Уязвимость безопасности в аппаратных кошельках Coldcard
Пятилетняя уязвимость безопасности в аппаратных кошельках Coldcard привела к иску против производителя Coinkite после того, как злоумышленники якобы вывели более 140 миллионов долларов в биткойнах. Иск, поданный от имени группы истцов, утверждает, что устройства генерировали предсказуемые фразы для восстановления, оставляя клиентов под угрозой кражи.
Детали иска
Иск был подан 11 сентября 2026 года в Высшем суде справедливости Онтарио, в качестве ответчиков указаны основанная в Торонто компания Coinkite Inc. и соучредители Родольфо Новак и Питер Д. Грей. Истец Амир Реза Надери, житель Лос-Анджелеса, утверждает, что дефектное обновление прошивки, выпущенное в марте 2021 года, скомпрометировало безопасность кошельков Coldcard на протяжении более пяти лет.
«Устройства содержали уязвимость, которая подрывала всю цель и функцию устройства».
Кошельки Coldcard предназначены для защиты биткойнов, генерируя секретные фразы для восстановления, обычно называемые seed-фразами. Эти слова позволяют владельцам восстановить свои средства в случае потери или повреждения устройств. Однако в жалобе утверждается, что программное обеспечение генерировало предсказуемые фразы вместо действительно случайных, что позволяло злоумышленникам воссоздавать приватные ключи, не обладая физически кошельками.
Причины уязвимости
Предполагаемая проблема возникла из-за ошибки интеграции сборки и связи, которая заставила затронутые устройства использовать генератор программного обеспечения Micropython Yasmarang вместо предназначенного аппаратного генератора случайных чисел. Проще говоря, устройства, как сообщается, создавали коды безопасности, которые было гораздо легче угадать, чем обещали клиенты.
Злоумышленники начали использовать эту уязвимость 30 июля 2026 года, якобы украдя примерно 594 BTC на сумму 38 миллионов долларов всего за 25 минут. Последующие кражи увеличили оценочные убытки иска до более чем 140 миллионов долларов.
Предупреждения и последствия
Надери утверждает, что он лично потерял 1.22940052 BTC, стоимостью примерно 79,764 долларов, через несанкционированные переводы 6 августа. Жалоба также утверждает, что инженер по биткойнам Джеймс О’Бейрн предупреждал Coinkite об уязвимости в мае 2025 года, более чем за год до начала краж.
«Coinkite не уведомила напрямую затронутых клиентов, несмотря на наличие их контактной информации».
Производитель криптокошельков Coinkite публично раскрыл уязвимость 30 июля и выпустил исправленную прошивку на следующий день. Однако установка обновленного программного обеспечения не могла защитить ранее сгенерированные фразы восстановления. Клиентам также нужно было создать новые и перевести свои биткойны.
Требования истцов
Иск оспаривает ограничения договорной ответственности компании, утверждая, что законы о защите прав потребителей превышают положения, ограничивающие иски и компенсации. Предложенный класс охватывает покупателей для личного использования устройств Coldcard Mk2, Mk3, Mk4, Mk5 и Q. Истцы требуют компенсационных убытков, штрафных убытков и других средств.
Дело остается предложенным коллективным иском, и его обвинения не были установлены в суде. Убытки не были присуждены. Для затронутых клиентов центральный вопрос заключается в том, может ли компания, продающая защиту от кражи биткойнов, нести финансовую ответственность, когда ее собственное программное обеспечение безопасности якобы открывает дверь.
Bitcoin.com News связался с Coinkite для комментариев относительно иска и его обвинений. Компания не ответила к моменту публикации, но любое заявление, полученное позже, будет добавлено в этот отчет.
