Coinkite verklagt wegen Coldcard-Lücke: 140 Mio. Dollar in Bitcoin

Sicherheitslücke bei Coldcard löst Klage in Höhe von 140 Mio. US-Dollar aus

Eine am 11. September 2026 beim Obersten Gerichtshof von Ontario eingereichte Sammelklage nennt das in Toronto ansässige Unternehmen Coinkite Inc. sowie die Mitbegründer Rodolfo Novak und Peter D. Gray als Beklagte. Der Kläger Amir Reza Naderi, ein Einwohner von Los Angeles, behauptet, dass ein fehlerhaftes Firmware-Update, das im März 2021 veröffentlicht wurde, die Sicherheit von Coldcard-Wallets über einen Zeitraum von mehr als fünf Jahren gefährdet habe.

In der Klage heißt es, die Geräte wiesen eine Sicherheitslücke auf, die „den gesamten Zweck und die Funktion des Geräts untergrub“. Coldcard-Wallets dienen dem Schutz von Bitcoin durch die Generierung geheimer Wiederherstellungsphrasen, die gemeinhin als Seed-Phrasen bezeichnet werden. Diese Wörter ermöglichen es den Besitzern, ihr Guthaben wiederherzustellen, falls ihre Geräte verloren gehen oder beschädigt werden.

In der Klage wird jedoch behauptet, dass die Software vorhersehbare Phrasen anstelle von wirklich zufälligen generiert habe, wodurch Angreifer in der Lage waren, private Schlüssel nachzubilden, ohne physisch im Besitz der Wallets zu sein.

Ein Firmware-Fehler, Tausende gefährdeter Wallets

Das angebliche Problem ging auf einen „Build- und Link-Integrationsfehler“ zurück, der dazu führte, dass betroffene Geräte den Yasmarang-Softwaregenerator von Micropython anstelle des vorgesehenen hardwarebasierten Zufallszahlengenerators verwendeten. Im Klartext: Die Geräte erzeugten Berichten zufolge Sicherheitscodes, die weitaus leichter zu erraten waren, als den Kunden versprochen worden war.

Angreifer begannen am 30. Juli 2026, die Schwachstelle auszunutzen, und sollen in nur 25 Minuten etwa 594 BTC im Wert von 38 Millionen Dollar gestohlen haben. Durch nachfolgende Diebstähle stiegen die in der Klage geschätzten Verluste auf über 140 Millionen US-Dollar. Naderi gibt an, durch unbefugte Überweisungen am 6. August persönlich 1,22940052 BTC im Wert von etwa 79.764 US-Dollar verloren zu haben.

In der Klage wird zudem behauptet, dass der Bitcoin-Ingenieur James O’Beirne Coinkite bereits im Mai 2025, also mehr als ein Jahr vor Beginn der Diebstähle, vor der Sicherheitslücke gewarnt habe.

Kläger fordern Schadenersatz, während Coinkite unter die Lupe genommen wird

Der Hersteller von Krypto-Wallets, Coinkite, gab die Sicherheitslücke am 30. Juli öffentlich bekannt und veröffentlichte am folgenden Tag eine korrigierende Firmware. Die Installation der aktualisierten Software allein reichte jedoch nicht aus, um zuvor generierte Wiederherstellungsphrasen zu schützen. Die Kunden mussten zudem neue Phrasen erstellen und ihre Bitcoins übertragen. In der Klage wird argumentiert, dass Coinkite es versäumt habe, die betroffenen Kunden direkt zu benachrichtigen, obwohl das Unternehmen über deren Kontaktdaten verfügte.

Zudem werden die vertraglichen Haftungsbeschränkungen des Unternehmens angefochten, wobei geltend gemacht wird, dass Verbraucherschutzgesetze Vorrang vor Bestimmungen haben, die Klagen und Entschädigungen einschränken. Die vorgeschlagene Sammelklägergruppe umfasst Käufer der Geräte Coldcard Mk2, Mk3, Mk4, Mk5 und Q für den privaten Gebrauch. Die Kläger fordern Schadenersatz, Strafschadenersatz und weitere Rechtsbehelfe.

Der Fall befindet sich weiterhin im Stadium einer geplanten Sammelklage, und die darin enthaltenen Vorwürfe wurden vor Gericht noch nicht bestätigt. Es wurde noch kein Schadenersatz zugesprochen. Für betroffene Kunden stellt sich vor allem die Frage, ob ein Unternehmen, das Schutz vor Bitcoin-Diebstahl verkauft, finanziell haftbar gemacht werden kann, wenn seine eigene Sicherheitssoftware angeblich die Tür dafür öffnet.

Bitcoin.com News wandte sich an Coinkite, um eine Stellungnahme zu der Klage und den darin erhobenen Vorwürfen einzuholen. Das Unternehmen hatte bis zum Zeitpunkt der Veröffentlichung noch nicht geantwortet, doch jede später eingehende Stellungnahme wird diesem Bericht hinzugefügt.