Geschädigter reicht Sammelklage gegen Coldcard-Hersteller Coinkite ein

Ein Coldcard-Besitzer aus Los Angeles hat in Toronto eine Sammelklage gegen den Hersteller Coinkite und dessen Gründer eingereicht, weil die Hardware-Wallet jahrelang berechenbare Seeds erzeugt haben soll. Die Klage beziffert die Verluste der Nutzer auf mehr als 140 Millionen US-Dollar; zugelassen ist sie noch nicht, bewiesen sind die Vorwürfe nicht.

Eingereicht wurde die Klage am 11. September beim Ontario Superior Court of Justice, bekannt wurde sie erst am Donnerstag durch einen Bericht von Bitcoin.com. Kläger ist Amir Reza Naderi, beklagt sind Coinkite Inc. sowie die Mitgründer Rodolfo Novak und Peter D. Gray persönlich. Naderi will die Klage stellvertretend für alle führen, die ein Gerät der Modelle Mk2, Mk3, Mk4, Mk5 oder Q für den privaten Gebrauch direkt bei Coinkite gekauft haben.

Gefordert werden Schadensersatz, ein Strafzuschlag und ein Treuhandfonds, über den ein Urteil an die Betroffenen verteilt würde.

Laut Klage stammt der Fehler aus einem Firmware-Update vom März 2021

Die Klageschrift schildert den Ablauf so: Mit einem Update im März 2021 habe die Firmware Seeds nicht mehr über den Hardware-Zufallsgenerator des Geräts erzeugt, sondern über Yasmarang, einen nicht für Kryptografie gedachten Zahlengenerator aus MicroPython. Die Wiederherstellungsphrasen seien dadurch für Dritte nachrechenbar geworden. Die Kläger schreiben, der Fehler habe “undermined the entire purpose and function of the device” (den ganzen Zweck und die Funktion des Geräts untergraben).

Im Mai 2025 soll der Bitcoin-Entwickler James O’Beirne Coinkite und die beiden Gründer nach der Klage in einem Bericht auf den Mangel hingewiesen haben.

Am 30. Juli 2026 begannen die Abflüsse. In einer ersten Welle von rund 25 Minuten wurden nach der Klageschrift etwa 594 Bitcoin im damaligen Wert von rund 38 Millionen Dollar abgezogen, weitere Wellen folgten in den Tagen danach. Noch am selben Tag warnte Coinkite öffentlich, zunächst nur für Mk2 und Mk3, am 31. Juli folgte die berichtigte Firmware, am 1. August die Ausweitung auf Mk4, Mk5 und Q.

Naderi selbst verlor am 6. August 1,22940052 Bitcoin von sieben Adressen, damals rund 79.764 Dollar; die Abgänge stehen nach der Klage in den Blöcken 961.318 und 961.320. Sein Mk3 hatte er im März 2022 über die Website von Coinkite gekauft.

Die Kläger greifen den Haftungsausschluss in den Verkaufsbedingungen an

Den Kern der Klage bilden zwei Vorwürfe neben dem Fehler selbst. Coinkite habe die Kontaktdaten seiner Käufer gekannt und sie trotzdem nicht direkt angeschrieben, sondern nur öffentlich gewarnt. Und die berichtigte Firmware schütze alte Seeds nicht; wer sie installiert, aber keinen neuen Seed erzeugt und umzieht, bleibe angreifbar. Dass ein Update allein nicht reicht, hatte Coinkite selbst so beschrieben, als wir über die Whitehats berichteten, die 52 Bitcoin vor den Angreifern sicherten.

Juristisch zielt die Klage auf die Verkaufsbedingungen. Sie schließen Gewährleistung weitgehend aus, verlangen Schiedsverfahren und untersagen Sammelklagen. Nach dem Verbraucherschutzgesetz von Ontario seien solche Klauseln unwirksam, argumentieren die Kläger.

Eine Stellungnahme von Coinkite gibt es bislang nicht; auf die Anfrage von Bitcoin.com hat das Unternehmen bis zur Veröffentlichung nicht geantwortet.

Für Käufer in Deutschland, Österreich und der Schweiz kommt es auf die Gruppendefinition an. Sie nennt kein Land, sondern jeden privaten Käufer, der direkt bei Coinkite bestellt hat; wer seine Coldcard bei einem Händler gekauft hat, fällt nach dem Wortlaut nicht darunter. Ob das Gericht die Klage überhaupt als Sammelklage zulässt, ist offen. Unabhängig davon gilt für Besitzer eines betroffenen Geräts, was auch beim Vergleich günstiger Hardware-Wallets zählt: Ein Seed ist so sicher wie der Zufall, aus dem er entstand.

Die vollständige Klageschrift steht in der Sammelklagen-Datenbank der kanadischen Anwaltsvereinigung; einen Termin für die Anhörung zur Zulassung nennt sie nicht.