Douglas Kim protocolou em 27 de agosto uma ação coletiva de pelo menos US$ 500 milhões contra a Ledger SAS na Corte Distrital do Distrito Sul de Nova York, nos Estados Unidos. Ele afirma ter perdido US$ 1.948.074 em criptoativos.
O que chama atenção nesse caso é que o dispositivo da Ledger não foi invadido. Kim digitou a própria frase-semente em um site falso, depois de duas ligações telefônicas, mas a ação sustenta que os golpistas só souberam quem ele era por causa de um vazamento da própria fabricante.
Entenda como tudo aconteceu
Em 14 de dezembro de 2023, invasores publicaram versões maliciosas do Ledger Connect Kit, a biblioteca que conecta as carteiras da empresa a aplicações descentralizadas. Chegaram lá por uma conta no NPMJS que pertencia a um ex-funcionário.
A própria Ledger reconheceu a origem. Segundo o relatório oficial do incidente, o ex-funcionário caiu em phishing e teve o token de sessão usado para contornar a autenticação de dois fatores.
Na época, os acessos dele ao GitHub, ao SSO e às ferramentas internas haviam sido revogados. O do NPMJS, não.
A resposta foi rápida, com o CEO Pascal Gauthier registrando a correção em 40 minutos após a detecção. O arquivo malicioso ficou no ar por cerca de cinco horas e estima-se que a janela de drenagem foi menos de duas horas.
Mesmo assim, a SlowMist apurou pelo menos US$ 600 mil drenados nesse breve período.
A ligação que custou US$ 1,9 milhão
Mais de um ano depois do ocorrido, em 18 de fevereiro de 2025, Kim recebeu uma ligação de alguém que se dizia da Coincover, apresentada como um departamento da Ledger. O golpista avisou que uma pessoa na Holanda tentara inscrevê-lo no serviço Ledger Recover.
Logo em seguida, outra pessoa ligou para a vítima e pediu que ele checasse o e-mail. Havia mesmo uma mensagem vinda de ledger.com, o que reforçou a confiança.
Ele foi então direcionado ao endereço ledgerlivemanage.com e digitou sua frase-semente, sob o argumento de que o dispositivo precisava ser redefinido.
Dois dias depois, os US$ 1.948.074 haviam sumido.
Segundo a petição inicial, Kim gravou cerca de vinte minutos da última ligação ao desconfiar, mas não conseguiu recuperar nada dos fundos roubados.
Por que US$ 500 milhões é uma estimativa
A petição não apresenta uma lista de vítimas, mas sim uma multiplicação.
O raciocínio parte dos 7 milhões de dispositivos que a Ledger diz ter vendido. Supõe que 3% dos compradores foram afetados, o que dá 210 mil pessoas. Depois abre dois cenários: se 10% desse grupo perdeu US$ 20 mil cada, chega-se a US$ 420 milhões; se todas as 210 mil perderam o mesmo que Kim, chega-se a US$ 420 bilhões.
São hipóteses ilustrativas do próprio autor, por isso, o pedido mínimo de US$ 500 milhões é o piso escolhido dentro desse intervalo.
Ainda faltam de provas diretas
O ponto mais delicado é a ligação entre os dois eventos. A falha do Connect Kit desviava transações de quem assinava às cegas em aplicações compatíveis com a máquina virtual do Ethereum. Não era um vazamento de nomes e telefones.
A petição afirma que os criminosos usaram dados de contato originados da violação para identificar Kim como cliente.
Além disso, a ação pede declaração de que a empresa descumpriu a lei SHIELD ao não notificar residentes do estado em trinta dias.
Até o momento, a Ledger ainda não apresentou resposta nos autos.
Ledger já tem um precedente
A Ledger teve um vazamento anterior, em 2020, que expôs dados de mais de 270 mil clientes, incluindo seus endereços físicos. Aquele caso segue em disputa judicial no Distrito Norte da Califórnia.
