Coldcard-sikkerhetsfeil fører til søksmål
En fem år gammel sikkerhetsfeil i Coldcard-maskinvarelommebøker har ført til at produsenten Coinkite har blitt saksøkt etter at angripere angivelig har tappet mer enn 140 millioner dollar i bitcoin. Det foreslåtte gruppesøksmålet hevder at enhetene genererte forutsigbare gjenopprettingsfraser, noe som gjorde kundene utsatt for tyveri.
Et gruppesøksmål ble innlevert 11. september 2026 i Ontarios Superior Court of Justice, og navngir det Toronto-baserte Coinkite Inc. samt medgrunnleggerne Rodolfo Novak og Peter D. Gray som tiltalte.
Klageren Amir Reza Naderi, en innbygger i Los Angeles, hevder at en defekt programvareoppdatering som ble utgitt i mars 2021, kompromitterte sikkerheten til Coldcard-lommebøker i mer enn fem år. Søksmålet oppgir at enhetene inneholdt en sårbarhet som «underminerte hele formålet og funksjonen til enheten.»
Problemet med gjenopprettingsfraser
Coldcard-lommebøker er designet for å beskytte bitcoin ved å generere hemmelige gjenopprettingsfraser, ofte kalt frøfraser. Disse ordene lar eierne gjenopprette midlene sine hvis enhetene deres går tapt eller blir skadet. Men klagen hevder at programvaren genererte forutsigbare fraser i stedet for genuint tilfeldige, noe som tillot angripere å gjenskape private nøkler uten fysisk å eie lommebøkene.
Det påståtte problemet stammer fra en «bygg- og koblingsintegrasjonsfeil» som fikk berørte enheter til å bruke Micropythons Yasmarang-programvaregenerator i stedet for den tiltenkte maskinvarebaserte tilfeldige tallgeneratoren. Med andre ord rapporteres det at enhetene skapte sikkerhetskoder som var mye lettere å gjette enn kundene hadde blitt lovet.
Tyveriene og konsekvensene
Angripere begynte å utnytte svakheten 30. juli 2026, og angivelig stjal omtrent 594 BTC, verdt 38 millioner dollar, på bare 25 minutter. Påfølgende tyverier presset søksmålets estimerte tap over 140 millioner dollar. Naderi hevder han personlig mistet 1.22940052 BTC, verdt omtrent 79.764 dollar, gjennom uautoriserte overføringer 6. august.
Klagen hevder også at bitcoin-ingeniør James O’Beirne advarte Coinkite om sårbarheten i mai 2025, mer enn et år før tyveriene begynte. Kryptovaluta-lommebokprodusenten Coinkite offentliggjorde sårbarheten 30. juli og utga korrektiv programvare dagen etter. Imidlertid kunne ikke installasjonen av oppdatert programvare alene beskytte tidligere genererte gjenopprettingsfraser. Kundene måtte også lage nye og overføre sin bitcoin.
Rettslige utfordringer og forbrukerbeskyttelse
Søksmålet argumenterer for at Coinkite ikke klarte å varsle berørte kunder direkte, til tross for at de hadde kontaktinformasjonen deres. Det utfordrer også selskapets kontraktsmessige ansvarsbegrensninger, og hevder at forbrukerbeskyttelseslover overstyrer bestemmelser som begrenser søksmål og erstatning.
Den foreslåtte klassen dekker personlige brukerkjøpere av Coldcard Mk2, Mk3, Mk4, Mk5 og Q-enheter. Klagerne søker erstatningskrav, straffeskader og annen kompensasjon. Saken forblir et foreslått gruppesøksmål, og dens påstander har ikke blitt fastslått i retten. Ingen erstatning har blitt tildelt.
For berørte kunder er det sentrale spørsmålet om et selskap som selger beskyttelse mot bitcoin-tyveri kan holdes økonomisk ansvarlig når egen sikkerhetsprogramvare angivelig åpner døren for tyveri.
Bitcoin.com News kontaktet Coinkite for kommentar angående søksmålet og dets påstander. Selskapet hadde ikke svart innen publiseringstidspunktet, men enhver uttalelse mottatt etterpå vil bli lagt til denne rapporten. Coinkite, selskapet bak Coldcard, maskinvarelommeboken som ble påvirket av en sårbarhet i sin frøgenereringskode, kan stå overfor juridiske konsekvenser.
