Coldcardウォレットの欠陥で1億4000万ドル相当のビットコインが流出、Coinkiteが提訴される

Coldcardのセキュリティ欠陥が1億4000万ドルの訴訟を招く

2026年9月11日、オンタリオ州高等裁判所に提訴された集団訴訟では、トロントに拠点を置くCoinkite Inc.および共同創業者であるロドルフォ・ノヴァク氏とピーター・D・グレイ氏が被告として名指しされています。 原告でロサンゼルス在住のアミール・レザ・ナデリ氏は、2021年3月にリリースされた欠陥のあるファームウェアアップデートにより、5年以上にわたりColdcardウォレットのセキュリティが損なわれたと主張しています。

訴状によると、当該デバイスには「デバイスの目的と機能そのものを損なう」脆弱性が存在していたという。Coldcardウォレットは、一般にシードフレーズと呼ばれる秘密の復元フレーズを生成することで、ビットコインを保護するように設計されている。これらのフレーズにより、所有者はデバイスを紛失または破損した場合でも資金を回復することができる。

しかし訴状によると、このソフトウェアは真にランダムなフレーズではなく予測可能なフレーズを生成していたため、攻撃者はウォレットを物理的に所有していなくても秘密鍵を再現できていたという。

1つのファームウェアのエラーが、数千のウォレットを脆弱に

問題の原因は「ビルドおよびリンクの統合エラー」で、影響を受けたデバイスは本来使用されるはずだったハードウェアベースの乱数生成器の代わりにMicropythonのYasmarangソフトウェア生成器を使用していたという。要するに、これらのデバイスは顧客に約束されていたよりもはるかに推測されやすいセキュリティコードを生成していたと報告されている。

攻撃者は2026年7月30日にこの脆弱性を悪用し始め、わずか25分で約594 BTC（3,800万ドル相当）を盗んだとされる。 その後の盗難により、訴訟で推定される損失額は1億4,000万ドルを超えた。ナデリ氏は、8月6日に発生した不正送金により、自身で1.22940052 BTC（約79,764ドル相当）を失ったと主張している。

訴状ではさらに、ビットコインエンジニアのジェームズ・オベイルン氏が、盗難が始まる1年以上前の2025年5月に、この脆弱性についてCoinkiteに警告していたと主張している。

Coinkiteが厳しい監視にさらされる中、原告側は損害賠償を請求

暗号資産ウォレットメーカーのコインカイトは7月30日にこの脆弱性を公表し、翌日には修正ファームウェアをリリースしました。しかし、更新されたソフトウェアをインストールするだけでは以前に生成されたリカバリーフレーズを保護できませんでした。顧客は新しいリカバリーフレーズを作成し、ビットコインを移行する必要もありました。訴訟では、コインカイトが影響を受けた顧客の連絡先情報を保有していたにもかかわらず直接通知を行わなかったと主張しています。

また、同社が契約で定めた責任制限についても異議を唱え、消費者保護法が訴訟や賠償を制限する条項に優先すると主張しています。提訴された集団訴訟の対象には、Coldcard Mk2、Mk3、Mk4、Mk5、およびQデバイスを個人利用目的で購入した消費者が含まれます。原告側は、実損賠償、懲罰的損害賠償、およびその他の救済措置を求めています。

本訴訟はいまだ提訴段階の集団訴訟であり、主張は法廷で立証されていません。現時点で損害賠償の認定はされていません。影響を受けた顧客にとっての核心的な問題は、ビットコインの盗難防止策を販売している企業が、自社のセキュリティソフトウェアが盗難のきっかけを作ったとされる場合、金銭的な責任を問われるかどうかです。

Bitcoin.com Newsは、本訴訟およびその主張に関するコメントを得るため、Coinkiteに取材を申し入れました。本記事の公開時点では同社からの回答は得られていませんが、今後声明が寄せられた場合は、本記事に追記する予定です。