提供された速報によると、コインカイトと共同創業者のロドルフォ・ノヴァク、ピーター・D・グレイは、シード生成に関連するコールドカードのファームウェア不具合を巡り、オンタリオ州で集団訴訟の提起を受けている。この請求はクラス認定と損害賠償を求めるものとされる。コインカイトおよびブロックによる後続の資料では、特定のコールドカード用ファームウェア系統でシード作成に影響する乱数性の欠陥が報告された問題だと説明されている。

オンタリオ州の訴訟で申し立てられている内容

現時点の証拠から確認できる訴訟状況は限定的だ。提供された速報によれば、コインカイトと共同創業者らに対するオンタリオ州の集団訴訟案では、通常版コールドカードのファームウェアが真の乱数生成器ではなく、予測可能なソフトウェア擬似乱数生成器を使用していたと主張されている。その結果、リカバリーフレーズが再現可能となり、利用者が不正アクセスを受けるおそれがあったという。

同報道によると、請求ではクラス認定と損害賠償を求めるほか、消費者保護法、物品売買法、過失、契約違反に基づく主張も含まれる。ただし、その後の裁判手続きが進んだことは確認されていない。提供された調査では、対応する閲覧可能な訴状、訴訟記録の登録、クラス認定に関する判断、予定された審理はいずれも見つかっていない。したがって、本件は集団訴訟が提起予定であるとの報道としては説明できるが、認定済みの集団訴訟や裁判所が欠陥を認定した事案として扱うことはできない。

影響を受けるとされるコールドカードのファームウェア範囲

製品への影響範囲については、後続の資料の方が訴訟速報より具体的だ。コインカイトによる検索結果の抜粋では、この問題はMk2およびMk3のファームウェア4.0.1から4.1.9に存在したとされる。また、Mk4とMk5では通常版5.6.0以前またはEdge版6.6.0X以前、Qでは通常版1.5.0Q以前またはEdge版6.6.0QX以前に生成されたシードも影響を受けたという。同抜粋によれば、Mk4、Mk5、Qへの影響は旧機種より軽微だったものの、依然として深刻だった。

ブロック・エンジニアリング・ブログの検索結果抜粋は、報告された仕組みをより技術的に説明している。コールドカードのファームウェアにはRNG統合上のエラーがあり、ngu.randomがSTM32のハードウェア乱数生成器ではなく、決定論的なMicroPythonのフォールバックを利用する状態になっていたという。これは、問題がシード生成の脆弱性であることを示すものであり、コールドカードのすべての機能やあらゆる端末状態が侵害された証拠を意味するものではない。

コインカイトの抜粋は、もう一つ重要な境界も示している。問題は端末が生成するエントロピーに影響した一方、シード作成時にサイコロで加えた独立したエントロピーは失われなかったという。これは個々のウォレットのリスクを確定するものではないが、報告されたリスクがシードの作成方法に限定されることを示す。もっとも、未解決の点もある。第三者によるGitHub上の概念実証の抜粋では、Mk2とMk3の対象バージョンは4.0.0から4.1.9とされているのに対し、コインカイトの抜粋は4.0.1からとしている。この下限バージョンの相違は、現時点では未解決として扱うべきだ。

訴訟の状況を明確にするために不足している情報

次に決定的となるのは、当該手続きを特定できるオンタリオ州の閲覧可能な訴状、訴訟記録の登録、または原告側法律事務所の事件ページだ。これにより、事件名、提訴日、想定されるクラスの定義、クラス認定申立てが実際に提出済みまたは期日指定済みかどうかが確認できる。

それまでは、裏付けのある区別は明確だ。この証拠群における法的状況は、報道された提起予定の集団訴訟という段階にとどまる。一方でセキュリティ上の問題自体は、影響を受けるファームウェア系統とシード生成への影響範囲に関する後続資料によって、より具体的に説明されている。