Usuários da Coldcard processam fundadores da Coinkite por ignorar alerta de segurança de 2025

Um cliente do Coldcard iniciou uma ação coletiva em Ontário contra o fabricante de carteiras de hardware Coinkite Inc. e seus cofundadores.

A alegação é de que os cofundadores da Coinkite sabiam que havia um problema com seu sistema de geração de sementes já em maio de 2025 e não fizeram nada a respeito.

Por que o Coldcard está sendo processado?

Amir Reza Naderi apresentou uma declaração de reclamação no Superior Court of Justice de Ontário. A Coinkite Inc., Rodolfo Novak e Peter D. Gray são citados como réus na ação judicial. O processo, CV-26-00018158, foi emitido eletronicamente em 11 de setembro de 2026. Nele, Novak e Gray são descritos como cofundadores, diretores ou executivos que participaram da gestão da Coinkite e de seus produtos Coldcard.

Naderi afirma que perdeu 1,22940052 BTC, cerca de US$ 79.800, em 6 de agosto e acusa os réus de estarem cientes da vulnerabilidade em seu sistema desde maio de 2025, mas de não terem alertado os clientes. Ele pede ao tribunal que declare que a Coinkite violou a Lei de Proteção ao Consumidor de Ontário.

Naderi deseja que o tribunal aprove o caso como uma ação coletiva. Se for bem-sucedido, ele está pedindo tanto indenizações compensatórias quanto punitivas, além de um fundo judicial para distribuir qualquer valor concedido.

O Coldcard é uma carteira de hardware fabricada no Canadá. Sua função é gerar uma frase de recuperação, a série de palavras que dá acesso ao bitcoin de um usuário, e foi projetada para fazer isso com um chip especial construído especificamente para criar números aleatórios. Em março de 2021, uma atualização de firmware transferiu silenciosamente essa tarefa do hardware para o software.

As configurações do Coldcard tinham o gerador de números aleatórios integrado do chip desativado, já que a Coinkite usava o seu próprio. Uma ferramenta de backup chamada Yasmarang, que depende do número de série do chip e de um cronômetro para gerar seus números, foi usada para criar cada novo seed (semente), e algumas carteiras Coldcard acabaram tendo frases de recuperação muito mais fáceis de adivinhar do que deveriam ser.

Havia relatos de apenas cerca de 40 bits de aleatoriedade real no Mk2 e Mk3, muito abaixo dos 128 bits que o padrão BIP-39 assume.

Quanto foi roubado dos usuários do Coldcard?

O roubo começou em 30 de julho de 2026. Um atacante supostamente roubou cerca de 594 bitcoins, aproximadamente US$ 38 milhões, de cerca de 500 carteiras em um intervalo de 25 minutos. Relatórios de agosto inicial indicaram perdas acima de US$ 88 milhões e mais de 1.300 BTC.

pedido complementar análise conjunta da WeirFoulds LLP e Edmonds Marshall McMahon, publicada na Mondaq em 7 de agosto, estimou US$ 116 milhões perdidos por mais de 5.200 vítimas. As perdas cumulativas são estimadas em mais de US$ 140 milhões.

Grande parte do bitcoin roubado foi reunida em alguns endereços que não registraram nenhuma atividade.

A Coinkite negou as alegações de que sabia sobre a vulnerabilidade em maio de 2025, escrevendo em seu documento técnico explicativo publicado em 30 de julho de 2026, afirmando estar “desconhecida do bug até hoje” e sugerindo que uma parte externa pode ter usado IA para revisar seu firmware de código aberto e encontrar a falha primeiro.

A empresa disse que sua própria revisão de código assistida por IA, feita semanas antes, havia perdido o problema.

A Coinkite lançou firmware corrigido para todos os modelos afetados, mas instou os proprietários do Coldcard a criar novas sementes e transferir seus fundos para elas.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.