Coldcard, class action contro Coinkite a Toronto: secondo l’atto, l’azienda era stata avvisata nel 2025, prima dei furti di bitcoin

Un acquirente di Coldcard ha depositato una class action proposta contro Coinkite, l’azienda di Toronto che produce blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il portafoglio hardware per bitcoin, e contro i suoi due cofondatori, Rodolfo Novak e Peter D. Gray. L’atto introduttivo, emesso l’11 settembre 2026 presso la Ontario Superior Court of Justice con il numero di ruolo CV-26-00018158, è emerso sulla stampa il 22 ottobre, quando Bitcoin.com News e Cryptopolitan lo hanno riportato. Secondo l’atto, Coinkite sarebbe stata avvisata di difetti nei suoi dispositivi nel maggio 2025, oltre un anno prima che dei ladri iniziassero a svuotare i wallet Coldcard, il 30 luglio 2026.

Nulla di quanto sostenuto nell’atto è stato provato. Si tratta della versione dei fatti dell’attore, la classe non è stata certificata e non abbiamo visto alcuna comparsa di risposta. Coinkite e i suoi fondatori sono da ritenere in buona fede finché un tribunale non deciderà altrimenti. Non abbiamo trovato alcuna replica di Coinkite alla causa; Bitcoin.com ha scritto che l’azienda non aveva risposto al momento della pubblicazione.

I furti, invece, non sono in discussione. Un errore di compilazione aveva fatto sì che alcuni modelli Coldcard generassero le parole di recupero segrete con un debole generatore software di numeri casuali, e gli aggressori hanno ricostruito le chiavi private a partire da quei seed indovinabili. Quanto sia stato sottratto è meno chiaro. Le cifre pubblicate sono salite da oltre 88 milioni di dollari a due giorni dall’inizio a circa 112 milioni confermati da Galaxy Research a metà agosto, mentre l’atto indica perdite della classe superiori a 140 milioni di dollari.

Che cosa sostiene la class action contro Coinkite per il difetto dei seed di Coldcard

L’attore principale è Amir Reza Naderi, residente a Los Angeles che, secondo l’atto introduttivo, ha acquistato un Coldcard Mk3 dal sito di Coinkite intorno al 2 marzo 2022. L’atto sostiene che il 6 agosto 2026 sono stati spostati a sua insaputa 1,22940052 BTC distribuiti su sette indirizzi del suo wallet, cioè tutti i bitcoin custoditi dal dispositivo, per un valore di circa 79.764 dollari quel giorno. I suoi avvocati sono Foreman & Company, studio di London, in Ontario.

I convenuti sono Coinkite Inc., con sede in Yonge Street a Toronto, e i cofondatori Novak e Gray. L’atto descrive i due uomini come gli unici amministratori e dirigenti della società, e Gray come direttore tecnico (CTO).

La classe proposta è ampia. Comprende «tutte le persone che, per scopi personali, familiari o domestici, hanno acquistato da Coinkite un COLDCARD modello Mk2, Mk3, Mk4, Mk5 o Q». Nulla in questa formulazione la limita ai canadesi, il che conta per gli acquirenti negli Stati Uniti e in Europa, compresi quelli italiani, ma essi diventerebbero membri della classe solo se un giudice la certificasse. Non abbiamo trovato dichiarazioni di Consob, di altre autorità italiane o europee sul caso.

L’attore chiede al tribunale di certificare la causa e di dichiarare che Coinkite ha violato il Consumer Protection Act, 2002 dell’Ontario e le condizioni implicite del Sale of Goods Act. Chiede anche una dichiarazione secondo cui le Condizioni di vendita di Coinkite, che limitano la responsabilità dell’azienda e rinviano alcune controversie all’arbitrato, violano la legge sui consumatori. A ciò si aggiungono il risarcimento per negligenza e per inadempimento contrattuale e di garanzia, la risoluzione degli acquisti o il risarcimento in loro vece, danni punitivi, un litigation trust, un programma di notifica ai membri della classe, interessi e spese. Non è indicata alcuna somma per singolo acquirente.

Le allegazioni di fatto partono dalla versione dell’azienda sul bug, per poi spingersi oltre. L’atto sostiene che un aggiornamento del firmware intorno a marzo 2021 abbia fatto usare ai dispositivi il generatore software Yasmarang al posto di quello hardware. Sostiene che i furti siano iniziati il 30 luglio 2026 circa e che una prima serie di trasferimenti abbia sottratto circa 594 BTC, cioè circa 38 milioni di dollari, in circa 25 minuti. Aggiunge che Coinkite disponeva dei recapiti dei suoi acquirenti ma non ha cercato di contattarli direttamente, affidandosi ad avvisi pubblici.

