Coinkite Inc., producent sprzętowego portfela Coldcard, oraz jego dwaj współzałożyciele stoją w Kanadzie przed proponowanym pozwem zbiorowym związanym z luką bezpieczeństwa, która ma połączenie z kradzieżami Bitcoina o szacowanej wartości ponad 140 milionów dolarów.

Pozew, wytoczony przez Amira Rezę Naderiego przed Sądem Najwyższym Ontarii (Ontario Superior Court of Justice), zarzuca, że kierownictwo firmy znało słabości systemu generowania seedów portfela już w maju 2025 roku, ale nie ostrzegło klientów. Coinkite kwestionuje to twierdzenie.

Pozew

Naderi wniósł pozew przeciwko Coinkite oraz współzałożycielom Rodolfo Novakowi i Peterowi D. Grayowi. Sąd wydał dokument 11 września 2026 roku, pod numerem sprawy CV-26-00018158. Powód twierdzi, że 6 sierpnia stracił 1,22940052 BTC o wartości około 79 800 dolarów.

Oskarżym zarzuca zatajenie znanego ryzyka bezpieczeństwa i domaga się certyfikacji pozwu zbiorowego, odszkodowań dla poszkodowanych klientów oraz odszkodowań karnych. Pozew zarzuca też naruszenie ustawy o ochronie konsumentów Ontario (Consumer Protection Act). Zgodnie z procedurą Ontario proponowany pozew zbiorowy musi zostać certyfikowany przez sędziego, zanim będzie mógł toczyć się w imieniu szerszej grupy — to kluczowy etap, który ukształtuje dalszy przebieg sprawy. Zarzuty pozostają nieudowodnione, a sąd nie ustalił odpowiedzialności.

Luka w oprogramowaniu układowym osłabiła frazy odzyskiwania

Podatność sięga aktualizacji oprogramowania układowego wydanej w marcu 2021 roku. Według pozwolu błąd integracji oprogramowania spowodował, że dotknięte urządzenia Coldcard generowały frazy odzyskiwania za pomocą słabszego generatora liczb pseudolosowych zwanego Yasmarang, zamiast przewidzianego sprzętowego źródła losowości.

Niektóre starsze modele miały podobno generować seedy o efektywnej entropii wynoszącej zaledwie około 40 bitów, co potencjalnie pozwalało atakującym odtworzyć klucze prywatne i uzyskać dostęp do portfeli Bitcoin bez fizycznego posiadania urządzeń. Ta warto jest znacznie niższa niż co najmniej 128 bitów entropii, na jakie zaprojektowane są standardowe frazy odzyskiwania, i podważa podstawową ideę portfela sprzętowego: klucze i ich kopie zapasowe mają być generowane offline, poza zasięgiem atakujących.

Kradzieże miały podobno rozpocząć się 30 lipca 2026 roku, gdy w początkowym ataku trwającym 25 minut z setek portfeli zniknęło około 594 BTC. Późniejsze dochodzenia oszacowały straty na ponad 116 milionów dolarów, a kolejne raporty wskazywały, że łączne kradzieże przekroczyły 140 milionów dolarów.

Odpowiedź Coinkite

Coinkite zaprzeczyło twierdzeniom, że wiedziało o podatności w maju 2025 roku, podtrzymując, że odkryło problem 30 lipca 2026 roku, w momencie wybuchu ataków. Firma wydała od tego czasu poprawione oprogramowanie układowe i zaleciła dotkniętym klientom wygenerowanie nowych fraz odzyskiwania oraz przeniesienie Bitcoina do bezpiecznych portfeli. Sama aktualizacja oprogramowania układowego nie jest jednak w stanie chronić środków powiązanych z wcześniej naruszonymi frazami odzyskiwania.

Ponieważ samodzielne przechowywanie kluczy (self-custody) oddaje bezpieczeństwo bezpośrednio w ręce użytkowników, a transakcje Bitcoin nie mogą zostać cofnięte, uwaga skupia się teraz na procedurach, które nadejdą: wniosku o certyfikację oraz formalnej odpowiedzi pozwanych na zarzuty. Sprawa może stać się ważnym testem odpowiedzialności producentów portfeli sprzętowych w sytuacjach, gdy wady oprogramowania narażają klientów na straty finansowe.

Źródło: CryptoMeter io