Coinkite ถูกฟ้อง บั๊กกระเป๋าเงิน Coldcard ทำบิตคอยน์ 140 ล้านดอลลาร์รั่ว

ข้อบกพร่องด้านความปลอดภัยของ Coldcard ก่อให้เกิดคดีฟ้องร้องมูลค่า $140 ล้าน

คดีฟ้องร้องแบบกลุ่มที่ยื่นเมื่อวันที่ 11 กันยายน 2026 ที่ศาลยุติธรรมชั้นสูงของออนแทรีโอ ได้ระบุ Coinkite Inc. ซึ่งมีสำนักงานตั้งอยู่ที่โตรอนโต และผู้ร่วมก่อตั้ง Rodolfo Novak และ Peter D. Gray เป็นจำเลย ผู้ฟ้องคดี Amir Reza Naderi ผู้อาศัยในลอสแอนเจลิส กล่าวอ้างว่า การอัปเดตเฟิร์มแวร์ที่มีข้อบกพร่อง ซึ่งถูกปล่อยออกมาในเดือนมีนาคม 2021 ได้ทำให้ความปลอดภัยของกระเป๋า Coldcard ถูกละเมิดเป็นเวลากว่า 5 ปี

ในคำฟ้องระบุว่า อุปกรณ์ดังกล่าวมีจุดอ่อนที่ "ทำลายวัตถุประสงค์และฟังก์ชันการทำงานทั้งหมดของอุปกรณ์" กระเป๋าเงิน Coldcard ได้รับการออกแบบมาเพื่อปกป้องบิตคอยน์โดยการสร้างวลีการกู้คืนลับ ซึ่งมักเรียกว่า seed phrases คำเหล่านี้ช่วยให้เจ้าของสามารถกู้คืนเงินได้หากอุปกรณ์สูญหายหรือเสียหาย

แต่คำร้องกล่าวหาว่าซอฟต์แวร์ดังกล่าวสร้างวลีที่สามารถคาดการณ์ได้แทนที่จะเป็นวลีที่สุ่มอย่างแท้จริง ทำให้ผู้โจมตีสามารถสร้างกุญแจส่วนตัวขึ้นใหม่ได้โดยไม่ต้องถือครองกระเป๋าเงินนั้นทางกายภาพ

ข้อผิดพลาดในเฟิร์มแวร์เพียงหนึ่งครั้ง แต่ทำให้กระเป๋าเงินหลายพันใบมีความเสี่ยง

ปัญหาที่ถูกกล่าวหานี้มีต้นกำเนิดจาก "ข้อผิดพลาดในการสร้างและเชื่อมโยง" ซึ่งทำให้อุปกรณ์ที่ได้รับผลกระทบใช้ตัวสร้างซอฟต์แวร์ Yasmarang ของ Micropython แทนที่จะใช้ตัวสร้างตัวเลขสุ่มแบบฮาร์ดแวร์ตามวัตถุประสงค์เดิม ในภาษาที่เข้าใจง่าย อุปกรณ์เหล่านี้สร้างรหัสความปลอดภัยที่คาดเดาได้ง่ายกว่ามากเมื่อเทียบกับสิ่งที่ลูกค้าได้รับคำสัญญาไว้

ผู้โจมตีเริ่มใช้ประโยชน์จากจุดอ่อนนี้เมื่อวันที่ 30 กรกฎาคม 2026 โดยถูกกล่าวหาว่าขโมย BTC ประมาณ 594 BTC มูลค่า $38 million ภายในเวลาเพียง 25 นาที การโจรกรรมที่เกิดขึ้นต่อมาทำให้มูลค่าความสูญเสียที่คาดการณ์ในคดีนี้เพิ่มขึ้นเกิน $140 ล้าน นายนาเดรีอ้างว่าเขาสูญเสีย BTC จำนวน 1.22940052 BTC มูลค่าประมาณ $79,764 ด้วยตนเอง จากการโอนเงินโดยไม่ได้รับอนุญาตเมื่อวันที่ 6 สิงหาคม

คำร้องยังกล่าวอ้างว่า วิศวกรบิตคอยน์ เจมส์ โอ'เบิร์น ได้เตือน Coinkite เกี่ยวกับช่องโหว่นี้เมื่อเดือนพฤษภาคม 2025 ซึ่งมากกว่าหนึ่งปีก่อนที่การโจรกรรมจะเริ่มขึ้น

ผู้ฟ้องร้องเรียกร้องค่าเสียหาย ขณะที่ Coinkite เผชิญการตรวจสอบอย่างเข้มงวด

ผู้ผลิตกระเป๋าเงินคริปโต Coinkite ได้เปิดเผยช่องโหว่นี้ต่อสาธารณะเมื่อวันที่ 30 กรกฎาคม และปล่อยเฟิร์มแวร์แก้ไขในวันถัดไป อย่างไรก็ตาม การติดตั้งซอฟต์แวร์ที่อัปเดตเพียงอย่างเดียวไม่สามารถปกป้องวลีการกู้คืนที่สร้างไว้ก่อนหน้านี้ได้ ลูกค้ายังต้องสร้างวลีใหม่และโอนบิตคอยน์ของตนด้วย คดีนี้โต้แย้งว่า Coinkite ไม่ได้แจ้งให้ลูกค้าที่ได้รับผลกระทบทราบโดยตรง แม้จะมีข้อมูลติดต่อของพวกเขาอยู่ก็ตาม

นอกจากนี้ ยังท้าทายข้อจำกัดความรับผิดชอบตามสัญญาของบริษัท โดยอ้างว่ากฎหมายคุ้มครองผู้บริโภคมีอำนาจเหนือกว่าข้อกำหนดที่จำกัดการฟ้องร้องและค่าชดเชย กลุ่มผู้ฟ้องที่เสนอตัวประกอบด้วยผู้ซื้ออุปกรณ์ Coldcard Mk2, Mk3, Mk4, Mk5 และ Q สำหรับการใช้งานส่วนตัว ผู้ฟ้องเรียกร้องค่าชดเชยเพื่อชดใช้ความเสียหาย ค่าชดเชยเชิงลงโทษ และมาตรการเยียวยาอื่น ๆ

คดีนี้ยังคงอยู่ในขั้นตอนการเสนอเป็นคดีแบบกลุ่ม และข้อกล่าวหาในคดีนี้ยังไม่ได้รับการยืนยันในศาล ยังไม่มีการตัดสินให้ชดเชยความเสียหายใดๆ สำหรับลูกค้าที่ได้รับผลกระทบ ประเด็นหลักคือว่า บริษัทที่ขายบริการป้องกันการขโมยบิตคอยน์ จะถูกถือให้รับผิดชอบทางการเงินได้หรือไม่ เมื่อซอฟต์แวร์ความปลอดภัยของบริษัทเองถูกกล่าวหาว่าเปิดช่องให้เกิดขึ้น

Bitcoin.com News ได้ติดต่อ Coinkite เพื่อขอความคิดเห็นเกี่ยวกับคดีความและข้อกล่าวหาดังกล่าว บริษัทยังไม่ได้ตอบกลับ ณ เวลาที่บทความนี้เผยแพร่ แต่หากมีคำชี้แจงใดที่ได้รับในภายหลัง จะถูกเพิ่มเข้าไปในรายงานนี้