Coldcard-säkerhetsbrist leder till stämning
En fem år gammal säkerhetsbrist i Coldcard-hårdvaruplånböcker har lett till att tillverkaren Coinkite blivit stämd, efter att angripare påstås ha stulit mer än 140 miljoner dollar i bitcoin. Den föreslagna grupptalan hävdar att enheterna genererade förutsägbara återställningsfraser, vilket lämnade kunderna utsatta för stöld.
Detaljer om stämningen
Talan, som lämnades in den 11 september 2026 vid Ontarios överdomstol, namnger det Toronto-baserade företaget Coinkite Inc. samt medgrundarna Rodolfo Novak och Peter D. Gray som svarande. Klaganden, Amir Reza Naderi, en Los Angeles-bo, hävdar att en defekt firmwareuppdatering som släpptes i mars 2021 komprometterade säkerheten för Coldcard-plånböcker i mer än fem år.
Talan anger att enheterna innehöll en sårbarhet som ”underminerade hela syftet och funktionen hos enheten.”
Coldcard-plånböcker är utformade för att skydda bitcoin genom att generera hemliga återställningsfraser, som vanligtvis kallas seed phrases. Dessa fraser gör det möjligt för ägarna att återfå sina medel om deras enheter går förlorade eller skadas. Men klagomålet hävdar att programvaran genererade förutsägbara fraser istället för verkligt slumpmässiga, vilket gjorde det möjligt för angripare att återskapa privata nycklar utan att fysiskt inneha plånböckerna.
Utnyttjande av sårbarheten
Det påstådda problemet härstammade från ett ”bygg- och länkintegrationsfel” som gjorde att de berörda enheterna använde Micropythons Yasmarang-programvarugenerator istället för den avsedda hårdvarubaserade slumpgeneratorn. Enligt rapporter skapade enheterna säkerhetskoder som var betydligt lättare att gissa än vad kunderna hade lovats.
Angripare började utnyttja svagheten den 30 juli 2026 och påstås ha stulit cirka 594 BTC, värda 38 miljoner dollar, på bara 25 minuter. Efterföljande stölder drev de uppskattade förlusterna i stämningen över 140 miljoner dollar.
Naderi hävdar att han personligen förlorade 1.22940052 BTC, värderat till cirka 79 764 dollar, genom obehöriga överföringar den 6 augusti. Klagomålet hävdar också att bitcoin-ingenjören James O’Beirne varnade Coinkite om sårbarheten i maj 2025, mer än ett år innan stölderna började.
Coinkites respons och kundernas situation
Kryptovaluta-plånboksproducenten Coinkite offentliggjorde sårbarheten den 30 juli och släppte en korrigerande firmware dagen efter. Men att installera den uppdaterade programvaran ensam kunde inte skydda tidigare genererade återställningsfraser. Kunderna behövde också skapa nya fraser och överföra sin bitcoin.
Talan hävdar att Coinkite misslyckades med att direkt informera berörda kunder, trots att de hade deras kontaktinformation. Den ifrågasätter också företagets begränsningar av avtalsansvar och hävdar att konsumentskyddslagar övertrumfar bestämmelser som begränsar stämningar och ersättning.
Den föreslagna klassen omfattar privatpersoner som köpt Coldcard Mk2, Mk3, Mk4, Mk5 och Q-enheter för personligt bruk. Klaganden söker kompensationsskador, straffskador och annan lättnad.
Framtiden för fallet
Fallet förblir en föreslagen grupptalan, och dess påståenden har inte fastställts i domstol. Inga skador har tilldelats. För berörda kunder är den centrala frågan huruvida ett företag som säljer skydd mot bitcoin-stöld kan hållas ekonomiskt ansvarigt när dess egen säkerhetsprogramvara påstås ha öppnat dörren för stöld.
Bitcoin.com News kontaktade Coinkite för en kommentar angående stämningen och dess påståenden. Företaget hade inte svarat vid tidpunkten för publiceringen, men eventuella uttalanden som mottas efteråt kommer att läggas till denna rapport.