L’avvertimento di maggio 2025: la versione dell’atto contro quella di Coinkite

L’accusa più grave si trova nei paragrafi 73, 77 e 111 dell’atto. Vi si legge che nel maggio 2025 James O’Beirne, descritto come ingegnere bitcoin, avrebbe comunicato a Coinkite e ai due fondatori di aver «identificato il Difetto e altre falle nell’architettura di sicurezza del prodotto», inviando loro una relazione. Gray, in quanto direttore tecnico, l’avrebbe ricevuta o avrebbe partecipato alla sua gestione. Il paragrafo 29 si spinge oltre e sostiene che entrambi i fondatori fossero a conoscenza diretta e personale del difetto almeno dal maggio 2025.

Sono allegazioni. «Il Difetto» è l’etichetta che l’atto stesso dà alla falla nella generazione dei seed, quindi l’attore afferma che la relazione riguardasse questo bug. Ma la relazione non è stata pubblicata, nelle fonti che abbiamo letto nulla mostra che cosa dicesse e non abbiamo trovato alcuna dichiarazione pubblica di O’Beirne. L’articolo di Cryptopolitan sulla causa non lo nomina; quello di Bitcoin.com sì.

La versione di Coinkite è diversa. Nel suo approfondimento tecnico, pubblicato il 30 luglio, l’azienda ha scritto: «Non eravamo a conoscenza del bug fino a oggi». Ha detto di dover «presumere che qualcuno abbia usato l’IA per esaminare le versioni precedenti del nostro firmware» e abbia trovato il problema. Coinkite ha aggiunto che una recente revisione del proprio codice assistita dall’IA «non ha trovato questo bug né nulla di grave».

Le due versioni non possono essere entrambe del tutto esatte. Se Coinkite sapesse, o dovesse sapere, è ciò che un tribunale dovrebbe valutare se la causa andrà avanti.

Il difetto dei seed: un errore di compilazione ha reso indovinabili i numeri casuali

Il compito di un portafoglio hardware è creare una seed phrase che nessuno possa indovinare, usando un vero generatore di numeri casuali integrato nel chip. Secondo l’avviso di sicurezza di Coinkite e il suo approfondimento tecnico, i Coldcard interessati si sono invece affidati a Yasmarang, il generatore pseudocasuale generico fornito con MicroPython, il linguaggio su cui gira il firmware.

L’approfondimento spiega come l’errore sia passato inosservato. Il ripiego su Yasmarang era stato aggiunto a MicroPython a monte nel maggio 2018. Un controllo doveva bloccare la compilazione se il generatore hardware mancava, ma usava #ifndef, che verifica se un’impostazione sia definita, non se sia attiva. L’impostazione era definita, quindi il controllo è passato. Il ripiego è arrivato nella generazione dei seed Coldcard a marzo 2021, quando il firmware è passato alla libreria libNgU di Coinkite.

Il risultato è stato un insieme di seed possibili molto più piccolo. Un seed dovrebbe portare almeno 128 bit di casualità. La stima preliminare di Coinkite indica uno spazio di ricerca effettivo di circa 40 bit su Mk2 e Mk3 e di circa 72 bit su Mk4, Mk5 e Q, dove l’entropia aggiuntiva dei secure element aiuta. Quaranta bit sono circa 1,1 mila miliardi di possibilità, un numero che i furti dimostrano essere alla portata di un aggressore.

Per questo Coinkite insiste che i suoi dispositivi non sono stati violati. «I dispositivi COLDCARD in sé non sono stati hackerati, né raggiunti da remoto, né presi in controllo», si legge nell’avviso. Gli aggressori non hanno mai toccato i wallet. Hanno lavorato offline, generando seed candidati, derivando gli indirizzi corrispondenti e svuotando quelli che contenevano monete.

Quali modelli e firmware di Coldcard sono interessati

L’avviso elenca i seed interessati come segue. Il firmware Edge e quello standard sono rami separati, quindi una vecchia versione Edge 6.x non è corretta solo perché il suo numero è più alto. TAPSIGNER, OPENDIME e SATSCARD usano codice diverso e non sono interessati.

• Seed Mk2 e Mk3 generati con il firmware dalla 4.0.1 alla 4.1.9, il caso più grave. Corretto dalla 4.2.0 in poi.
• Seed standard Mk4 e Mk5 generati prima della 5.6.0 e seed Edge generati prima della 6.6.0X. Corretti dalla 5.6.0 e dalla 6.6.0X in poi.
• Seed standard Q generati prima della 1.5.0Q e seed Q Edge prima della 6.6.0QX. Corretti dalla 1.5.0Q e dalla 6.6.0QX in poi.

