Coldcard 製造商 Coinkite 因 1.4 億美元比特幣竊案在加拿大面臨集體訴訟
重點速覽
- •一項向安大略省高等法院提出的擬議集體訴訟，針對 Coinkite 及其兩位共同創辦人，涉及與 Coldcard 安全漏洞相關、據報超過 1.4 億美元的比特幣竊案。
- •訴狀指控 2021 年 3 月的韌體整合錯誤導致受影響的 Coldcard 裝置以較弱的偽隨機生成器生成恢復短語，有效熵僅約 40 位元，遠低於標準最低的 128 位元。
- •據報竊案始於 2026 年 7 月 30 日，首波 25 分鐘攻擊中約 594 BTC 從數百個錢包消失，後續估計累計損失超過 1.4 億美元。
- •Coinkite 否認於 2025 年 5 月已知悉該漏洞，堅稱於 2026 年 7 月 30 日才發現問題，並已發布修正版韌體，建議客戶重新生成恢復短語並轉移比特幣。
- •訴訟依安大略省《消費者保護法》尋求集體訴訟認證、為受影響客戶索取賠償及懲罰性賠償；相關指控尚未經證實，有待認證聲請與被告正式答辯。
Coldcard 硬體錢包製造商 Coinkite Inc. 及其兩位共同創辦人，在加拿大面臨一項擬議集體訴訟，指控其安全漏洞與據報超過 1.4 億美元的比特幣竊案有關。
這起由 Amir Reza Naderi 向安大略省高等法院提起的訴訟指控，公司高層早在 2025 年 5 月即已得知該錢包種子生成系統的弱點，卻未警告客戶。Coinkite 對此說法提出異議。
訴訟概要
Naderi 對 Coinkite 及共同創辦人 Rodolfo Novak 與 Peter D. Gray 提出告訴。法院於 2026 年 9 月 11 日發出該訴狀，案件編號為 CV-26-00018158。原告宣稱其於 8 月 6 日損失 1.22940052 BTC，價值約 79,800 美元。
他指控被告未揭露已知的安全風險，並尋求集體訴訟認證、為受影響客戶索取賠償以及懲罰性賠償。訴訟同時指控違反安大略省《消費者保護法》。根據安大略省程序，擬議集體訴訟必須先經法官認證，才能代表更廣泛的群體推進，此一門檻步驟將影響案件的後續發展。相關指控尚未經證實，法院亦未認定責任歸屬。
韌體缺陷削弱了恢復短語
該漏洞可追溯至 2021 年 3 月發布的韌體更新。根據訴狀，一次軟體整合錯誤導致受影響的 Coldcard 裝置以較弱的偽隨機數生成器（稱為 Yasmarang）生成恢復短語，而非使用原本設計的硬體隨機來源。
據報部分舊型號產生的種子僅具約 40 位元的有效熵，這可能使攻擊者得以重建私鑰，並在未實際持有裝置的情況下存取比特幣錢包。此數值遠低於標準恢復短語設計上至少應具備的 128 位元熵，也削弱了硬體錢包的核心前提：金鑰及其備份應在離線環境中生成，處於攻擊者無法觸及的範圍之外。
據報竊案始於 2026 年 7 月 30 日，在首波持續 25 分鐘的攻擊中，數百個錢包內約 594 BTC 憑空消失。後續調查估計損失超過 1.16 億美元，而較晚的報告則將累計竊取金額推高至 1.4 億美元以上。
Coinkite 的回應
Coinkite 否認其在 2025 年 5 月即已知悉該漏洞的說法，並堅稱是在 2026 年 7 月 30 日攻擊出現時才發現問題。該公司其後已發布修正版韌體，並建議受影響的客戶重新生成恢復短語，將比特幣轉移至安全的錢包。然而，僅安裝更新韌體無法保護與先前已遭洩露的恢復短語相關的資金。
由於自我託管將金鑰安全直接交到使用者手中，且比特幣無法撤銷，外界焦點如今轉向後續程序：認證聲請以及被告對訴狀的正式答辯。本案可能成為檢驗硬體錢包製造商在軟體缺陷使客戶遭受財務損失時所負責任的重要判例。
