یک دادخواست گروهی علیه شرکت کوین‌کایت (Coinkite) و بنیان‌گذاران آن، رودولفو نواک و پیتر دی. گری، تنظیم شده است. این شکایت ادعا می‌کند که یک نقص امنیتی در کیف پول‌های سخت‌افزاری کلدکارد (Coldcard) منجر به سرقت بیش از ۱۴۰ میلیون دلار بیت کوین از کاربران شده است.
این دادخواست در تاریخ ۱۱ سپتامبر ۲۰۲۶ در دادگاه عالی دادگستری انتاریو ثبت شد. شاکی اصلی، امیررضا نادری، ساکن لس‌آنجلس، ادعا می‌کند که یک به‌روزرسانی معیوب سیستم‌عامل (firmware) که در مارس ۲۰۲۱ منتشر شد، امنیت کیف پول‌های کلدکارد را برای بیش از پنج سال به خطر انداخته است. در این دادخواست آمده که این آسیب‌پذیری «کل هدف و عملکرد دستگاه را تضعیف کرده است».
کیف پول‌های کلدکارد برای محافظت از بیت کوین با تولید عبارات بازیابی مخفی (که معمولاً عبارت سید نامیده می‌شوند) طراحی شده‌اند. این کلمات به مالکان اجازه می‌دهند در صورت گم شدن یا آسیب دیدن دستگاه، وجوه خود را بازیابی کنند. اما طبق شکایت، نرم‌افزار به جای تولید عبارات واقعاً تصادفی، عبارات قابل پیش‌بینی تولید می‌کرده و به مهاجمان اجازه می‌داده تا کلیدهای خصوصی را بدون در اختیار داشتن فیزیکی کیف پول، بازسازی کنند.
یک خطا، هزاران کیف پول آسیب‌پذیر
گفته می‌شود مشکل از یک «خطای یکپارچه‌سازی در ساخت و اتصال» ناشی شده که باعث شده دستگاه‌های آسیب‌دیده به جای استفاده از مولد اعداد تصادفی سخت‌افزاری، از مولد نرم‌افزاری Yasmarang در میکروپایتون استفاده کنند. به زبان ساده، این دستگاه‌ها کدهای امنیتی‌ای ایجاد می‌کردند که حدس زدن آنها بسیار آسان‌تر از آن چیزی بود که به مشتریان وعده داده شده بود.
مهاجمان از ۳۰ ژوئیه ۲۰۲۶ شروع به بهره‌برداری از این ضعف کردند و طبق گزارش‌ها، تنها در ۲۵ دقیقه حدود ۵۹۴ بیت کوین به ارزش ۳۸ میلیون دلار را به سرقت بردند. سرقت‌های بعدی، مجموع خسارت تخمینی در دادخواست را به بیش از ۱۴۰ میلیون دلار رساند. نادری ادعا می‌کند که شخصاً در تاریخ ۶ آگوست، ۱.۲۲۹۴۰۰۵۲ بیت کوین به ارزش تقریبی ۷۹٬۷۶۴ دلار را از طریق تراکنش‌های غیرمجاز از دست داده است.
در این شکایت همچنین ادعا شده که جیمز اوبیرن، یک مهندس بیت کوین، در ماه مه ۲۰۲۵، یعنی بیش از یک سال قبل از شروع سرقت‌ها، در مورد این آسیب‌پذیری به کوین‌کایت هشدار داده بود.
درخواست غرامت شاکیان در بحبوحه انتقادات از کوین‌کایت
شرکت کوین‌کایت در ۳۰ ژوئیه به طور عمومی این آسیب‌پذیری را فاش کرد و روز بعد سیستم‌عامل اصلاح‌شده را منتشر نمود. با این حال، نصب نرم‌افزار به‌روزشده به‌تنهایی نمی‌توانست از عبارات بازیابی که قبلاً تولید شده بودند محافظت کند و مشتریان باید عبارات جدیدی ایجاد کرده و بیت کوین خود را به آن منتقل می‌کردند.
در دادخواست استدلال شده که کوین‌کایت با وجود در اختیار داشتن اطلاعات تماس مشتریان آسیب‌دیده، نتوانسته است مستقیماً به آنها اطلاع‌رسانی کند. این شکایت همچنین محدودیت‌های مسئولیت قراردادی شرکت را به چالش می‌کشد و ادعا می‌کند که قوانین حمایت از مصرف‌کننده بر مفادی که شکایت و غرامت را محدود می‌کنند، ارجحیت دارد.
این دادخواست گروهی پیشنهادی، خریداران دستگاه‌های Coldcard مدل‌های Mk2، Mk3، Mk4، Mk5 و Q را که برای استفاده شخصی خریداری شده‌اند، پوشش می‌دهد. شاکیان به دنبال دریافت خسارت جبرانی، خسارت تنبیهی و سایر موارد جبرانی هستند.
این پرونده همچنان یک دادخواست گروهی پیشنهادی است و ادعاهای آن در دادگاه ثابت نشده و هیچ خسارتی نیز تعیین نشده است. وب‌سایت Bitcoin.com News برای اظهارنظر در مورد این شکایت با کوین‌کایت تماس گرفته اما تا زمان انتشار این گزارش پاسخی دریافت نکرده است.