Secondo l’atto, la prima comunicazione di Coinkite del 30 luglio nominava solo Mk2 e Mk3, il firmware correttivo è arrivato il 31 luglio (Bitcoin.com indica la stessa data) e intorno al 1° agosto l’avviso è stato esteso a Mk4, Mk5 e Q. CoinDesk ha riferito il 21 agosto che Coinkite ha poi distribuito il firmware 5.6.1 per Mk4 e Mk5 e il 1.5.1Q per il Q. Queste versioni sostituiscono Yasmarang con un generatore basato su SHA-256, richiedono casualità fornita a mano per i nuovi seed (65 pressioni di tasti a intervalli imprevedibili, 50 lanci di un dado o 128 lanci di moneta) e ricontrollano una transazione subito prima di firmarla.

Quanti bitcoin sono stati rubati dai wallet Coldcard

Non esiste una cifra ufficiale sulla perdita totale e le pagine di Coinkite non ne danno alcuna. I numeri qui sotto provengono da fonti diverse, in date diverse, e alcuni riguardano solo la prima ondata. I valori in dollari dipendono dal prezzo del bitcoin usato da ciascuna fonte.

I due numeri sulla prima ondata non coincidono. I 594 BTC dell’atto sono poco più della metà dei 1.082,65 BTC che Galaxy Research ha tracciato on-chain in 41 minuti nelle prime ore del 30 luglio. Nessuna delle due fonti spiega la differenza e non siamo riusciti a chiarirla.

Il conteggio successivo di Galaxy, riportato da Decrypt il 14 agosto, ha individuato tre ondate confermate e 41 tracce minori, nessuna dopo il 6 agosto, con oltre 5.200 indirizzi svuotati. Galaxy ha detto che circa 1.531 BTC erano ancora fermi in indirizzi controllati dagli aggressori.

Alcuni titoli hanno scritto che il difetto avrebbe «esposto» i fondi. È riduttivo: le monete sono state prelevate da wallet reali. I seed generati con il firmware interessato che contengono ancora monete restano a rischio.

La caccia al ladro e nessun arresto finora

CoinDesk ha riferito il 21 agosto che, secondo Coinkite, le forze dell’ordine stavano ancora indagando e l’azienda restava disponibile a collaborare. Non abbiamo trovato notizie di arresti né di sequestri.

Bitcoin Magazine ha riferito il 18 agosto che Clay Garrett, responsabile di ingegneria di Block, la società di pagamenti, ha scritto il 31 luglio che l’autore della prima ondata aveva usato un account a pagamento presso un fornitore di servizi blockchain. Garrett ha detto di non aver visto prove che il fornitore abbia partecipato consapevolmente. È una pista degli analisti di Block, non un’identificazione, e nessuna autorità ha indicato un sospettato. Anche Block e il ricercatore LLFOURN hanno pubblicato analisi tecniche del difetto, che Coinkite collega dal suo approfondimento.

Che cosa devono fare ora i possessori di Coldcard, secondo Coinkite

Questa sezione riassume l’avviso ufficiale di Coinkite. I fondi sono a rischio solo se sono vere entrambe le condizioni: il seed è stato creato con il firmware interessato senza almeno 50 lanci di dado equi, indipendenti e privati, e il wallet non è protetto da una passphrase BIP-39 robusta e unica. La passphrase non è il PIN del Coldcard.

I dadi cambiano il quadro. Secondo l’avviso, da 50 a 98 lanci forniscono da soli almeno 128 bit di casualità e 99 o più ne forniscono circa 256. Con meno di 50 lanci, o se non ricordate, seguite i passaggi di migrazione.

Il solo aggiornamento del firmware non basta. «L’aggiornamento del firmware non modifica né ripara un seed esistente», scrive Coinkite. L’avviso indica questi passaggi, in quest’ordine, che seguono la logica della nostra guida alla configurazione di un hardware wallet:

1. Verificare che sia installata la versione corretta del firmware.
2. Generare un nuovo seed sul Coldcard aggiornato.
3. Annotare e verificare il suo backup prima di depositare qualsiasi fondo.
4. Verificare sullo schermo del Coldcard un nuovo indirizzo di ricezione.
5. Inviare una piccola transazione di prova e confermare che il nuovo wallet funzioni.
6. Solo allora spostare i fondi rimanenti.
7. Conservare il vecchio backup finché la migrazione non è completata e confermata.

