加拿大Coldcard用户起诉Coinkite及其联合创始人：涉嫌隐瞒硬件钱包安全漏洞

一名Coldcard用户在安大略省对硬件钱包制造商Coinkite Inc.及其联合创始人提起集体诉讼。原告指控称，Coinkite的联合创始人早在2025年5月就已知晓其种子生成系统存在严重问题，却未采取任何补救措施。

为何Coldcard遭到起诉？

Amir Reza Naderi在安大略省高等法院提交了起诉书。Coinkite Inc.、Rodolfo Novak和Peter D. Gray被列为被告。该案件文件编号为CV-26-00018158，于2026年9月11日电子立案。文件中指出，Novak和Gray作为联合创始人、董事或高级管理人员，参与了Coinkite公司及其Coldcard产品的管理工作。

Naderi声称，他在2026年8月6日损失了1.22940052枚比特币（约合79,800美元）。他指责被告方自2025年5月起便知晓系统存在的漏洞，却未能及时警告客户。他请求法院裁定Coinkite违反了安大略省《消费者保护法》。

Naderi还希望法院批准此案作为集体诉讼处理。若胜诉，他要求获得补偿性赔偿和惩罚性赔偿，并设立诉讼信托基金以分配所有判赔金额。

Coldcard的安全机制与漏洞背景

Coldcard是一款加拿大制造的硬件钱包，其主要功能是生成恢复助记词——即访问用户比特币资金的密钥序列。该产品原本设计使用一块专为生成随机数而打造的特殊芯片来完成这一任务。然而，在2021年3月的一次固件更新中，这项功能被悄然从硬件层面转移到了软件层面。

由于Coinkite使用了自身开发的随机数生成器，Coldcard的设置中关闭了芯片内置的随机数生成功能。一款名为Yasmarang的备份工具依赖芯片序列号和计时器来生成数字，用于创建新的种子。这导致部分Coldcard钱包生成的恢复助记词比预期更容易被猜测。

据报道，Mk2和Mk3型号中实际有效的随机性仅约40位，远低于BIP-39标准所假设的128位。

Coldcard用户遭受的损失规模

据报，盗窃行为始于2026年7月30日。攻击者在25分钟内从约500个钱包中窃取了约594枚比特币（价值约3,800万美元）。截至8月初的报道显示，损失总额已超过8,800万美元，涉及超过1,300枚比特币。

WeirFoulds LLP与Edmonds Marshall McMahon联合发布的分析报告（发布于Mondaq平台，日期为2026年8月7日）估计，超过5,200名受害者的总损失达1.16亿美元。累计损失目前已超过1.4亿美元。

大部分被盗比特币随后被集中转移到少数几个地址，这些地址此后未再记录任何活动。

Coinkite的回应

Coinkite否认了其在2025年5月已知晓漏洞的指控。该公司在其2026年7月30日发布的Technical Backgrounder（技术背景说明）中表示，直到当天才“发现此错误”，并暗示外部势力可能利用人工智能审查了其开源固件，从而率先发现了该缺陷。公司还称，其此前几周进行的AI辅助代码审查也未能发现该问题。

尽管Coinkite已为所有受影响型号发布了修复版固件，但仍敦促Coldcard用户生成新的种子，并将资金转移至新地址以确保安全。