Ledger

Des clients ont engagé une action collective contre Ledger, Shopify et TaskUs en alléguant des préjudices causés par la divulgation de leurs données personnelles et les campagnes de phishing ou menaces qui ont suivi. Une première phase a connu des rejets pour compétence ; le Ninth Circuit a renvoyé certaines questions. En 2025, le tribunal de district a de nouveau statué sur des motions de rejet et certifié certaines questions pour appel interlocutoire.

Une compromission d’un système cloud de Global-e en décembre 2025 a affecté des données de commandes de plusieurs marques, dont des achats Ledger.com traités par Global-e. En août 2026, une action collective a été déposée aux États-Unis alléguant que ces informations avaient facilité des campagnes d’usurpation ciblées et des pertes de cryptoactifs chez certains clients.

L’annonce du service optionnel Ledger Recover a provoqué une forte réaction d’utilisateurs qui estimaient qu’un mécanisme permettant au firmware de chiffrer et transmettre des fragments de recovery phrase contredisait leur compréhension de l’isolation d’une clé sur un hardware wallet. Ledger a repoussé le lancement et accéléré la publication en open source de davantage de code.

Legal status — source text

Not applicable

Le 14 décembre 2023, un ancien employé de Ledger a été victime d’un phishing donnant accès à son compte NPM. Des versions malveillantes du Ledger Connect Kit ont été publiées et ont redirigé des transactions vers un wallet attaquant. Ledger a indiqué que le fichier malveillant était disponible environ cinq heures et que la fenêtre de drainage des fonds avait été inférieure à deux heures.

Ledger a annoncé en janvier 2021 qu’une enquête de Shopify avait identifié une autre exposition de données touchant des clients Ledger, liée à des employés malveillants d’un prestataire de support. Cette intrusion était distincte de la faille API e-commerce de juin 2020, bien qu’une large partie des enregistrements ait recoupé des données déjà exposées.

Ledger a découvert en juillet 2020 qu’un tiers avait accédé à sa base e-commerce et marketing via une clé API. L’estimation initiale faisait état de plus d’un million d’adresses e-mail et d’environ 9 500 fiches détaillées. Après la publication de la base volée en décembre, Ledger a reconnu qu’environ 272 000 fiches détaillées comportant notamment noms, adresses et numéros de téléphone figuraient dans le dump.

Ledger a publié en 2018 plusieurs correctifs de sécurité concernant notamment des scénarios d’attaque sur firmware, chaîne d’approvisionnement ou validation de transactions. Les correctifs ont été intégrés dans de nouvelles versions du firmware et documentés par l’équipe de sécurité Ledger Donjon.

Legal status — source text

Not applicable