Coldcard用户起诉Coinkite：隐瞒硬件钱包漏洞致超1.4亿美元损失

一名加拿大Coldcard用户于2026年9月11日在安大略省高等法院对硬件钱包制造商Coinkite Inc.及其联合创始人发起集体诉讼。原告指控该公司高层早在2025年5月便已知悉其种子生成系统存在严重缺陷，却未采取任何补救措施，也未向客户披露风险。

案件核心：为何起诉Coinkite？

Amir Reza Naderi提交的起诉文件编号为CV-26-00018158，明确指出联合创始人Rodolfo Novak与Peter D. Gray作为公司高管，长期参与Coldcard产品的管理决策。原告称，他在2026年8月6日遭遇资金损失，共计1.22940052枚比特币（约合79,800美元），并认为该损失源于被告方的知情不报行为。

Naderi请求法院认定Coinkite违反了安大略省《消费者保护法》，同时申请将此案列为集体诉讼，若胜诉，将寻求补偿性赔偿与惩罚性赔偿，并设立信托基金用于分配赔款。

Coldcard漏洞根源：从硬件到软件的致命转变

Coldcard是一款由加拿大企业开发的离线比特币存储设备，其核心功能是生成恢复助记词——即用户资产的唯一访问密钥。该产品原设计采用专用随机数生成芯片以确保高安全性。

然而在2021年3月的一次固件更新中，这一关键功能被移出硬件层，转由软件实现。由于改用自研随机数算法，原本依赖芯片的强随机性被削弱。此外，一款名为Yasmarang的备份工具使用设备序列号与计时器组合生成数字，进一步降低了生成结果的不可预测性。

根据技术分析，Mk2与Mk3型号实际有效熵值仅为约40位，远低于BIP-39标准所要求的128位，意味着助记词更容易被暴力破解。

大规模盗取事件：25分钟内损失近600枚比特币

据多方报告，针对Coldcard用户的攻击始于2026年7月30日。攻击者在短短25分钟内从约500个受影响钱包中提取了约594枚比特币，价值约3,800万美元。

截至2026年8月初，累计损失金额已突破8,800万美元，涉及比特币数量超过1,300枚。由WeirFoulds LLP与Edmonds Marshall McMahon联合发布的分析报告（发布于Mondaq平台，2026年8月7日）指出，受波及用户超过5,200人，总损失达1.16亿美元。目前，整体损失总额已超过1.4亿美元。

被盗资金已被集中转入少数几个地址，此后未再发生交易活动，显示出高度集中的洗钱特征。

Coinkite回应：否认知情，归因于外部AI审查

Coinkite在2026年7月30日发布的技术背景说明中表示，直到当天才“首次发现”该漏洞，并声称可能是外部人员利用人工智能对开源固件进行深度扫描后识别出问题。公司还强调，其自身此前几周开展的AI辅助代码审查也未能捕捉到此缺陷。

尽管已为Mk2和Mk3型号推出修复版固件，但公司仍强烈建议所有用户重新生成新的种子，并将资产转移至新地址，以规避潜在风险。