Vítimas da Coldcard processam fundadores da Coinkite, alegando que ignoraram alerta de maio de 2025
- Amir Reza Naderi ajuizou uma ação coletiva no Superior Court de Ontário contra a Coinkite e os cofundadores Rodolfo Novak e Peter D. Gray.
- Os cofundadores supostamente sabiam de um defeito na geração da semente do Coldcard desde maio de 2025, mas não alertaram os usuários.
- Mais de US$ 140 milhões foram roubados desde que a exploração começou em 30 de julho de 2026.
Um cliente do Coldcard iniciou uma ação coletiva em Ontário contra o fabricante de carteiras de hardware Coinkite Inc. e seus cofundadores.
A alegação é de que os cofundadores da Coinkite sabiam que havia um problema com seu sistema de geração de sementes já em maio de 2025 e não fizeram nada a respeito.
Por que o Coldcard está sendo processado?
Amir Reza Naderi apresentou uma declaração de reclamação no Superior Court of Justice de Ontário. A Coinkite Inc., Rodolfo Novak e Peter D. Gray são citados como réus na ação judicial. O processo, CV-26-00018158, foi emitido eletronicamente em 11 de setembro de 2026. Nele, Novak e Gray são descritos como cofundadores, diretores ou executivos que participaram da gestão da Coinkite e de seus produtos Coldcard.
Naderi afirma que perdeu 1,22940052 BTC, cerca de US$ 79.800, em 6 de agosto e acusa os réus de estarem cientes da vulnerabilidade em seu sistema desde maio de 2025, mas de não terem alertado os clientes. Ele pede ao tribunal que declare que a Coinkite violou a Lei de Proteção ao Consumidor de Ontário.
Naderi deseja que o tribunal aprove o caso como uma ação coletiva. Se for bem-sucedido, ele está pedindo tanto indenizações compensatórias quanto punitivas, além de um fundo judicial para distribuir qualquer valor concedido.
O Coldcard é uma carteira de hardware fabricada no Canadá. Sua função é gerar uma frase de recuperação, a série de palavras que dá acesso ao bitcoin de um usuário, e foi projetada para fazer isso com um chip especial construído especificamente para criar números aleatórios. Em março de 2021, uma atualização de firmware transferiu silenciosamente essa tarefa do hardware para o software.
As configurações do Coldcard tinham o gerador de números aleatórios integrado do chip desativado, já que a Coinkite usava o seu próprio. Uma ferramenta de backup chamada Yasmarang, que depende do número de série do chip e de um cronômetro para gerar seus números, foi usada para criar cada novo seed (semente), e algumas carteiras Coldcard acabaram tendo frases de recuperação muito mais fáceis de adivinhar do que deveriam ser.
Havia relatos de apenas cerca de 40 bits de aleatoriedade real no Mk2 e Mk3, muito abaixo dos 128 bits que o padrão BIP-39 assume.
Quanto foi roubado dos usuários do Coldcard?
O roubo começou em 30 de julho de 2026. Um atacante supostamente roubou cerca de 594 bitcoins, aproximadamente US$ 38 milhões, de cerca de 500 carteiras em um intervalo de 25 minutos. Relatórios de agosto inicial indicaram perdas acima de US$ 88 milhões e mais de 1.300 BTC.
pedido complementar análise conjunta da WeirFoulds LLP e Edmonds Marshall McMahon, publicada na Mondaq em 7 de agosto, estimou US$ 116 milhões perdidos por mais de 5.200 vítimas. As perdas cumulativas são estimadas em mais de US$ 140 milhões.
Grande parte do bitcoin roubado foi reunida em alguns endereços que não registraram nenhuma atividade.
A Coinkite negou as alegações de que sabia sobre a vulnerabilidade em maio de 2025, escrevendo em seu documento técnico explicativo publicado em 30 de julho de 2026, afirmando estar “desconhecida do bug até hoje” e sugerindo que uma parte externa pode ter usado IA para revisar seu firmware de código aberto e encontrar a falha primeiro.
A empresa disse que sua própria revisão de código assistida por IA, feita semanas antes, havia perdido o problema.
A Coinkite lançou firmware corrigido para todos os modelos afetados, mas instou os proprietários do Coldcard a criar novas sementes e transferir seus fundos para elas.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Perguntas Frequentes
Quem processou a Coinkite?
Amir Reza Naderi, proprietário do Coldcard que afirma ter perdido cerca de 1,22940052 BTC (aproximadamente US$ 79.800) em 6 de agosto, apresentou a ação coletiva no Superior Court of Justice de Ontário, nomeando a Coinkite Inc. e os cofundadores Rodolfo Novak e Peter D. Gray.
O que causou os roubos do Coldcard?
Uma compilação de firmware de março de 2021 e um erro de vinculação direcionaram a geração da semente da carteira pelo gerador não criptográfico Yasmarang do MicroPython, em vez do gerador de números aleatórios por hardware, permitindo que os atacantes reproduzissem as sementes e derivassem chaves privadas offline.
Quanto foi roubado?
As estimativas aumentaram ao longo do tempo: de cerca de US$ 38 milhões na primeira varredura de 25 minutos em 30 de julho de 2026, para US$ 116 milhões entre mais de 5.200 vítimas até o início de agosto, e ultrapassaram US$ 140 milhões quando o processo foi reportado em 22 de outubro de 2026.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
