Sebuah kabar singkat menyebut Coinkite serta para pendirinya, Rodolfo Novak dan Peter D. Gray, menghadapi usulan gugatan kelompok di Ontario atas dugaan kelemahan firmware Coldcard yang berkaitan dengan pembuatan seed. Kabar tersebut menyatakan gugatan meminta sertifikasi kelompok dan ganti rugi, sementara kutipan sumber selanjutnya yang dikaitkan dengan Coinkite dan Block menggambarkan masalah yang dilaporkan sebagai kelemahan sumber keacakan yang memengaruhi pembuatan seed pada cabang firmware Coldcard tertentu.

Cakupan dugaan dalam gugatan Ontario

Bukti yang ada saat ini hanya mendukung kesimpulan terbatas mengenai status perkara. Kabar singkat tersebut menyebut Coinkite dan para pendirinya menghadapi usulan gugatan kelompok di Ontario dengan tuduhan bahwa firmware standar Coldcard menggunakan generator angka pseudo-acak perangkat lunak yang dapat diprediksi, alih-alih generator angka acak sejati. Kondisi itu disebut membuat frasa pemulihan dapat direproduksi dan membuka kemungkinan akses tidak sah terhadap pengguna.

Dalam laporan yang sama, gugatan tersebut disebut meminta sertifikasi kelompok dan ganti rugi, serta memuat tuduhan berdasarkan Consumer Protection Act, Sale of Goods Act, kelalaian, dan pelanggaran kontrak. Namun, belum ada bukti mengenai tahapan pengadilan berikutnya: riset yang disediakan tidak menemukan berkas perkara yang dapat dibaca, entri register perkara, putusan sertifikasi, maupun jadwal sidang yang sesuai. Karena itu, isu ini dapat disebut sebagai usulan gugatan kelompok yang dilaporkan, tetapi belum dapat disebut sebagai perkara kelompok yang telah disertifikasi atau kasus cacat produk yang telah divalidasi pengadilan.

Rentang firmware Coldcard yang disebut terdampak

Kutipan sumber yang terbit belakangan lebih spesifik daripada kabar gugatan terkait cakupan produk. Cuplikan hasil pencarian yang dikaitkan dengan Coinkite menyebut masalah ini terdapat pada firmware Mk2 dan Mk3 versi 4.0.1 hingga 4.1.9. Masalah tersebut juga disebut memengaruhi seed yang dibuat pada Mk4 dan Mk5 sebelum versi standar 5.6.0 atau versi Edge 6.6.0X, serta pada Q sebelum versi standar 1.5.0Q atau versi Edge 6.6.0QX. Kutipan yang sama menyatakan dampak pada Mk4, Mk5, dan Q lebih ringan dibandingkan model lama, tetapi tetap serius.

Cuplikan hasil pencarian dari Blog Rekayasa Block menjelaskan mekanisme yang dilaporkan secara lebih teknis. Menurut cuplikan tersebut, firmware Coldcard mengandung kesalahan integrasi RNG yang menyebabkan ngu.random memakai fallback MicroPython deterministik, bukan generator angka acak perangkat keras STM32. Hal ini penting karena menempatkan masalah tersebut sebagai kelemahan dalam pembuatan seed, bukan sebagai bukti bahwa seluruh fungsi Coldcard atau seluruh kondisi perangkat telah dikompromikan.

Kutipan Coinkite juga menetapkan satu batasan penting: masalah ini disebut memengaruhi entropi yang dihasilkan perangkat dan tidak menghilangkan entropi independen yang dimasukkan menggunakan dadu saat pembuatan seed. Hal itu tidak menentukan tingkat paparan setiap dompet secara individual, tetapi mempersempit risiko yang dilaporkan pada cara seed dibuat. Namun, satu rincian masih belum pasti: kutipan proof-of-concept GitHub pihak ketiga mencantumkan versi Mk2 dan Mk3 dari 4.0.0 hingga 4.1.9, sedangkan kutipan Coinkite dimulai dari 4.0.1. Perbedaan batas versi bawah ini perlu dianggap belum terselesaikan.

Informasi yang masih diperlukan untuk memperjelas status perkara

Dokumen penentu berikutnya adalah berkas perkara pengadilan Ontario yang dapat dibaca, entri register perkara, atau halaman perkara dari firma hukum penggugat yang mencantumkan nama proses hukum tersebut. Dokumen itu akan menetapkan nama perkara, tanggal pengajuan, definisi kelompok yang diusulkan, serta apakah permohonan sertifikasi benar-benar telah diajukan atau dijadwalkan.

Sampai saat itu, pembedaan paling berguna yang didukung bukti cukup sederhana: dalam kumpulan bukti ini, status hukumnya tetap berupa usulan gugatan kelompok yang dilaporkan, sementara isu keamanannya sendiri dijelaskan lebih konkret oleh kutipan sumber belakangan mengenai cabang firmware yang terdampak dan cakupan pembuatan seed.