Difetto di Sicurezza nei Portafogli Hardware Coldcard
Un difetto di sicurezza di cinque anni nei portafogli hardware Coldcard ha portato il produttore Coinkite a una causa legale, dopo che gli attaccanti hanno presumibilmente drenato oltre 140 milioni di dollari in Bitcoin. L’azione collettiva proposta afferma che i dispositivi generavano frasi di recupero prevedibili, lasciando i clienti vulnerabili al furto.
Dettagli della Causa Legale
Una causa di classe è stata depositata l’11 settembre 2026 presso la Corte Superiore di Giustizia dell’Ontario, nominando come imputati Coinkite Inc., con sede a Toronto, e i co-fondatori Rodolfo Novak e Peter D. Gray. Il querelante Amir Reza Naderi, residente a Los Angeles, sostiene che un aggiornamento del firmware difettoso rilasciato nel marzo 2021 ha compromesso la sicurezza dei portafogli Coldcard per oltre cinque anni.
“I dispositivi contenevano una vulnerabilità che minava l’intero scopo e la funzione del dispositivo.”
I portafogli Coldcard sono progettati per proteggere il Bitcoin generando frasi di recupero segrete, comunemente chiamate frasi seed. Queste parole consentono ai proprietari di recuperare i propri fondi se i loro dispositivi vengono persi o danneggiati. Tuttavia, il reclamo sostiene che il software generava frasi prevedibili invece di frasi realmente casuali, consentendo agli attaccanti di ricreare le chiavi private senza possedere fisicamente i portafogli.
Origine del Problema
Il problema presunto è originato da un “errore di integrazione build e link” che ha causato ai dispositivi interessati di utilizzare il generatore di software Yasmarang di Micropython, invece del generatore di numeri casuali basato su hardware previsto. In parole semplici, i dispositivi avrebbero creato codici di sicurezza molto più facili da indovinare di quanto promesso ai clienti.
Gli attaccanti hanno iniziato a sfruttare la vulnerabilità il 30 luglio 2026, rubando presumibilmente circa 594 BTC, del valore di 38 milioni di dollari, in soli 25 minuti. I furti successivi hanno portato le perdite stimate dalla causa oltre i 140 milioni di dollari. Naderi afferma di aver perso personalmente 1.22940052 BTC, valutati circa 79.764 dollari, attraverso trasferimenti non autorizzati il 6 agosto.
Avvertimenti e Risposte di Coinkite
Il reclamo sostiene anche che l’ingegnere Bitcoin James O’Beirne ha avvertito Coinkite della vulnerabilità nel maggio 2025, più di un anno prima che iniziassero i furti. Il produttore di portafogli crypto Coinkite ha reso pubblica la vulnerabilità il 30 luglio e ha rilasciato un firmware correttivo il giorno successivo. Tuttavia, l’installazione del software aggiornato da sola non poteva proteggere le frasi di recupero generate in precedenza. I clienti dovevano anche crearne di nuove e trasferire il proprio Bitcoin.
La causa sostiene che Coinkite non ha avvisato direttamente i clienti interessati, nonostante possedesse le loro informazioni di contatto. Contesta anche le limitazioni di responsabilità contrattuale dell’azienda, sostenendo che le leggi sulla protezione dei consumatori sovrascrivono le disposizioni che limitano le cause legali e i risarcimenti.
Conclusioni e Prospettive Future
La classe proposta copre gli acquirenti per uso personale dei dispositivi Coldcard Mk2, Mk3, Mk4, Mk5 e Q. I querelanti chiedono danni compensativi, danni punitivi e altre forme di risarcimento. Il caso rimane un’azione collettiva proposta e le sue accuse non sono state ancora stabilite in tribunale. Non sono stati assegnati danni.
Per i clienti interessati, la domanda centrale è se un’azienda che vende protezione contro il furto di Bitcoin possa essere ritenuta finanziariamente responsabile quando il proprio software di sicurezza apre presuntivamente la porta.
Bitcoin.com News ha contattato Coinkite per un commento riguardo alla causa e alle sue accuse. L’azienda non aveva risposto entro il momento della pubblicazione, ma qualsiasi dichiarazione ricevuta successivamente sarà aggiunta a questo rapporto. Coinkite, l’azienda dietro Coldcard, il portafoglio hardware colpito da una vulnerabilità nel suo codice di generazione delle frasi seed, potrebbe affrontare azioni legali.
