Một bản tin nhanh được cung cấp cho biết Coinkite cùng hai nhà đồng sáng lập Rodolfo Novak và Peter D. Gray đang đối mặt với đề xuất khởi kiện tập thể tại Ontario liên quan đến các lỗi firmware Coldcard bị cáo buộc, gắn với quá trình tạo seed. Theo bản tin này, đơn kiện yêu cầu công nhận tư cách khởi kiện tập thể và bồi thường thiệt hại; trong khi các trích đoạn nguồn sau đó từ Coinkite và Block mô tả vấn đề được nêu là lỗi ngẫu nhiên ảnh hưởng đến việc tạo seed trên một số nhánh firmware Coldcard cụ thể.

Vụ kiện tại Ontario được cho là bao gồm những nội dung gì

Các bằng chứng hiện có chỉ cho phép kết luận hạn chế về tình trạng vụ việc. Bản tin được cung cấp cho biết Coinkite và các nhà đồng sáng lập phải đối mặt với đề xuất khởi kiện tập thể tại Ontario, với cáo buộc rằng firmware Coldcard tiêu chuẩn đã sử dụng bộ tạo số giả ngẫu nhiên bằng phần mềm có thể dự đoán, thay vì bộ tạo số ngẫu nhiên thực sự. Điều này có thể khiến các cụm từ khôi phục bị tái tạo và làm người dùng đối mặt nguy cơ truy cập trái phép.

Theo cùng bản tin, đơn kiện yêu cầu công nhận tư cách khởi kiện tập thể, bồi thường thiệt hại và đưa ra các cáo buộc theo Đạo luật Bảo vệ Người tiêu dùng, Đạo luật Mua bán Hàng hóa, các quy định về sơ suất và vi phạm hợp đồng. Tuy nhiên, chưa có bằng chứng về bất kỳ bước tố tụng nào tiếp theo: nghiên cứu được cung cấp không xác định được hồ sơ tòa án có thể đọc được, mục hồ sơ vụ án, quyết định công nhận khởi kiện tập thể hay lịch xét xử tương ứng. Vì vậy, sự việc có thể được mô tả là một đề xuất khởi kiện tập thể được đưa tin, nhưng chưa phải vụ kiện tập thể đã được công nhận hoặc một vụ lỗi sản phẩm đã được tòa án xác nhận.

Những dải firmware Coldcard nào được mô tả là bị ảnh hưởng

Các trích đoạn nguồn sau đó nêu phạm vi sản phẩm cụ thể hơn so với bản tin về vụ kiện. Một trích đoạn kết quả tìm kiếm được cho là từ Coinkite cho biết vấn đề xuất hiện trên firmware Mk2 và Mk3 từ phiên bản 4.0.1 đến 4.1.9. Vấn đề cũng ảnh hưởng đến các seed được tạo trên Mk4 và Mk5 trước phiên bản tiêu chuẩn 5.6.0 hoặc phiên bản Edge 6.6.0X, cũng như trên Q trước phiên bản tiêu chuẩn 1.5.0Q hoặc phiên bản Edge 6.6.0QX. Cùng trích đoạn này cho biết tác động lên Mk4, Mk5 và Q nhẹ hơn các mẫu đời cũ, nhưng vẫn nghiêm trọng.

Một trích đoạn kết quả tìm kiếm từ Block Engineering Blog mô tả cơ chế được báo cáo ở góc độ kỹ thuật hơn: firmware Coldcard có lỗi tích hợp RNG khiến ngu.random sử dụng phương án dự phòng MicroPython mang tính xác định, thay vì bộ tạo số ngẫu nhiên phần cứng STM32. Chi tiết này cho thấy đây là điểm yếu trong khâu tạo seed, chứ không phải bằng chứng rằng mọi chức năng của Coldcard hoặc mọi trạng thái của thiết bị đều đã bị xâm phạm.

Trích đoạn của Coinkite cũng nêu một ranh giới quan trọng: vấn đề ảnh hưởng đến entropy do thiết bị tạo ra, nhưng không làm mất entropy độc lập được cung cấp bằng xúc xắc khi tạo seed. Điều này không đủ để xác định mức độ phơi nhiễm của từng ví riêng lẻ, song thu hẹp rủi ro được báo cáo vào cách seed được tạo. Dù vậy, vẫn còn một điểm chưa thống nhất: trích đoạn proof-of-concept trên GitHub của bên thứ ba liệt kê các phiên bản Mk2 và Mk3 từ 4.0.0 đến 4.1.9, trong khi trích đoạn Coinkite bắt đầu từ 4.0.1. Sự khác biệt về mốc phiên bản thấp nhất này hiện cần được xem là chưa được giải quyết.

Những thông tin còn thiếu để làm rõ tình trạng vụ kiện

Tài liệu mang tính quyết định tiếp theo sẽ là hồ sơ tòa án Ontario có thể đọc được, mục hồ sơ vụ án hoặc trang thông tin vụ việc của hãng luật đại diện nguyên đơn, trong đó nêu rõ tên vụ kiện. Những tài liệu này sẽ xác lập tên vụ án, ngày nộp đơn, định nghĩa nhóm nguyên đơn được đề xuất, cũng như liệu đơn xin công nhận khởi kiện tập thể đã thực sự được nộp hoặc lên lịch hay chưa.

Cho đến khi có các tài liệu đó, điểm phân biệt hữu ích nhất dựa trên bằng chứng hiện tại rất rõ ràng: về mặt pháp lý, vụ việc vẫn chỉ ở cấp độ đề xuất khởi kiện tập thể được đưa tin; trong khi vấn đề bảo mật được mô tả cụ thể hơn trong các trích đoạn nguồn sau đó về những nhánh firmware bị ảnh hưởng và phạm vi của quá trình tạo seed.