’invito a visitare un sito contraffatto. Dopo aver inserito la propria recovery phrase, avrebbe visto svuotare il portafoglio due giorni più tardi.
Il ricorso afferma, senza che l’ipotesi sia stata ancora verificata in tribunale, che i criminali abbiano utilizzato dati di contatto associati all’incidente del 2023 per selezionare la vittima. La pressione legale sulla gestione dei dati attraversa ormai molti servizi digitali, come mostra anche il procedimento sulla tutela degli utenti che coinvolge Meta, pur con contestazioni e soggetti molto diversi.
La denuncia presenta sette cause di azione, comprese presunte violazioni delle sezioni 349 e 350 della legge commerciale di New York, negligenza, dichiarazioni negligenti e violazione dell’obbligo implicito di buona fede. Il risarcimento richiesto comprende danni effettivi, compensativi, statutari e punitivi, oltre a spese legali. L’importo potrebbe crescere in base al numero di clienti coinvolti e alle perdite documentate. Ledger ha dichiarato di non commentare le questioni legali.
Sullo sfondo resta il breach del 2020, quando furono esposti nomi, numeri di telefono e indirizzi fisici di oltre 270.000 acquirenti Ledger. Dati di questo tipo non consentono da soli di violare un hardware wallet, ma rendono molto più credibile un attacco di phishing mirato. Email, telefonate, siti contraffatti e perfino lettere con codici QR possono sfruttare informazioni personali per convincere la vittima a consegnare la frase di recupero, annullando di fatto la protezione tecnica del dispositivo.
Aggiungi Tom's Hardware alle tue fonti preferite su Google