Einführung
Ein fünf Jahre alter Sicherheitsfehler in Coldcard-Hardware-Wallets hat den Hersteller Coinkite in eine Klage verwickelt, nachdem Angreifer angeblich mehr als 140 Millionen Dollar in Bitcoin abgezweigt haben. Die vorgeschlagene Sammelklage behauptet, dass die Geräte vorhersehbare Wiederherstellungsphrasen generierten, wodurch die Kunden einem erhöhten Risiko von Diebstahl ausgesetzt waren.
Details zur Klage
Die Sammelklage, die am 11. September 2026 beim Obersten Gerichtshof von Ontario eingereicht wurde, nennt das in Toronto ansässige Unternehmen Coinkite Inc. sowie die Mitbegründer Rodolfo Novak und Peter D. Gray als Beklagte. Der Kläger Amir Reza Naderi, ein Einwohner von Los Angeles, behauptet, dass ein fehlerhaftes Firmware-Update, das im März 2021 veröffentlicht wurde, die Sicherheit der Coldcard-Wallets über mehr als fünf Jahre hinweg gefährdete.
Die Sicherheitslücke
Die Klage besagt, dass die Geräte eine Schwachstelle enthielten, die „den gesamten Zweck und die Funktion des Geräts untergrub.“ Coldcard-Wallets sind darauf ausgelegt, Bitcoin zu schützen, indem sie geheime Wiederherstellungsphrasen generieren, die allgemein als Seed-Phrasen bezeichnet werden. Diese Wörter ermöglichen es den Besitzern, ihre Gelder wiederherzustellen, wenn ihre Geräte verloren gehen oder beschädigt werden. Doch die Beschwerde behauptet, dass die Software vorhersehbare Phrasen anstelle von wirklich zufälligen generierte, was es Angreifern ermöglichte, private Schlüssel zu rekonstruieren, ohne die Wallets physisch zu besitzen.
Das angebliche Problem entstand durch einen „Build- und Link-Integrationsfehler“, der dazu führte, dass betroffene Geräte den Softwaregenerator Yasmarang von Micropython anstelle des vorgesehenen hardwarebasierten Zufallszahlengenerators verwendeten. Einfach ausgedrückt, sollen die Geräte Sicherheitscodes erstellt haben, die viel einfacher zu erraten waren, als den Kunden versprochen wurde.
Die Diebstähle
Angreifer begannen am 30. Juli 2026, die Schwäche auszunutzen und sollen in nur 25 Minuten etwa 594 BTC im Wert von 38 Millionen Dollar gestohlen haben. Weitere Diebstähle führten dazu, dass die geschätzten Verluste der Klage 140 Millionen Dollar überstiegen. Naderi behauptet, er habe persönlich 1,22940052 BTC, im Wert von etwa 79.764 Dollar, durch unautorisierte Überweisungen am 6. August verloren.
Reaktionen und Verantwortung
Die Beschwerde behauptet auch, dass der Bitcoin-Ingenieur James O’Beirne Coinkite im Mai 2025 auf die Schwachstelle hingewiesen habe, mehr als ein Jahr bevor die Diebstähle begannen. Der Krypto-Wallet-Hersteller Coinkite gab die Schwachstelle am 30. Juli öffentlich bekannt und veröffentlichte am folgenden Tag eine korrigierende Firmware. Allerdings konnte die bloße Installation der aktualisierten Software nicht die zuvor generierten Wiederherstellungsphrasen schützen. Die Kunden mussten auch neue Phrasen erstellen und ihre Bitcoins übertragen.
Die Klage argumentiert, dass Coinkite es versäumt habe, betroffene Kunden direkt zu benachrichtigen, obwohl das Unternehmen über deren Kontaktdaten verfügte. Sie stellt auch die vertraglichen Haftungsbeschränkungen des Unternehmens in Frage und behauptet, dass Verbraucherschutzgesetze Bestimmungen, die Klagen und Entschädigungen einschränken, übersteuern.
Fazit
Die vorgeschlagene Klasse umfasst Käufer von Coldcard Mk2, Mk3, Mk4, Mk5 und Q-Geräten für den persönlichen Gebrauch. Die Kläger fordern Schadensersatz, punitive damages und andere Entschädigungen. Der Fall bleibt eine vorgeschlagene Sammelklage, und die Vorwürfe wurden noch nicht vor Gericht festgestellt. Es wurden keine Schadensersatzansprüche zugesprochen.
Für betroffene Kunden ist die zentrale Frage, ob ein Unternehmen, das Schutz gegen Bitcoin-Diebstahl verkauft, finanziell verantwortlich gemacht werden kann, wenn seine eigene Sicherheitssoftware angeblich die Tür öffnet. Bitcoin.com News hat Coinkite um einen Kommentar zur Klage und ihren Vorwürfen gebeten. Das Unternehmen hatte bis zum Zeitpunkt der Veröffentlichung nicht geantwortet, aber jede Erklärung, die danach eingeht, wird in diesen Bericht aufgenommen.
