Coinkite Inc., der Hersteller der Coldcard-Hardware-Wallet, und seine beiden Mitgründer sehen sich in Kanada einer geplanten Sammelklage wegen einer Sicherheitslücke ausgesetzt, die mit Berichten zufolge über 140 Millionen Dollar schweren Bitcoin-Diebstählen in Verbindung steht.

Die von Amir Reza Naderi vor dem Ontario Superior Court of Justice eingereichte Klage behauptet, Führungskräfte des Unternehmens hätten bereits im Mai 2025 von Schwächen im Seed-Generierungssystem der Wallet gewusst, es jedoch unterlassen, die Kunden zu warnen. Coinkite bestreitet diese Darstellung.

Die Klage

Naderi reichte die Klage gegen Coinkite und die Mitgründer Rodolfo Novak und Peter D. Gray ein. Das Gericht erließ das Schriftstück am 11. September 2026 unter dem Aktenzeichen CV-26-00018158. Der Kläger gibt an, am 6. August 1,22940052 BTC im Wert von approximately 79.800 Dollar verloren zu haben.

Er wirft den Beklagten vor, ein bekanntes Sicherheitsrisiko nicht offengelegt zu haben, und beantragt die Zertifizierung als Sammelklage sowie Entschädigungen für betroffene Kunden und punitive Schadensersatzleistungen. Die Klage beruft sich zudem auf Verstöße gegen den Consumer Protection Act der Provinz Ontario. Nach dem Verfahrensrecht Ontarios muss eine geplante Sammelklage von einem Richter zertifiziert werden, bevor sie im Namen einer größeren Gruppe fortgeführt werden kann – ein entscheidender Schritt, der den weiteren Verlauf des Verfahrens prägen wird. Die Vorwürfe sind unbewiesen, und das Gericht hat keine Haftung festgestellt.

Firmware-Fehler schwächte Wiederherstellungsphrasen

Die Schwachstelle geht auf ein Firmware-Update vom März 2021 zurück. Laut Klageschrift veranlasste ein Software-Integrationsfehler betroffene Coldcard-Geräte, Wiederherstellungsphrasen mit einem schwächeren Pseudozufallszahlengenerator namens Yasmarang zu erzeugen, anstatt auf die vorgesehene hardwarebasierte Zufallsquelle zurückzugreifen.

Einige ältere Modelle sollen laut Berichten Seeds mit nur etwa 40 Bit effektiver Entropie erzeugt haben, was Angreifern potenziell ermöglichte, private Schlüssel zu rekonstruieren und auf Bitcoin-Wallets zuzugreifen, ohne die Geräte physisch in ihrer Gewalt zu haben. Dieser Wert liegt weit unter den mindestens 128 Bit Entropie, die Standard-Wiederherstellungsphrasen bieten sollen, und untergräbt den Kernzweck einer Hardware-Wallet: Schlüssel und deren Backups sollen offline und außerhalb der Reichweite von Angreifern generiert werden.

Die Diebstähle begannen laut Berichten am 30. Juli 2026, als in einem ersten -minütigen Angriff rund 594 BTC aus Hunderten von Wallets verschwanden. Nachfolgende Untersuchungen schätzten die Verluste auf über 116 Millionen Dollar, während spätere Berichte die kumulierten Diebstähle auf mehr als 140 Millionen Dollar bezifferten.

Coinkites Reaktion

Coinkite hat die Behauptung zurückgewiesen, im Mai 2025 von der Schwachstelle gewusst zu haben, und erklärt, das Problem erst am 30. Juli 2026 im Zuge der Angriffe entdeckt zu haben. Das Unternehmen hat inzwischen korrigierte Firmware veröffentlicht und betroffenen Kunden empfohlen, neue Wiederherstellungsphrasen zu erstellen und ihre Bitcoin in sichere Wallets zu übertragen. Die Aktualisierung der Firmware allein kann jedoch keine Mittel schützen, die mit zuvor kompromittierten Wiederherstellungsphrasen verbunden sind.

Da die Selbstverwahrung die Schlüsselsicherheit direkt in die Hände der Nutzer legt und Bitcoin-Transaktionen nicht rückgängig gemacht werden können, richtet sich die Aufmerksamkeit nun auf das weitere Verfahren: den Zertifizierungsantrag und die förmliche Reaktion der Beklagten auf die Klage. Das Verfahren könnte zu einem wichtigen Test dafür werden, welche Verantwortung Hersteller von Hardware-Wallets tragen, wenn Softwarefehler Kunden finanziellen Verlusten aussetzen.

Quelle: CryptoMeter io