Коллективный иск против Ledger подали из-за инцидента с данными

Коллективный иск против Ledger подан в федеральный суд США. Претензии связаны с безопасностью клиентских данных и последствиями инцидента декабря 2023 года.

Истцом выступает Дуглас Ким. Дело зарегистрировали 27 августа в суде Южного округа Нью-Йорка. При этом речь пока идет о предлагаемом коллективном иске — суд еще не подтвердил статус класса.

Ким обвиняет Ledger в недостаточной защите клиентов. Кроме того, он считает, что компания ненадлежащим образом раскрывала информацию о произошедших инцидентах.

Что известно о коллективном иске против Ledger

Центральное место в жалобе занимает инцидент декабря 2023 года.

Тогда злоумышленники получили возможность публиковать вредоносную версию Ledger Connect Kit. Это программная библиотека, которая связывает аппаратные кошельки с децентрализованными приложениями.

По данным самой Ledger, бывший сотрудник компании стал жертвой фишинга. В результате атакующие получили доступ к его учетной записи NPMJS.

Доступ сотрудника к этому сервису после увольнения не был своевременно отозван. После этого злоумышленники разместили вредоносные версии Connect Kit.

Однако Ledger заявляла, что ее собственная инфраструктура и аппаратные кошельки непосредственно скомпрометированы не были. Атака затронула сторонние DApp, использовавшие Connect Kit.

Истец связывает инцидент с последующей социальной инженерией

Ким утверждает, что позднее стал жертвой целевой мошеннической атаки.

По версии истца, злоумышленники выдавали себя за представителей сервисов, связанных с Ledger. Затем они убедили его выполнить действия, которые привели к потере криптоактивов.

При этом в иске проводится связь между атакой и данными клиентов Ledger.

Однако здесь есть важная деталь. В публичном отчете Ledger об инциденте 2023 года не говорится об утечке имен, email и телефонных номеров клиентов.

Поэтому связь между компрометацией Connect Kit и получением мошенниками персональных данных пока остается утверждением стороны истца. Она должна быть подтверждена в ходе судебного разбирательства.

В иске также вспоминают крупную утечку 2020 года

Отдельно заявитель указывает на более ранний инцидент Ledger.

В 2020 году компания действительно столкнулась с масштабной утечкой клиентских данных.

Ledger позднее подтвердила, что в открытый доступ попали около 272 000 записей. Они содержали имена, почтовые адреса и телефонные номера клиентов.

Кроме того, были похищены более 1 млн адресов электронной почты.

Этот инцидент особенно опасен для владельцев криптовалют.

Злоумышленнику необязательно взламывать аппаратный кошелек. Иногда достаточно знать имя, телефон и факт владения устройством Ledger.

После этого мошенники могут использовать фишинг или социальную инженерию.

Почему персональные данные владельцев кошельков особенно ценны

Аппаратный кошелек защищает приватные ключи. Однако он не способен полностью защитить человека от социальной инженерии.

Например, мошенник может представиться сотрудником поддержки. Затем он может сообщить о якобы подозрительной операции или проблеме с кошельком.

После этого пользователя убеждают раскрыть seed-фразу или подтвердить вредоносную транзакцию.

Именно поэтому утечки клиентских баз криптокомпаний представляют особый риск.

При этом сам факт получения фишингового сообщения еще не означает взлом аппаратного кошелька.

Какие обвинения предъявлены Ledger

В жалобе фигурирует сразу несколько претензий.

Истец обвиняет компанию в халатности и ненадлежащей защите данных. Кроме того, заявлены претензии, связанные с защитой прав потребителей.

Также в иске упоминаются небрежное искажение информации и недобросовестное ведение бизнеса.

Однако пока это только обвинения заявителя.

Суд еще не установил ответственность Ledger. Кроме того, коллективный статус дела пока не утвержден.

Ledger ранее устраняла другие проблемы безопасности

Компания продолжает совершенствовать защиту своих продуктов.

При этом исследователи регулярно проверяют программное обеспечение Ledger на потенциальные уязвимости.

В августе специалисты OneKey Anzen сообщили, что смогли воспроизвести в тестовой среде атаку с подменой транзакции. Она затрагивала Ethereum-приложение Ledger версии 1.22.1.

После обнаружения проблемы уязвимость устранили.

Подобные исследования не обязательно означают компрометацию аппаратной архитектуры кошелька. Однако они показывают важность постоянного аудита программной части.

Что это значит для инвестора?

Новость имеет негативное репутационное значение для Ledger.

Компания строит свой бизнес вокруг безопасности хранения криптоактивов. Поэтому любые судебные споры о защите клиентской информации привлекают повышенное внимание.

Однако важно разделять безопасность приватных ключей и защиту персональных данных.

Даже если аппаратный кошелек остается технически защищенным, утечка контактов может облегчить фишинговые атаки.

Поэтому владельцам Ledger и других аппаратных кошельков нельзя сообщать кому-либо seed-фразу. Кроме того, необходимо внимательно проверять любые запросы на подтверждение транзакций.

Также не стоит доверять человеку только потому, что он знает имя, телефон или модель купленного кошелька.

Вывод Expert Finance: иск против Ledger вновь поднимает вопрос о защите персональных данных владельцев криптовалют. При этом обвинения по делу еще предстоит доказать, а подтвержденного взлома аппаратных кошельков Ledger в рамках описанного инцидента нет.

Источник

Хотите разобрать свою ситуацию?

Если вы не хотите собирать портфель методом «увидел тикер — купил», можно разобрать вашу ситуацию на консультации Эксперт Финанс: цели, риск, сумму входа, подходящие монеты и ошибки, которые лучше не оплачивать собственным депозитом.

Записаться на консультацию

Телеграм-канал «Эксперт Финанс» — подпишитесь и будьте в курсе самых главных и актуальных новостей о криптовалюте.