Coinkite bị kiện: lỗ hổng ví Coldcard làm lộ 140 triệu USD Bitcoin

Lỗi bảo mật của Coldcard dẫn đến vụ kiện trị giá 140 triệu USD

Một vụ kiện tập thể được đệ trình vào ngày 11 tháng 9 năm 2026 tại Tòa án Tối cao Ontario đã nêu tên công ty Coinkite Inc. có trụ sở tại Toronto cùng các đồng sáng lập Rodolfo Novak và Peter D. Gray là bị đơn. Nguyên đơn Amir Reza Naderi, cư dân Los Angeles, cáo buộc rằng bản cập nhật phần mềm hệ thống bị lỗi được phát hành vào tháng 3 năm 2021 đã làm suy yếu tính bảo mật của ví Coldcard trong hơn năm năm.

Đơn kiện nêu rõ rằng các thiết bị này chứa một lỗ hổng bảo mật đã "làm suy yếu toàn bộ mục đích và chức năng của thiết bị". Ví Coldcard được thiết kế để bảo vệ bitcoin bằng cách tạo ra các cụm từ khôi phục bí mật, thường được gọi là cụm từ hạt giống. Những cụm từ này cho phép chủ sở hữu khôi phục tiền của họ nếu thiết bị bị mất hoặc hư hỏng.

Tuy nhiên, đơn kiện cáo buộc rằng phần mềm này đã tạo ra các cụm từ có thể dự đoán được thay vì các cụm từ thực sự ngẫu nhiên, cho phép những kẻ tấn công tái tạo khóa riêng mà không cần sở hữu ví.

Một lỗi phần mềm, hàng nghìn ví dễ bị tấn công

Vấn đề được cho là bắt nguồn từ một "lỗi tích hợp xây dựng và liên kết" khiến các thiết bị bị ảnh hưởng sử dụng trình tạo phần mềm Yasmarang của Micropython thay vì bộ tạo số ngẫu nhiên dựa trên phần cứng như dự định. Nói một cách dễ hiểu, các thiết bị này được cho là đã tạo ra các mã bảo mật dễ đoán hơn nhiều so với những gì đã hứa với khách hàng.

Các kẻ tấn công bắt đầu khai thác lỗ hổng này vào ngày 30 tháng 7 năm 2026, được cho là đã đánh cắp khoảng 594 BTC trị giá 38 triệu USD chỉ trong 25 phút. Các vụ trộm sau đó đã đẩy ước tính thiệt hại trong vụ kiện lên hơn 140 triệu USD. Naderi tuyên bố rằng cá nhân ông đã mất 1,22940052 BTC, trị giá khoảng 79.764 USD, do các giao dịch chuyển tiền trái phép vào ngày 6 tháng 8.

Đơn kiện cũng cáo buộc rằng kỹ sư bitcoin James O'Beirne đã cảnh báo Coinkite về lỗ hổng này vào tháng 5 năm 2025, hơn một năm trước khi các vụ trộm bắt đầu.

Các nguyên đơn yêu cầu bồi thường thiệt hại trong bối cảnh Coinkite đang đối mặt với sự giám sát chặt chẽ

Nhà sản xuất ví tiền điện tử Coinkite đã công khai tiết lộ lỗ hổng bảo mật vào ngày 30 tháng 7 và phát hành bản cập nhật firmware khắc phục vào ngày hôm sau. Tuy nhiên, việc cài đặt phần mềm cập nhật thôi là chưa đủ để bảo vệ các cụm từ khôi phục đã được tạo trước đó. Khách hàng cũng cần tạo các cụm từ mới và chuyển Bitcoin của họ sang ví mới. Đơn kiện lập luận rằng Coinkite đã không thông báo trực tiếp cho các khách hàng bị ảnh hưởng dù đã nắm giữ thông tin liên lạc của họ.

Đơn kiện cũng thách thức các điều khoản giới hạn trách nhiệm hợp đồng của công ty, cho rằng luật bảo vệ người tiêu dùng có hiệu lực cao hơn các điều khoản hạn chế khởi kiện và bồi thường. Nhóm nguyên đơn đề xuất bao gồm những người mua thiết bị Coldcard Mk2, Mk3, Mk4, Mk5 và Q để sử dụng cá nhân. Các nguyên đơn yêu cầu bồi thường thiệt hại thực tế, bồi thường trừng phạt và các biện pháp khắc phục khác.

Vụ kiện hiện vẫn ở giai đoạn đề xuất khởi kiện tập thể, và các cáo buộc trong đó chưa được tòa án xác nhận. Chưa có khoản bồi thường nào được tòa án chấp thuận. Đối với các khách hàng bị ảnh hưởng, câu hỏi trọng tâm là liệu một công ty bán dịch vụ bảo vệ chống trộm Bitcoin có thể bị truy cứu trách nhiệm tài chính hay không khi phần mềm bảo mật của chính công ty đó được cho là đã tạo ra lỗ hổng an ninh.

Bitcoin.com News đã liên hệ với Coinkite để xin bình luận về vụ kiện và các cáo buộc liên quan. Tính đến thời điểm xuất bản, công ty vẫn chưa phản hồi, nhưng bất kỳ tuyên bố nào nhận được sau đó sẽ được bổ sung vào bài báo này.