Coinkite Inc., de fabrikant van de Coldcard-hardwarewallet, en zijn twee medeoprichters krijgen te maken met een voorgestelde collectieve actie in Canada naar aanleiding van een beveiligingskwetsbaarheid die wordt gekoppeld aan bitcoin-diefstallen van naar verluidt meer dan $140 miljoen.

De zaak, aangespannen door Amir Reza Naderi bij de Ontario Superior Court of Justice, houdt in dat bestuurders van het bedrijf al in mei 2025 op de hoogte zouden zijn geweest van zwakke punten in het seed-generatiesysteem van de wallet, maar klanten niet hebben gewaarschuwd. Coinkite betwist die bewering.

De rechtszaak

Naderi diende de claim in tegen Coinkite en medeoprichters Rodolfo Novak en Peter D. Gray. De rechtbank gaf de claim op 11 september 2026 uit onder zaaknummer CV-26-00018158. De eiser stelt dat hij op 6 augustus 1.22940052 BTC verloor, ter waarde van ongeveer $79.800.

Hij verwijt de beklaagden dat zij een bekend beveiligingsrisico niet hebben gedeeld en vraagt om certificering van de collectieve actie, schadevergoeding voor getroffen klanten en punitieve schadevergoeding. De rechtszaak schendt naar verluidt ook de Consumer Protection Act van Ontario. Volgens deprocedure in Ontario moet een voorgestelde collectieve actie eerst worden gecertificeerd door een rechter voordat deze namens een bredere groep kan worden voortgezet — een drempelstap die het verdere verloop van de zaak zal bepalen. De beschuldigingen zijn onbewezen en de rechtbank heeft de aansprakelijkheid nog niet vastgesteld.

Firmwarefout verzwakte herstelzinnen

De kwetsbaarheid gaat terug op een firmware-update uit maart 2021. Volgens de claim zorgde een software-integratiefout ervoor dat getroffen Coldcard-apparaten herstelzinnen genereerden met een zwakkere pseudowillekeurige nummergenerator, bekend als Yasmarang, in plaats van de beoogde hardware-gebaseerde bron van willekeur.

Sommige oudere modellen produceerden naar verluidt seeds met slechts ongeveer 40 bits effectieve entropie, waardoor aanvallers mogelijk privésleutels konden reconstrueren en toeg konden krijgen tot bitcoin-wallets zonder de apparaten fysiek in handen te hebben. Dat bedrag ligt ver onder de minimaal 128 bits entropie waarmee standaard herstelzinnen zijn ontworpen, en ondermijnt het kernprincipe van een hardwarewallet: sleutels en hun back-ups zouden offline moeten worden gegenereerd, buiten het bereik van aanvallers.

De diefstallen begonnen naar verluidt op 30 juli 2026, toen ongeveer 594 BTC verdween uit honderden wallets tijdens een eerste aanval van 25 minuten. Daaropvolgende onderzoeken schatten de verliezen op meer dan $116 miljoen, terwijl latere berichten de cumulatieve diefstallen op meer dan $140 miljoen schatten.

Reactie van Coinkite

Coinkite heeft beweringen dat het in mei 2025 op de hoogte was van de kwetsbaarheid afgewezen en houdt vol dat het het probleem op 30 juli 2026 ontdekte, toen de aanvallen aan het licht kwamen. Het bedrijf heeft inmiddels gecorrigeerde firmware uitgebracht en getroffen klanten geadviseerd nieuwe herstelzinnen te genereren en hun bitcoin naar veilige wallets te verplaatsen. Alleen het bijwerken van de firmware kan echter geen middelen beschermen die gekoppeld zijn aan eerder gecompromitteerde herstelzinnen.

Omdat self-custody de beveiliging van sleutels direct in handen van gebruikers legt en bitcoin-transacties niet ongedaan gemaakt kunnen worden, richt de aandacht zich nu op de procedurele weg vooruit: het certificeringsverzoek en de formele reactie van de beklaagden op de claim. De zaak zou een belangrijke toets kunnen worden voor de verantwoordelijkheden van fabrikanten van hardwarewallets wanneer softwarefouten klanten blootstellen aan financiële verliezen.

Bron: CryptoMeter io