Пользователи Coldcard подали в суд на основателей Coinkite из-за игнорирования предупреждения о безопасности 2025 года
Клиент Coldcard подал коллективный иск в Онтарио против производителя аппаратных кошельков Coinkite Inc. и его сооснователей.
Утверждается, что сооснователи Coinkite знали о проблеме в системе генерации seed-фраз еще в мае 2025 года, но ничего не предприняли.
Почему на Coldcard подали в суд?
Амир Реза Надери подал заявление о иске в Верховный суд юстиции Онтарио. В качестве ответчиков по делу указаны Coinkite Inc., Родольфо Новак и Питер Д. Грей. Номер судебного дела CV-26-00018158 был зарегистрирован в электронном виде 11 сентября 2026 года. В нем Новак и Грей описываются как сооснователи, директора или должностные лица, участвовавшие в управлении компанией Coinkite и ее продуктами Coldcard.
Будьте в курсе движения ваших монет
Алерты, котировки в реальном времени и новости рынка — в одном приложении
Наведите камеру телефона, чтобы установить
4,8 на основе 40 К оценок в App Store и Google Play
Надери утверждает, что 6 августа он потерял 1,22940052 $BTC (примерно 79 800 долларов США), и обвиняет ответчиков в том, что они знали об уязвимости в своей системе с мая 2025 года, но не предупредили клиентов. Он просит суд признать, что компания Coinkite нарушила Закон Онтарио о защите прав потребителей.
Надери просит суд утвердить дело в качестве коллективного иска. В случае успеха он требует как компенсационного, так и штрафного возмещения ущерба, а также создания судебного траста для распределения присужденных средств.
Coldcard — это аппаратный кошелёк канадского производства. Его задача — генерировать фразу восстановления, набор слов, дающих доступ к биткоинам пользователя; изначально она была разработана для выполнения этой функции с помощью специального чипа, предназначенного для создания случайных чисел. В марте 2021 года обновление прошивки незаметно перенесло эту задачу с аппаратного уровня на программный.
В настройках Coldcard встроенный генератор случайных чисел чипа был отключён, поскольку Coinkite использовала собственный. Для создания каждого нового сид-фразы применялся резервный инструмент Yasmarang, который опирался на серийный номер чипа и таймер для генерации чисел; в результате некоторые кошельки Coldcard получили фразы восстановления, которые оказались значительно легче для подбора, чем должны были быть.
По сообщениям, на Mk2 и Mk3 доступно лишь около 40 бит истинной случайности, что значительно ниже 128 бит, предполагаемых стандартом BIP-39.
Сколько было украдено у пользователей Coldcard?
Кража началась 30 июля 2026 года. По сообщениям, злоумышленник похитил примерно 594 биткойна (около 38 млн долларов) с около 500 кошельков за 25 минут. Отчеты начала августа указывали на убытки свыше 88 млн долларов и более 1300 $BTC.
ополнительная заявка совместный анализ проведенный юридической фирмой WeirFoulds LLP и Edmonds Marshall McMahon, опубликованный на Mondaq 7 августа, оценил потери в 116 млн долларов среди более чем 5200 пострадавших. Совокупные убытки, по оценкам, превысили 140 млн долларов.
Значительная часть украденных биткойнов была впоследствии собрана на нескольких адресах, на которых не зафиксировано никакой активности.
Компания Coinkite опровергла утверждения о том, что она знала об уязвимости в мае 2025 года, указав в своем техническом справочном материале опубликованном 30 июля 2026 года, что она «не знала об ошибке до сегодняшнего дня» и предположив, что внешняя сторона могла использовать ИИ для анализа своего прошивки с открытым исходным кодом и обнаружения уязвимости первой.
Компания заявила, что ее собственный ИИ-ассистированный обзор кода, проведенный неделей ранее, пропустил эту ошибку.
Coinkite выпустила исправленную версию прошивки для всех затронутых моделей, однако компания призвала владельцев Coldcard создать новые seed-фразы и перевести средства на кошельки с новыми семенами.
