Coldcard被害者、Coinkite創業者を提訴 2025年5月の警告を無視したと主張

コールドカードの利用者が、ハードウェアウォレットメーカーのコインキット社とその共同創業者らを相手取り、オンタリオで集団訴訟を起こしました。

訴えられている内容は、コインキットの共同創業者らが2025年5月という早い段階からシード生成システムに問題があることを把握していながら、何ら対応しなかったというものです。

なぜコールドカードが訴訟の対象となっているのか？

アミール・レザ・ナーデリ 請求書面を提出した オンタリオ高等裁判所において。コインキット社、ロドルフォ・ノヴァク氏、ピーター・D・グレイ氏が被告として提訴されました。裁判記録番号はCV-26-00018158で、2026年9月11日に電子発行されました。同文書では、ノヴァク氏とグレイ氏はコインキットおよびそのコールドカード製品の管理に関与した共同創業者、取締役、または役員であると説明されています。

Naderi氏は、8月6日に約7万9,800ドル相当の1.22940052 BTCを失ったとし、被告側が2025年5月以降システムに脆弱性があることを認識しながらも顧客に警告しなかったと非難しています。彼は、Coinkiteがオンタリオ州消費者保護法に違反したとの判決を裁判所に求めています。

Naderi氏は、この訴訟をクラスアクションとして認可するよう裁判所に求めています。勝訴した場合、補償的損害賠償および懲罰的損害賠償の両方を請求するとともに、認定された金銭を分配するための訴訟信託の設定を求めています。

Coldcardはカナダ製のハードウェアウォレットです。その役割は、ユーザーのビットコインへのアクセス権を与える一連の単語であるリカバリーフレーズ（回復用シード）を生成することであり、ランダムな数値を作成するために特別に設計されたチップを使用してこれを行うように設計されていました。しかし、2021年3月のファームウェアアップデートにより、この機能がハードウェアからソフトウェアへと静かに移行しました。

Coinkiteが独自の乱数生成器を使用していたため、Coldcardの設定ではチップに内蔵された乱数生成が無効化されていました。チップのシリアル番号とタイマーに依存して数値を生成するバックアップツール「Yasmarang」が各新しいシードの作成に使用され、その結果、一部のColdcardウォレットのリカバリーフレーズは本来予想されるよりもはるかに推測されやすいものになってしまいました。

報道によると Mk2およびMk3では実質的なランダム性は約40ビットしかなく、BIP-39規格が想定する128ビットを大幅に下回っています。

Coldcardのユーザーから盗まれた金額は？

窃盗事件 2026年7月30日に発生しました。攻撃者は約25分間で約500件のウォレットから、約594ビットコイン（約3,800万ドル）を盗んだと報告されています。8月初頭の報道によると、損失額は8,800万ドル以上、1,300 BTC超に達しています。

補完的な提出 共同分析 WeirFoulds LLPとEdmonds Marshall McMahonによる分析は、8月7日にMondaqで公開され、5,200人以上の被害者に対して1億1,600万ドルの損失があると推定しました。累積損失額は1億4,000万ドルを超えると見積もられています。

盗まれたビットコインの多くはその後、いくつかのアドレスに集められ、それらのアドレスではこれまでに活動が記録されていません。

Coinkiteは、2025年5月にこの脆弱性を把握していたとの疑いを否定し、 技術的バックグラウンド資料の中で 2026年7月30日に公開された文書において、「今日までバグを認識していなかった」と述べ、外部の第三者がAIを使用してオープンソースファームウェアをレビューし、まず欠陥を発見した可能性を示唆しました。

同社は、数週間前に自社が行ったAI支援コードレビューでもこれを逃していたと述べています。

Coinkiteは 修正済みファームウェアをリリースしました 影響を受けたすべてのモデルを対象としていますが、Coldcardの所有者には新しいシードを作成し、資金をそれらに移動するよう促しています。