دعوى Coldcard المقترحة تقدر خسائر المستخدمين بأكثر من 140 مليون دولار
الحقائق الرئيسية
أودعت دعوى مقترحة في 11 سبتمبر 2026 أمام المحكمة العليا في أونتاريو، مطالبةً بتعويضات على خلفية خلل مزعوم في محافظ Coldcard. وتقول صحيفة الدعوى إن خسائر أفراد الفئة المقترحة تجاوزت 140 مليون دولار أمريكي، وهو مبلغ يورده المدعون ولا يمثل حكماً قضائياً بالتعويض. وتسمّي الدعوى شركة Coinkite ومؤسسيها Rodolfo Novak وPeter D. Gray مدعى عليهم. لكنها لم تُعتمد بعد كإجراء جماعي، ولم تثبت ادعاءاتها في المحكمة حتى تقرير Bitcoin.com News المنشور في 22 أكتوبر 2026. وتطلب تمثيل مشترين لأجهزة Coldcard للاستخدام الشخصي من طرازات Mk2 وMk3 وMk4 وMk5 وQ.
يرتكز ادعاء المدعين على أن بعض عبارات الاسترداد كانت قابلة للتوقع، بما أتاح، وفق روايتهم، إعادة توليد مفاتيح خاصة وسرقة الأموال. وذكرت Bitcoin.com News أن استغلال الضعف بدأ، بحسب الدعوى، في 30 يوليو 2026. وتزعم التغطية أن نحو 594 بيتكوين، قُدرت قيمتها بنحو 38 مليون دولار، سُرقت خلال 25 دقيقة في الواقعة الأولية. وتقول Coinkite إن أجهزتها لم تُخترق ولم يسيطر عليها المهاجمون عن بُعد. وأضافت الشركة أن المهاجمين استغلوا البذور الضعيفة خارج الأجهزة، بإعادة توليد المفاتيح الخاصة المرتبطة بها وسرقة الأموال. وتظل تفاصيل السرقة وآليتها جزءاً من ادعاءات الأطراف والتحقيقات، لا نتيجة قضائية محسومة.
وتشرح الدعوى أن الخلل المزعوم نشأ من خطأ في بناء البرنامج الثابت وربطه، أدى إلى استخدام بعض الأجهزة مولد Yasmarang شبه العشوائي في MicroPython بدلاً من مولد العشوائية العتادي المقصود. وقالت Coinkite إن Yasmarang لم يدخل مسار توليد البذور إلا بعد ترحيل libNgU في مارس 2021. وبحسب سجل الشركة، نتج ذلك عن خطأ تكامل في البناء والربط، لا عن تعطل مولد العتاد كي يحل محله مولد أضعف. وتُظهر هذه الروايتان موضع الخلاف في القضية: المدعون ينسبون الخسائر إلى قصور في توليد عبارات الاسترداد، فيما تشرح الشركة كيف دخل المولد البرمجي إلى مسار إنشاء البذور. ولا تحسم هذه التفسيرات مسؤولية أي طرف، إذ ما زالت الدعوى في مرحلتها المقترحة.
وتطلب الدعوى اعتمادها إجراءً جماعياً، إلى جانب تعويضات وأحكام تتعلق بممارسات حماية المستهلك والإهمال والإخلال بالعقد. وقالت Bitcoin.com News إن المدعين يطلبون تعويضات عن الأضرار، بما فيها التعويضات العقابية، إضافة إلى وسائل إنصاف أخرى. ولم تصدر المحكمة حكماً بالتعويض حتى تاريخ التقرير المنشور في 22 أكتوبر 2026. كما قالت Coinkite للمنفذ إنها لا تستطيع التعليق على التقاضي الجاري. وأفادت الشركة بأنها تتوقع نشر تقرير فني كامل خلال أيام، يتناول حادثة توليد بذور Coldcard وسببها وإجراءات المعالجة والتحقق المستقل من الإصلاح. وفي أغسطس، قالت الشركة إن سلطات إنفاذ القانون تواصل التحقيق في السرقات والعمل على تحديد المسؤولين عنها.
وعلى صعيد المعالجة، أوصت Coinkite في تحديث أغسطس مستخدمي Mk4 وMk5 وQ بالترقية إلى الإصدارين 5.6.1 و1.5.1Q على الترتيب. لكن الشركة وصفحة حالة الأمان الرسمية تنبهان إلى أن تحديث البرنامج الثابت يعالج توليد البذور الجديدة ولا يجعل بذرة قديمة متأثرة آمنة. وقالت الشركة إن على المستخدم إنشاء بذرة جديدة ونقل الأموال، فيما تؤكد صفحة الحالة أن الترقية لا تصلح بذرة متأثرة موجودة. وكانت الإصدارات القياسية الموصى بها في 1 أكتوبر 2026 هي 5.6.3 لجهازي Mk4 وMk5 و1.5.3Q لجهاز Q، مع بقاء التحذير من أن التحديث لا يصلح بذرة قديمة. كما قالت Coinkite إن سير العمل القياسي يتطلب الآن مصدراً للإنتروبيا يقدمه المستخدم لكل بذرة جديدة: 65 ضغطة مفتاح على الأقل بتوقيت غير متوقع، أو 50 رمية لنرد فعلي، أو 128 قلبة لعملة فعلية. وتنبه صفحة الحالة إلى أن أدلة التحقق المستقل المنشورة محدودة النطاق ولا تمثل تدقيقاً كاملاً لكل البرامج الثابتة.
وتختلف قيمة الخسائر التي تطالب بها الدعوى عن التقديرات الإخبارية السابقة لقيمة الأموال المسروقة. فقد أفادت Bloomberg في 5 أغسطس 2026 بأن قيمة الأموال المسروقة في الحادث قُدرت آنذاك بنحو 130 مليون دولار. أما مبلغ أكثر من 140 مليون دولار في الدعوى فيخص الخسائر التي ينسبها المدعون إلى أفراد الفئة المقترحة حتى تاريخ رفعها. ولا يمثل أي من الرقمين حكماً قضائياً، كما لم يعلن التقرير عن رد فعل في السوق. ويبقى اعتماد الدعوى كإجراء جماعي، ونتيجة التحقيقات، وتقرير Coinkite الفني المتوقع، من التطورات المنتظرة في القضية.