Retssag mod Coinkite over sikkerhedsfejl i Coldcard wallets
En fem år gammel sikkerhedsfejl i Coldcard hardware wallets har ført til, at producenten Coinkite er blevet sagsøgt, efter at angribere angiveligt har tømt mere end $140 millioner i bitcoin. Den foreslåede gruppering af retssager hævder, at enhederne genererede forudsigelige gendannelsesfraser, hvilket efterlod kunderne udsat for tyveri.
Baggrund for retssagen
Retssagen, der blev indgivet den 11. september 2026 i Ontarios Superior Court of Justice, nævner det Toronto-baserede Coinkite Inc. samt medstifterne Rodolfo Novak og Peter D. Gray som sagsøgte. Klageren Amir Reza Naderi, en borger fra Los Angeles, hævder, at en defekt firmwareopdatering, der blev udgivet i marts 2021, kompromitterede sikkerheden af Coldcard wallets i mere end fem år.
Sårbarheden i Coldcard wallets
Klagen angiver, at enhederne indeholdt en sårbarhed, der “underminerede hele formålet og funktionen af enheden.” Coldcard wallets er designet til at beskytte bitcoin ved at generere hemmelige gendannelsesfraser, almindeligvis kaldet seed phrases. Disse ord giver ejere mulighed for at gendanne deres midler, hvis deres enheder går tabt eller bliver beskadiget.
Men klagen hævder, at softwaren genererede forudsigelige fraser i stedet for ægte tilfældige, hvilket gjorde det muligt for angribere at genskabe private nøgler uden fysisk at eje wallets. Det påståede problem stammer fra en “build and link integrationsfejl”, der fik de berørte enheder til at bruge Micropythons Yasmarang softwaregenerator i stedet for den tilsigtede hardware-baserede tilfældige talgenerator.
Tyverier og konsekvenser
Angribere begyndte at udnytte svagheden den 30. juli 2026 og angiveligt stjal cirka 594 BTC til en værdi af $38 millioner på blot 25 minutter. Efterfølgende tyverier skubbede retssagens estimerede tab over $140 millioner. Naderi hævder, at han personligt mistede 1.22940052 BTC, værdiansat til cirka $79.764, gennem uautoriserede overførsler den 6. august.
Klagen hævder også, at bitcoin-ingeniør James O’Beirne advarede Coinkite om sårbarheden i maj 2025, mere end et år før tyverierne begyndte. Kryptovaluta wallet-producenten Coinkite offentliggjorde sårbarheden den 30. juli og udgav en korrektiv firmware dagen efter. Dog kunne installation af opdateret software alene ikke beskytte tidligere genererede gendannelsesfraser. Kunderne skulle også oprette nye og overføre deres bitcoin.
Retssagens udfordringer
Retssagen hævder, at Coinkite ikke direkte informerede de berørte kunder, på trods af at de havde deres kontaktoplysninger. Den udfordrer også virksomhedens kontraktlige ansvarsbegrænsninger og hævder, at forbrugerbeskyttelseslove tilsidesætter bestemmelser, der begrænser retssager og erstatning. Den foreslåede gruppe dækker personlige brugere af Coldcard Mk2, Mk3, Mk4, Mk5 og Q-enheder.
Klagerne søger erstatning, straffende erstatning og anden hjælp. Sagen forbliver en foreslået gruppering af retssager, og dens påstande er ikke blevet fastslået i retten. Ingen erstatning er blevet tildelt.
Spørgsmålet om ansvar
For de berørte kunder er det centrale spørgsmål, om en virksomhed, der sælger beskyttelse mod bitcoin-tyveri, kan holdes økonomisk ansvarlig, når dens egen sikkerhedssoftware angiveligt åbner døren for tyveri.
Bitcoin.com News kontaktede Coinkite for kommentar vedrørende retssagen og dens påstande. Virksomheden havde ikke svaret inden offentliggørelsen, men enhver erklæring, der modtages efterfølgende, vil blive tilføjet til denne rapport.
Coinkite, virksomheden bag Coldcard, hardware wallet’en, der er påvirket af en sårbarhed i dens seed generation kode, kan stå over for juridiske konsekvenser.
