Coinkite citata: falla Coldcard espone 140 milioni di dollari in Bitcoin

Una falla nella sicurezza di Coldcard scatena una causa da 140 milioni di dollari

Un'azione collettiva intentata l'11 settembre 2026 presso la Corte Superiore di Giustizia dell'Ontario cita come convenuti la Coinkite Inc., con sede a Toronto, e i cofondatori Rodolfo Novak e Peter D. Gray. Il ricorrente Amir Reza Naderi, residente a Los Angeles, sostiene che un aggiornamento difettoso del firmware rilasciato nel marzo 2021 abbia compromesso la sicurezza dei portafogli Coldcard per oltre cinque anni.

La causa afferma che i dispositivi presentavano una vulnerabilità che «minava l’intero scopo e la funzione del dispositivo». I portafogli Coldcard sono progettati per proteggere i bitcoin generando frasi segrete di recupero, comunemente chiamate «frasi seed». Queste parole consentono ai proprietari di recuperare i propri fondi in caso di smarrimento o danneggiamento dei dispositivi.

Tuttavia, la denuncia sostiene che il software generasse frasi prevedibili anziché frasi realmente casuali, consentendo agli hacker di ricreare le chiavi private senza possedere fisicamente i portafogli.

Un errore nel firmware, migliaia di portafogli vulnerabili

Il presunto problema ha avuto origine da un “errore di integrazione nella compilazione e nel collegamento” che ha indotto i dispositivi interessati a utilizzare il generatore software Yasmarang di Micropython anziché il generatore di numeri casuali basato su hardware previsto. In parole povere, secondo quanto riferito, i dispositivi creavano codici di sicurezza molto più facili da indovinare rispetto a quanto promesso ai clienti.

Gli hacker hanno iniziato a sfruttare la vulnerabilità il 30 luglio 2026, rubando presumibilmente circa 594 BTC per un valore di 38 milioni di dollari in soli 25 minuti. I furti successivi hanno portato le perdite stimate nella causa oltre i 140 milioni di dollari. Naderi sostiene di aver perso personalmente 1,22940052 BTC, per un valore di circa 79.764 dollari, a causa di trasferimenti non autorizzati avvenuti il 6 agosto.

La denuncia sostiene inoltre che l’ingegnere specializzato in bitcoin James O’Beirne avesse avvertito Coinkite della vulnerabilità nel maggio 2025, più di un anno prima che iniziassero i furti.

I querelanti chiedono il risarcimento dei danni mentre Coinkite è sotto esame

Il produttore di portafogli per criptovalute Coinkite ha reso pubblica la vulnerabilità il 30 luglio e ha rilasciato un firmware correttivo il giorno successivo. Tuttavia, la sola installazione del software aggiornato non era sufficiente a proteggere le frasi di recupero generate in precedenza. I clienti dovevano inoltre crearne di nuove e trasferire i propri bitcoin. La causa sostiene che Coinkite non abbia notificato direttamente i clienti interessati nonostante fosse in possesso delle loro informazioni di contatto.

Contesta inoltre le limitazioni di responsabilità contrattuale dell’azienda, sostenendo che le leggi sulla tutela dei consumatori prevalgano sulle disposizioni che limitano le azioni legali e il risarcimento. La classe proposta comprende gli acquirenti per uso personale dei dispositivi Coldcard Mk2, Mk3, Mk4, Mk5 e Q. I ricorrenti chiedono il risarcimento dei danni, danni punitivi e altri provvedimenti.

Il caso rimane una proposta di azione collettiva e le sue accuse non sono state ancora accertate in tribunale. Non è stato concesso alcun risarcimento. Per i clienti coinvolti, la questione centrale è se un’azienda che vende protezione contro il furto di bitcoin possa essere ritenuta finanziariamente responsabile quando il proprio software di sicurezza avrebbe, secondo quanto sostenuto, aperto la porta al furto.

Bitcoin.com News ha contattato Coinkite per un commento in merito alla causa e alle accuse mosse. Al momento della pubblicazione, l’azienda non aveva ancora risposto, ma qualsiasi dichiarazione ricevuta in seguito verrà aggiunta a questo articolo.