Coinkite ha detto ai possessori di scaricare il firmware solo dalla sua pagina ufficiale dei download, ha riferito CoinDesk. Per chi ha come unico dispositivo un Mk2 o un Mk3 c’è una procedura a parte: controllare il vecchio backup, aggiornare alla 4.2.0, creare e verificare un nuovo seed sul dispositivo svuotato, poi ripristinare il vecchio seed il tempo di inviare un piccolo pagamento di prova e, una volta arrivato, il resto. A chi usa una passphrase non viene detto che è al sicuro per sempre: «Anche con una passphrase robusta, migrate a un seed appena generato non appena praticabile».

L’avviso mette in guardia anche contro il panico. «Una migrazione affrettata del wallet può creare un rischio più immediato del problema che si cerca di risolvere», si legge.

Una nota editoriale nostra, non di Coinkite: non digitate mai una seed phrase in un sito web e ignorate i messaggi che offrono di recuperare monete rubate. La nostra guida alla sicurezza della seed phrase spiega come conservare il nuovo backup.

La scarsa casualità ha già svuotato dei wallet

Coldcard non è il primo caso di chiavi create con troppa poca casualità. Nel settembre 2022 una debolezza di Profanity, uno strumento diffuso per generare indirizzi Ethereum «vanity», è stata all’origine della perdita di 162,2 milioni di dollari annunciata il 20 settembre dal market maker Wintermute, secondo un’analisi della società di custodia Safeheron.

Tra giugno e luglio 2023 è toccato a Milk Sad. Il comando bx seed di Libbitcoin Explorer, versioni dalla 3.0.0 alla 3.6.0, usava un generatore Mersenne Twister che limitava a 32 bit la sua entropia interna. La falla, registrata come CVE-2023-39910, è stata sfruttata in quei due mesi, secondo il National Vulnerability Database statunitense.

Questo mese Qubic ha riavviato la sua catena dopo che degli aggressori avevano svuotato wallet con seed deboli; ne abbiamo scritto in la vicenda dei seed deboli di Qubic e la procedura di rimborso. Il meccanismo è lo stesso ogni volta. Quando la casualità è prevedibile, PIN e chip sicuri smettono di contare, perché l’aggressore ricalcola le chiavi da zero.

Ciò che distingue il caso Coldcard è il dispositivo. I portafogli hardware sono venduti come la forma più sicura di self-custody e pochi acquirenti verificano come venga creato il seed. All’inizio di questo mese il timore per Ledger era la manomissione fisica, come nel nostro servizio sui dispositivi Ledger manomessi. Qui i wallet erano intatti e la falla stava nel codice.

Che cosa succede ora nel caso di Toronto

In base all’avviso allegato all’atto, un convenuto notificato in Ontario ha 20 giorni per depositare la comparsa di risposta, 40 giorni se notificato altrove in Canada o negli Stati Uniti, e può guadagnare altri 10 giorni depositando un avviso di intenzione di difendersi. Non abbiamo visto alcuna difesa né una data per l’istanza di certificazione. La certificazione è il primo vero ostacolo: un giudice deve riconoscere che la causa si presta a una class action prima che qualcuno oltre all’attore principale sia vincolato dall’esito.

Le Condizioni di vendita saranno un primo terreno di scontro. L’atto sostiene che limitino la responsabilità di Coinkite e impongano l’arbitrato per certe controversie, e chiede al tribunale di dichiarare quelle clausole invalide secondo il diritto dei consumatori dell’Ontario. Se reggessero, gli acquirenti potrebbero essere spinti verso un arbitrato individuale invece che verso una causa collettiva.

Per gli acquirenti fuori dal Canada, l’indirizzo californiano dell’attore principale mostra che la causa non è pensata solo per i canadesi. Se gli acquirenti stranieri, italiani compresi, finiranno nella classe dipende dalla certificazione. Nel frattempo, le vittime in qualunque paese possono conservare la documentazione delle transazioni di furto e segnalarle alle forze dell’ordine locali, in Italia ad esempio alla Polizia Postale; è un nostro suggerimento, non l’indicazione di un’autorità, e il trattamento fiscale delle perdite da furto cambia da paese a paese.

Il prossimo passo pubblico sarà la risposta di Coinkite, in tribunale o con un comunicato. Fino ad allora, l’avvertimento di maggio 2025 resta un’allegazione dell’attore, e la posizione pubblicata da Coinkite è che ha scoperto il bug il 30 luglio 2026.