Coldcard钱包漏洞致1.4亿美元比特币损失 Coinkite被诉

Coldcard安全漏洞引发1.4亿美元诉讼

2026年9月11日，安大略省高等法院受理了一起集体诉讼，将总部位于多伦多的Coinkite公司及其联合创始人罗道夫·诺瓦克（Rodolfo Novak）和彼得·D·格雷（Peter D. Gray）列为被告。 原告阿米尔·雷扎·纳德里（Amir Reza Naderi）是洛杉矶居民，他指控2021年3月发布的一个有缺陷的固件更新，导致Coldcard钱包的安全性在五年多时间里受到损害。

诉状指出，该设备存在一个漏洞，该漏洞“破坏了设备的全部用途和功能”。Coldcard钱包旨在通过生成秘密恢复短语（通常称为种子短语）来保护比特币。如果设备丢失或损坏，这些短语可让所有者取回资金。

但诉状指控该软件生成的短语具有可预测性，而非真正随机的，这使得攻击者无需实际持有钱包即可重建私钥。

一个固件错误，数千个受影响的钱包

据称，该问题源于一个“构建和链接集成错误”，导致受影响的设备使用了Micropython的Yasmarang软件生成器，而非原本应使用的基于硬件的随机数生成器。通俗来说，据报道这些设备生成的安全代码远比向客户承诺的更容易被猜中。

攻击者于2026年7月30日开始利用这一漏洞，据称仅用25分钟就盗取了约594 BTC，价值3800万美元。 此后发生的盗窃事件使该诉讼的估计损失额超过1.4亿美元。纳德里声称，他在8月6日因未经授权的转账而个人损失了1.22940052 BTC，价值约79,764美元。

诉状还指控，比特币工程师詹姆斯·奥贝恩（James O'Beirne）早在2025年5月——即盗窃案发生前一年多——就曾向Coinkite警告过该漏洞。

Coinkite 面临审查 原告索赔

加密货币钱包制造商 Coinkite 于 7 月 30 日公开披露了该漏洞，并于次日发布了修复固件。然而，仅安装更新后的软件并不能保护先前生成的恢复短语。客户还需要创建新的恢复短语并转移其比特币。诉讼称，尽管 Coinkite 掌握受影响客户的联系方式，却未能直接通知他们。

诉讼还对该公司合同中的责任限制条款提出质疑，声称消费者保护法优先于限制诉讼和赔偿的条款。拟议的集体诉讼范围涵盖购买Coldcard Mk2、Mk3、Mk4、Mk5和Q设备用于个人用途的用户。原告要求获得补偿性赔偿、惩罚性赔偿及其他救济。

该案目前仍处于拟议集体诉讼阶段，其指控内容尚未在法庭上得到证实。目前尚未裁定任何损害赔偿。对于受影响的客户而言，核心问题在于：一家声称能防范比特币盗窃的公司，当其自身的安全软件据称反而为盗窃敞开了大门时，是否应承担经济责任。

Bitcoin.com News 就该诉讼及其指控向 Coinkite 寻求置评。截至发稿时，该公司尚未作出回应，但此后收到的任何声明都将补充到本报道中。