Coldcardハードウェアウォレットのセキュリティ欠陥と訴訟
Coldcardハードウェアウォレットの5年前のセキュリティ欠陥が、製造元のCoinkiteに訴訟をもたらしました。攻撃者は1億4000万ドル以上のビットコインを盗んだとされています。提案された集団訴訟は、デバイスが予測可能なリカバリーフレーズを生成し、顧客を盗難にさらしたと主張しています。
2026年9月11日にオンタリオ州の上級裁判所に提出された集団訴訟は、トロントに本社を置くCoinkite Inc.と共同創設者のロドルフォ・ノバクおよびピーター・D・グレイを被告として名指ししています。
訴訟の背景と主張
原告のアミール・レザ・ナデリは、2021年3月にリリースされた欠陥のあるファームウェアアップデートがColdcardウォレットのセキュリティを5年以上にわたり危険にさらしたと主張しています。訴訟は、デバイスに「デバイスの全目的と機能を損なう」脆弱性が含まれていたと述べています。
Coldcardウォレットは、秘密のリカバリーフレーズ（一般にシードフレーズと呼ばれる）を生成することでビットコインを保護するように設計されています。これらの言葉は、デバイスが失われたり損傷した場合に所有者が資金を回復することを可能にします。しかし、訴状は、ソフトウェアが本当にランダムなフレーズではなく予測可能なフレーズを生成したため、攻撃者がウォレットを物理的に所有せずにプライベートキーを再現できるようになったと主張しています。
脆弱性の詳細と影響
問題は「ビルドおよびリンク統合エラー」に起因し、影響を受けたデバイスが意図されたハードウェアベースの乱数生成器の代わりにMicropythonのYasmarangソフトウェア生成器を使用する原因となりました。平たく言えば、デバイスは顧客が約束されたよりもはるかに推測しやすいセキュリティコードを生成したと報告されています。
攻撃者は2026年7月30日にこの脆弱性を悪用し始め、わずか25分で約594 BTC（約3800万ドル）を盗んだとされています。その後の盗難により、訴訟の推定損失は1億4000万ドルを超えました。ナデリは、8月6日に不正な送金により約79,764ドル相当の1.22940052 BTCを個人的に失ったと主張しています。
Coinkiteの対応と訴訟の進展
訴状はまた、ビットコインエンジニアのジェームズ・オベアーンが2025年5月にCoinkiteにこの脆弱性について警告したと主張しており、盗難が始まる1年以上前のことです。暗号ウォレットメーカーのCoinkiteは、7月30日に脆弱性を公表し、翌日に修正ファームウェアをリリースしました。しかし、更新されたソフトウェアをインストールするだけでは、以前に生成されたリカバリーフレーズを保護することはできませんでした。顧客は新しいフレーズを作成し、ビットコインを移動する必要がありました。
訴訟は、Coinkiteが顧客の連絡先情報を持っているにもかかわらず、影響を受けた顧客に直接通知しなかったと主張しています。また、消費者保護法が訴訟や補償を制限する条項を上回ると主張し、同社の契約上の責任制限に異議を唱えています。
まとめと今後の展望
提案された集団は、Coldcard Mk2、Mk3、Mk4、Mk5、およびQデバイスの個人使用購入者を対象としています。原告は、補償的損害賠償、懲罰的損害賠償、およびその他の救済を求めています。この事件は提案された集団訴訟のままであり、その主張は裁判所で確立されていません。損害賠償はまだ授与されていません。
影響を受けた顧客にとっての中心的な質問は、ビットコインの盗難からの保護を販売する会社が、自社のセキュリティソフトウェアが疑わしくもその扉を開けてしまった場合に、財政的責任を問われることができるかどうかです。Bitcoin.com Newsは、訴訟およびその主張に関するコメントを求めてCoinkiteに連絡しました。発表時点では同社からの回答はありませんでしたが、その後に受け取った声明はこの報告に追加されます。Coldcardの背後にあるCoinkiteは、シード生成コードの脆弱性の影響を受けたハードウェアウォレットの法律的責任に直面する可能性があります。
