Coldcard 制造商 Coinkite 因固件随机数漏洞在加拿大面临集体诉讼
相关推荐
Coldcard 制造商 Coinkite:AI 代码审查未能发现安全漏洞,警示比特币硬件和软件行业
Foresight News 消息,Coldcard 制造商 Coinkite 发文表示,黑客发现的漏洞「对所有开发比特币硬件和软件的公司都是一个警示,而不仅仅是对我们公司」。Coinkite 表示,「我们对关键代码库进行了人工智能辅助审查,包括在漏洞利用发生前几周。但审查并未发现此漏洞。事件发生后,我们还使用包括 Kimi K3、Claude Fable 和 Codex 5.6 在内的前沿模型对代码进行了测试。这些模型均未发现该漏洞。」 Coinkite 提醒,「如果您的团队依赖 AI 对安全关键代码进行审查,我们建议您专门针对构建和子模块边界进行测试。我们认为许多比特币项目,包括那些依赖开源代码的项目,都需要立即进行审查。」Coinkite 表示,该漏洞似乎存在于固件中两个独立软件组件交互的部分,而不是存在于大多数审查对象所关注的父代码或加密逻辑中。
此前存在漏洞的助记词仍不安全,Coinkite发布Coldcard固件更新
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示,Coinkite 发布 Coldcard 新固件更新,以修复助记词安全问题。此前存在漏洞的助记词仍不安全,应予以更换。
涉及超1800枚BTC被盗,Coinkite CTO被指曾提前一年忽视RNG代码警告
Odaily星球日报讯 Bitcoin News 在 X 平台发文表示,新证据显示,编写 LibNgU 代码的匿名 switck 账号可能实际为 Coinkite 联合创始人兼 CTO Peter Gray,该代码处于 COLDCARD 熵故障事件核心。 研究人员称,Gray 的 GPG 密钥签署了数十次 switck 提交,另有其他标识符似乎将两个身份关联起来。 比特币开发者 James O’Beirne 表示,他曾于 2025 年 5 月警告 Coinkite,LibNgU 的 RNG 实现看起来可疑,并建议移除该实现,但他称对方回应称如存在问题应已被发现。 截图还显示,早在 2021 年 4 月,已有用户对 LibNgU 重写提出质疑。 如果这些发现准确,则意味着引入该代码的工程师后来与超 1800 枚 BTC 被盗事件相关,并且在漏洞公开披露一年多前已收到关于 RNG 实现的直接警告。
FTX 等破产案追偿机构 117 Partners 就 Coldcard 事件提出两条追偿路径
Foresight News 消息,曾参与 FTX、Mt. Gox、Celsius 等多起加密货币破产案索赔业务的机构 117 Partners 创始人 Thomas Braziel 就 Coldcard 制造商 Coinkite 安全事件的后续处理发文,披露正在探索两条并行的追偿路径,以争取受害者利益最大化。 一为在加拿大对 Coinkite 提起产品责任诉讼,法律依据在于公司不应销售存在缺陷、导致客户遭受重大损失的安全产品。若相关事实成立,预计相关集体诉讼将采用胜诉分成模式(约 33%),受害者无需预付律师费,预计耗时 1 至 3 年。 另一为针对黑客的资产追回策略,评估在美国申请临时限制令(TRO)、识别相关钱包及中间账户、在适当情形下获取判决,并向可能持有或经手被盗资产的第三方追偿;该路径可能需要诉讼资金支持,但推进速度预计更快。 Braziel 表示,目前尚无法保证能够实现追偿,相关策略仍在与更多律师团队沟通中演进。
Coldcard漏洞致用户损失超8800万美元,Coinkite或面临集体诉讼
Odaily星球日报讯 硬件钱包 Coldcard 背后公司 Coinkite 或面临用户法律行动,相关用户因部分型号助记词生成器漏洞合计损失超 1300 枚 BTC,价值超过 8800 万美元。 117 Partners 创始人兼管理合伙人 Thomas Braziel 正在研究针对 Coinkite 的产品责任索赔及集体诉讼,并协调收集国际受害者信息。巴西比特币支持者 Felipe Ojeda 已提交警方报告,并将在巴西对该公司提起投诉。 ATH21 CEO Cris Carrascosa 表示,Coinkite 对其产品用户资金不承担监管责任,相关诉讼需证明 Coldcard 可预见此次攻击。Blend 机构业务发展负责人 Ana Ojeda 表示,受害者没有自动追回全部资金的权利,但可就责任问题展开调查。
Coldcard:已通过商店和邮件系统向所有可触达用户发送安全公告邮件
Foresight News 消息,Coldcard 硬件钱包制造商 Coinkite 发推表示,其已通过其商店和邮件订阅系统向所有可触达的用户地址发送了安全公告邮件,邮件自上周五起分批发出。若用户收到该邮件,可确认其确实来自 Coinkite 官方。Coinkite 同时提醒,用户应以官网博客发布的最新时间戳公告为准,不要轻信截图、转发内容、汇总信息或不明来源的消息,固件仅可从 coldcard.com/downloads 下载;Coinkite 永远不会索要用户的 PIN 码、助记词、BIP-39 密码短语,也不会要求用户为一笔未经核实的 PSBT 交易签名。