Coinkite Inc., produttrice del portafoglio hardware Coldcard, e i suoi due cofondatori stanno affrontando una proposta di class action in Canada per una vulnerabilità di sicurezza collegata a furti di Bitcoin che secondo le denunce supererebbero i 140 milioni di dollari.

La causa, presentata da Amir Reza Naderi presso la Corte Superiore di Giustizia dell'Ontario, sostiene che i dirigenti dell'azienda fossero a conoscenza delle debolezze del sistema di generazione dei seed del portafoglio già da maggio 2025, ma non abbiano avvisato i clienti. Coinkite contesta questa affermazione.

La causa

Naderi ha presentato il ricorso contro Coinkite e i cofondatori Rodolfo Novak e Peter D. Gray. La corte ha emesso il documento l'11 settembre 2026, con numero di causa CV-26-00018158. Il ricorrente afferma di aver perso 1,22940052 BTC, del valore di circa 79.800 dollari, il 6 agosto.

Accusa gli imputati di non aver divulgato un rischio di sicurezza noto e chiede la certificazione della class action, un risarcimento per i clienti coinvolti e danni punitivi. La causa denuncia anche violazioni della legge sulla tutela dei consumatori dell'Ontario. Secondo la procedura ontariana, una proposta di class action deve essere certificata da un giudice prima di poter procedere a nome di un gruppo più ampio, un passaggio cruciale che condizionerà lo sviluppo del caso. Le accuse restano non dimostrate e la corte non ha ancora determinato eventuali responsabilità.

Un difetto del firmware ha indebolito le frasi di recupero

La vulnerabilità risale a un aggiornamento del firmware rilasciato a marzo 2021. Secondo il ricorso, un errore di integrazione software ha fatto sì che i dispositivi Coldcard coinvolti generassero le frasi di recupero con un generatore di numeri pseudocasuali più debole, noto come Yasmarang, anziché con la prevista fonte di casualità basata su hardware.

Alcuni modelli più datati avrebbero prodotto seed con soli 40 bit di entropia effettiva, consentendo potenzialmente agli aggressori di ricostruire le chiavi private e accedere ai portafogli Bitcoin senza possedere fisicamente i dispositivi. Un valore molto inferiore ai almeno 128 bit di entropia previsti dalle frasi di recupero standard, che mina la premessa fondamentale di un portafoglio hardware: le chiavi e i relativi backup dovrebbero essere generati offline, fuori dalla portata degli attaccanti.

I furti sarebbero iniziati il 30 luglio 2026, quando circa 594 BTC sono scomparsi da centinaia di portafogli durante un attacco iniziale durato 25 minuti. Le indagini successive hanno stimato perdite superiori a 116 milioni di dollari, mentre rapporti più recenti hanno indicato furti cumulativi oltre i 140 milioni di dollari.

La risposta di Coinkite

Coinkite ha respinto le affermazioni secondo cui avesse conoscenza della vulnerabilità a maggio 2025, sosten di aver scoperto il problema il 30 luglio 2026, quando sono emersi gli attacchi. L'azienda ha da allora rilasciato un firmware corretto e consigliato ai clienti coinvolti di generare nuove frasi di recupero e trasferire i propri Bitcoin in portafogli sicuri. Il solo aggiornamento del firmware, tuttavia, non può proteggere i fondi collegati a frasi di recupero precedentemente compromesse.

Poiché l'autocustodia pone la sicurezza delle chiavi direttamente nelle mani degli utenti, e le transazioni Bitcoin non sono reversibili, l'attenzione si sposta ora sul percorso procedurale: l'istanza di certificazione e la risposta formale degli imputati al ricorso. Il caso potrebbe diventare un importante test sulle responsabilità dei produttori di portafogli hardware quando difetti software espongono i clienti a perdite finanziarie.

Fonte: CryptoMeter io