Coldcard 比特币失窃引发集体诉讼：Coinkite 被指忽视 2025 年安全警告
要点速览
- •在安大略省高等法院提起的一项拟议集体诉讼指控 Coinkite 及其两位联合创始人，涉及与 Coldcard 安全漏洞相关、据报道超过 1.4 亿美元的比特币失窃案。
- •诉状称，2021 年 3 月的一次固件集成错误导致受影响的 Coldcard 设备使用较弱的伪随机生成器生成恢复短语，有效熵仅约 40 比特，而非标准的最低 128 比特。
- •据报道，失窃始于 2026 年 7 月 30 日，在最初的 25 分钟攻击中约 594 BTC 从数百个钱包中消失，后续累计损失估计超过 1.4 亿美元。
- •Coinkite 否认于 2025 年 5 月已知悉该漏洞，坚称于 2026 年 7 月 30 日才发现问题，并已发布修正版固件，建议客户生成新的恢复短语并转移比特币。
- •该诉讼依据安大略省消费者保护法》寻求集体诉讼认证、受影响客户赔偿及惩罚性赔偿，指控尚未被证实，案件待认证动议及被告正式回应。
Coldcard 硬件钱包制造商 Coinkite Inc. 及其两位联合创始人因一起与比特币失窃相关的安全漏洞在加拿大面临一项拟议集体诉讼，据报道失窃金额超过 1.4 亿美元。
该诉讼由 Amir Reza Naderi 向安大略省高等法院提起，指称公司高管早在 2025 年 5 月便已知晓钱包种子生成系统的缺陷，但未向客户发出警告。Coinkite 对此说法提出异议。
诉讼详情
Naderi 起诉了 Coinkite 及其联合创始人 Rodolfo Novak 和 Peter D. Gray。法院于 2026 年 9 月 11 日受理该诉讼，案号为 CV-26-00018158。原告声称其于 8 月 6 日损失了价值约 79,800 美元的 1.22940052 BTC。
他指控被告未能披露已知的安全风险，并寻求集体诉讼认证、受影响客户的赔偿以及惩罚性赔偿。诉讼还指称违反了安大略省《消费者保护法》。根据安大略省的程序，拟议集体诉讼须先经法官认证才能代表更广泛的群体继续进行，这一门槛步骤将决定案件的走向。相关指控尚未被证实，法院亦未认定责任。
固件缺陷削弱了恢复短语的安全性
该漏洞可追溯至 2021 年 3 月发布的一次固件更新。根据诉状，一次软件集成错误导致受影响的 Coldcard 设备使用一种名为 Yasmarang 的较弱伪随机数生成器生成恢复短语，而非采用原本的硬件随机源。
据报道，部分旧型号设备生成的种子仅有约 40 比特的有效熵，这可能使攻击者得以重建私钥并在无需实际持有设备的情况下访问比特币钱包。这一数字远低于标准恢复短语设计上应具备的至少 128 比特熵，也削弱了硬件钱包的核心理念：密钥及其备份应在离线环境中生成，使攻击者无法触及。
据报道，失窃事件始于 2026 年 7 月 30 日，在最初的 25 分钟攻击中，数百个钱包损失了约 594 BTC。后续调查估计损失超过 1.16 亿美元，而后来的报道称累计失窃金额已超过 1.4 亿美元。
Coinkite 的回应
Coinkite 否认其于 2025 年 5 月已知悉该漏洞的说法，坚持表示是在 2026 年 7 月 30 日攻击出现时才发现问题。该公司此后发布了修正版固件，并建议受影响的客户生成新的恢复短语并将比特币转入安全的钱包。然而，仅安装更新固件无法保护与已被泄露的恢复短语相关联的资金。
由于自我托管将密钥安全直接交到用户手中，且比特币交易无法撤销，目前关注焦点转向接下来的程序进程：认证动议以及被告对诉状的正式回应。当软件缺陷使客户遭受财务损失时，该案可能成为检验硬件钱包制造商责任的重要案例。
