律師Ariel Givner：Ledger因2023事件遭集體訴訟
律師Ariel Givner披露，硬件錢包商Ledger SAS在紐約南區聯邦法院被提起集體訴訟，案號1:26-cv-7307，原告Douglas Kim代表同類用戶起訴，訴狀標註2026年8月27日提交。
訴狀把2023年12月安全事件稱爲數據泄露，指控公司淡化嚴重性、未及時完整披露，導致客戶姓名、郵箱、電話等個人身份信息暴露，並被用於冒充Ledger誘導批准欺詐交易，相關信息流入暗網與黑市。同一份起訴書另寫明：約12月14日，用於發佈Ledger Connect Kit的NPMJS賬戶被未授權人員控制，惡意版本改寫部分用戶交易路徑。當時公司稱員工遭釣魚後攻擊者發佈惡意庫，窗口不足兩小時，鏈上損失公開報道約48.4萬美元，多個使用該庫的DeFi前端受波及。
原告把2020年舊案寫成“惡性模式”：電商與營銷庫經Shopify、客服外包TaskUs鏈條被內部人員導出，約27.2萬條含姓名、地址、電話、訂單的記錄於當年12月在論壇公開，另有約百萬級郵箱；公司初報約9500人，後擴大通知。加州北區Baton/Seirafi案（3:21-cv-02470）仍在審理該次泄露。2026年1月結賬與履約方Global-e再曝訂單相關客戶數據，公司稱無支付卡信息。
指控條款包括紐約一般商業法第349、350條，過失、過失性虛假陳述、禁止反言以及誠信公平交易默示契約，並援引紐約SHIELD法的通知義務。訴狀稱Ledger已售出約700萬臺、覆蓋約180國；原告Kim個人索賠至少約200萬美元，集體損害按假設推演寫到5億美元起、上不封頂。上述數字均爲起訴主張，未經判決確認。
誰在買誰在賣：事件驅動的是安全溢價訴訟，不是設備被遠程抽出私鑰。資金從“自託管絕對安全”營銷流向律師費、通知合規和第三方電商風控；受益的是能把釣魚損失接上披露遲延的原告團，承壓的是把芯片安全與訂單數據庫綁在同一品牌下的硬件錢包廠。芯片未破，通訊錄破了，定價權轉移到能否證明“未及時告知導致可避免的授權”。
2020年泄露名單在黑客間一度報價約10萬美元；此後出現假冒更換設備郵包與短信釣魚。訴訟要把供應鏈投毒、通訊錄泄露與資產被騙寫成同一疏忽鏈條。
來源：公開信息
ABAB AI 解讀
Ledger的訴訟史不是從這起紐約案開始。2020年客戶庫被寫上RaidForums後，加州已有針對Ledger、Shopify、TaskUs的集體訴訟，爭點是通知遲延與釣魚損失能否歸責。2023年Recover把種子分片引出設備，紐約、伊利諾伊、加州又出現“宣傳私鑰永不離機”是否構成誤導的平行案件。2026年紐約新案把Connect Kit供應鏈投毒疊進同一“模式”敘事，等於用三次不同攻擊面打同一品牌承諾。
資本路徑是硬件高毛利加訂閱：設備安全元件賣的是“密鑰不出芯片”，電商庫和NPM發佈權賣的是增長與集成。錢沒有同步砸進與芯片同級的供應商權限隔離，於是攻擊走的是客服外包、結賬服務商和前員工憑證。動機是獲客必須收集地址電話，DeFi必須把連接庫鋪進第三方前端，兩者都與“密鑰在芯片裏”的廣告不在同一安全邊界。
對照對象是Trezor訂單信息泄露、Ledger Recover引發的信任斷裂，以及所有把物流名單與持幣身份綁在一起的硬件廠。行業階段已從“比拼安全芯片認證”進入“比拼披露與第三方治理”，擴張仍在賣設備，控制權卻在律師和州法通知時鐘上。
結構變化是定價權轉移：用戶買的是芯片故事，賠付爭的是通訊錄與前端腳本。機制是社會工程不需要拆安全元件，只要名單足夠準、官方語氣足夠像，授權本身就會把資產送出；遲延披露被寫成損失的近因，於是疏忽可以按幣價計價。
ABAB News · 認知定律
芯片沒破，通訊錄破了，資產照樣走
安全賣的是邊界，訴訟打的是通知
第三次同類事故，不再被當成意外