Le vittime di Coldcard citano in giudizio i fondatori di Coinkite: "Ignorato un allarme del maggio 2025"

Un cliente di Coldcard ha avviato un’azione legale collettiva in Ontario contro il produttore di wallet hardware Coinkite Inc. e i suoi co-fondatori.

L’accusa sostiene che i co-fondatori di Coinkite fossero a conoscenza di un problema nel sistema di generazione delle seed phrase già a partire dal maggio 2025 e non abbiano adottato alcuna misura.

Perché Coldcard è sotto accusa?

Amir Reza Naderi ha depositato una dichiarazione di domanda presso il Superior Court of Justice dell’Ontario. Nella causa figurano come convenuti Coinkite Inc., Rodolfo Novak e Peter D. Gray. Il fascicolo del tribunale, CV-26-00018158, è stato rilasciato in forma elettronica l’11 settembre 2026. Nel documento, Novak e Gray sono descritti come co-fondatori, direttori o dirigenti coinvolti nella gestione di Coinkite e dei suoi prodotti Coldcard.

Naderi afferma di aver perso 1,22940052 BTC, pari a circa 79.800 dollari, il 6 agosto e accusa gli imputati di essere a conoscenza della vulnerabilità del loro sistema da maggio 2025 in poi, senza però avvertire i clienti. Chiede al tribunale di stabilire che Coinkite abbia violato la Legge sulla tutela dei consumatori dell'Ontario.

Naderi chiede al tribunale di approvare il caso come azione collettiva. In caso di successo, richiede sia il risarcimento dei danni sia sanzioni punitive, nonché l'istituzione di un fondo fiduciario per la distribuzione dei fondi assegnati.

Coldcard è un portafoglio hardware di produzione canadese. Il suo compito è generare una frase di recupero, la serie di parole che consente l'accesso ai bitcoin di un utente, ed è stato progettato per farlo utilizzando un chip speciale dedicato alla generazione di numeri casuali. Nel marzo 2021, un aggiornamento del firmware ha spostato silenziosamente tale attività dall'hardware al software.

Le impostazioni di Coldcard avevano disattivato il generatore di numeri casuali integrato nel chip, poiché Coinkite utilizzava il proprio. Uno strumento di backup chiamato Yasmarang, che si basa sul numero seriale del chip e su un timer per generare i propri numeri, è stato utilizzato per creare ogni nuovo seed; alcuni portafogli Coldcard hanno così finito per avere frasi di recupero molto più facili da indovinare del previsto.

Si riportano solo circa 40 bit di vera casualità sui modelli Mk2 e Mk3, ben al di sotto dei 128 bit previsti dallo standard BIP-39.

Quanto è stato rubato agli utenti di Coldcard?

Il furto è iniziato il 30 luglio 2026. Un aggressore avrebbe sottratto circa 594 bitcoin, per un valore di circa 38 milioni di dollari, da circa 500 wallet in una finestra di 25 minuti. Le notizie di inizio agosto indicavano perdite superiori a 88 milioni di dollari e oltre 1.300 BTC.

deposito complementare un'analisi congiunta di WeirFoulds LLP ed Edmonds Marshall McMahon, pubblicata su Mondaq il 7 agosto, stimava 116 milioni di dollari di perdite tra oltre 5.200 vittime. Le perdite cumulative sono stimate ormai oltre i 140 milioni di dollari.

Gran parte dei bitcoin rubati è stata successivamente aggregata in pochi indirizzi che non hanno registrato alcuna attività.

Coinkite ha smentito le accuse secondo cui era a conoscenza della vulnerabilità nel maggio 2025, scrivendo nel suo backgrounder tecnico pubblicato il 30 luglio 2026, che era “all’oscuro del bug fino ad oggi” e suggerendo che una parte esterna potrebbe aver utilizzato l’intelligenza artificiale per esaminare il proprio firmware open-source e individuare la falla per prima.

L’azienda ha dichiarato che anche la propria revisione del codice assistita dall’AI, effettuata settimane prima, l’aveva mancata.

Coinkite ha rilasciato il firmware corretto per tutti i modelli interessati, ma ha esortato i proprietari di Coldcard a creare nuovi seed e a trasferire i propri fondi su di essi.