Coldcard-laitteistolompakoiden turvallisuusongelma
Viisi vuotta vanha turvallisuusvirhe Coldcard-laitteistolompakoissa on johtanut valmistaja Coinkiten haastamiseen oikeuteen, kun hyökkääjät väitetysti tyhjensivät yli 140 miljoonaa dollaria bitcoinia. Ehdotettu ryhmäkanne väittää, että laitteet tuottivat ennakoitavia palautuslauseita, mikä altisti asiakkaat varkaudelle.
Kanteen taustat
Ryhmän kanne, joka nostettiin 11. syyskuuta 2026 Ontarion korkeimmassa oikeudessa, nimeää torontolaisen Coinkite Inc.:n sekä perustajat Rodolfo Novakin ja Peter D. Grayn vastaajiksi. Kantaja Amir Reza Naderi, Los Angelesin asukas, väittää, että maaliskuussa 2021 julkaistu viallinen ohjelmistopäivitys vaaransi Coldcard-lompakoiden turvallisuuden yli viiden vuoden ajan.
Kanteessa todetaan, että laitteissa oli haavoittuvuus, joka ”heikensi koko laitteen tarkoitusta ja toimintoa.”
Haavoittuvuuden vaikutukset
Coldcard-lompakot on suunniteltu suojaamaan bitcoinia tuottamalla salaisia palautuslauseita, joita kutsutaan yleisesti siemenlauseiksi. Nämä sanat mahdollistavat omistajien varojen palauttamisen, jos heidän laitteensa katoaa tai vaurioituu. Kuitenkin kanne väittää, että ohjelmisto tuotti ennakoitavia lauseita sen sijaan, että ne olisivat olleet aidosti satunnaisia, mikä mahdollisti hyökkääjien luoda yksityisiä avaimia ilman, että he fyysisesti omistivat lompakoita.
Väitetty ongelma juontui rakennus- ja linkitysintegrointivirheestä, joka sai laitteet käyttämään Micropythonin Yasmarang-ohjelmistogeneraattoria sen sijaan, että olisi käytetty tarkoitettua laitteistopohjaista satunnaislukugeneraattoria. Yksinkertaisesti sanottuna laitteet ilmeisesti loivat turvakoodit, jotka olivat paljon helpompia arvata kuin asiakkaille oli luvattu.
Hyökkäykset ja menetykset
Hyökkääjät alkoivat hyödyntää heikkoutta 30. heinäkuuta 2026, väitetysti varastaen noin 594 BTC, joka oli arvoltaan 38 miljoonaa dollaria vain 25 minuutissa. Seuraavat varkaudet nostivat kanteen arvioidut menetykset yli 140 miljoonaan dollariin. Naderi väittää menettäneensä henkilökohtaisesti 1.22940052 BTC, joka oli arvoltaan noin 79 764 dollaria, luvattomien siirtojen kautta 6. elokuuta.
Coinkiten reagointi
Kanteessa väitetään myös, että bitcoin-insinööri James O’Beirne varoitti Coinkitea haavoittuvuudesta toukokuussa 2025, yli vuosi ennen varkauksien alkamista. Kryptolompakkojen valmistaja Coinkite julkisti haavoittuvuuden 30. heinäkuuta ja julkaisi korjaavan ohjelmistopäivityksen seuraavana päivänä. Kuitenkin pelkästään päivitetyn ohjelmiston asentaminen ei voinut suojata aiemmin luotuja palautuslauseita. Asiakkaiden oli myös luotava uusia ja siirrettävä bitcoininsa.
Kanne väittää, että Coinkite ei ilmoittanut suoraan asianomaisille asiakkaille, vaikka sillä oli heidän yhteystietonsa. Se myös kyseenalaistaa yrityksen sopimukselliset vastuuvapausrajoitukset väittäen, että kuluttajansuojalait kumoavat säännökset, jotka rajoittavat kanteita ja korvauksia.
Nykytilanne
Ehdotettu ryhmä kattaa henkilökohtaisessa käytössä olevat Coldcard Mk2, Mk3, Mk4, Mk5 ja Q -laitteiden ostajat. Kantajat vaativat korvauksia, rangaistuksia ja muuta helpotusta. Asia on edelleen ehdotettu ryhmäkanne, eikä sen väitteitä ole vahvistettu tuomioistuimessa. Korvauksia ei ole myönnetty.
Asianomaisten asiakkaiden keskeinen kysymys on, voidaanko yritystä, joka myy suojaa bitcoin-varkauksilta, pitää taloudellisesti vastuullisena, kun sen oma turvallisuusohjelmisto väitetysti avaa oven.
Bitcoin.com News otti yhteyttä Coinkiteen kommentoimaan oikeusjuttua ja sen väitteitä. Yritys ei ollut vastannut julkaisuhetkellä, mutta kaikki myöhemmin saadut lausunnot lisätään tähän raporttiin.
