FTX-, BlockFi- och Genesis-fordringsägare stämmer Kroll för dataintrång som leder till phishing-attacker

Missnöjda fordringsägare till FTX, BlockFi och Genesis stämmer det globala riskrådgivningsföretaget Kroll för påstådd vårdslöshet kopplad till ett dataintrång som exponerade deras personliga information och utsatte dem för nätfiskeattacker.

Enligt den stämningsansökan som lämnades in den 19 augusti till en amerikansk distriktsdomstol på uppdrag av FTX-kunden Jacob Repko och andra berörda parter, misslyckades Kroll med att skydda de känsliga uppgifter som samlades in under skaderegleringsprocessen.

Kärandena hävdar att detta inte bara gjorde det möjligt för cyberbrottslingar att rikta in sig på offren med nätfiskebedrägerier utan också urholkade förtroendet för det bredare konkursförfarandet.

Klagomålet handlar om Krolls påstådda övertro på ett enda kommunikationssätt – e-post – när det gäller att kommunicera med tusentals kryptofordringsägare.

I stämningsansökan hävdas att denna strategi för att nå ut via e-post skapade en enda felpunkt, som angriparna utnyttjade för att utge sig för att vara parter som var inblandade i FTX-, BlockFi- och Genesis-konkursfallen.

Som ett resultat lurades användare att klicka på phishing-länkar, vilket äventyrade privat information, och i vissa fall till och med ledde till att vissa användare helt förlorade tillgången till sina befintliga kryptovalutor.

Kärandena hävdar att Krolls verifieringsprocess för borgenärernas fordringar var otillräckligt säkerställd, vilket också ledde till förseningar och förvirring under de redan komplexa konkursåterbetalningsfaserna.

De hävdade att dessa felsteg äventyrade processens integritet och gjorde saken värre för borgenärer som fortfarande vacklade efter kollapsen av de stora kryptoföretagen i fråga.

Dataintrånget i Kroll 2023

Kroll föll offer för ett dataintrång i augusti 2023, men vid den tidpunkten sa företaget att intrånget endast omfattade "icke-känslig" information.

För de borgenärer som nämns i stämningsansökan underskattade emellertid denna kvalificering skadan.

Enligt stämningsansökan kunde angriparna få tillgång till namn, e-postadresser och andra identifierande uppgifter, vilket gav dem tillräckligt med information för att skapa övertygande phishing-e-postmeddelanden som såg ut som legitim kommunikation från konkursförvaltare eller anslutna företag.

FTX och BlockFi har också tidigare hävdat att inga lösenord eller interna system har äventyrats, men flera fordringsägare har rapporterat något annat.

Under de senaste veckorna har drabbade användare, inklusive den framstående FTX-borgenären Sunil Kavuri, rapporterat en ökning av riktade bluffmejl.

Andra medlemmar i communityn har också delat med sig av liknande erfarenheter på sociala medier. Se nedan.

För närvarande har Kroll ännu inte svarat offentligt på de senaste rättsliga åtgärderna, även om man tidigare har sagt att överträdelsen var begränsad och att berörda parter hade underrättats.

Hall Attorneys, som lämnade in stämningsansökan, anser att berättigade deltagare kan ha rätt till ekonomisk ersättning om domstolen dömer till deras fördel.

De förväntar sig också att stämningen kommer att tvinga Kroll att se över sina kommunikations- och datahanteringsmetoder för att förhindra ytterligare exponering.