Bảo mật ví Coldcard và vụ kiện của Coinkite
Một lỗ hổng bảo mật tồn tại trong các ví phần cứng Coldcard trong suốt năm năm đã khiến nhà sản xuất Coinkite bị kiện, sau khi các kẻ tấn công được cho là đã rút hơn 140 triệu USD bitcoin. Đơn kiện tập thể được nộp vào ngày 11 tháng 9 năm 2026 tại Tòa án Tối cao Ontario, nêu tên Coinkite Inc., có trụ sở tại Toronto, cùng với các đồng sáng lập Rodolfo Novak và Peter D. Gray là bị đơn.
Nguyên đơn Amir Reza Naderi, một cư dân Los Angeles, cáo buộc rằng một bản cập nhật firmware bị lỗi phát hành vào tháng 3 năm 2021 đã làm tổn hại đến bảo mật của các ví Coldcard trong hơn năm năm. Đơn kiện cho biết các thiết bị này chứa một lỗ hổng “đã làm suy yếu toàn bộ mục đích và chức năng của thiết bị.”
Vấn đề bảo mật và cách thức tấn công
Các ví Coldcard được thiết kế để bảo vệ bitcoin bằng cách tạo ra các cụm từ phục hồi bí mật, thường được gọi là cụm từ hạt giống. Những cụm từ này cho phép chủ sở hữu khôi phục quỹ của họ nếu thiết bị bị mất hoặc hư hỏng. Tuy nhiên, đơn kiện cáo buộc rằng phần mềm đã tạo ra các cụm từ có thể dự đoán thay vì thực sự ngẫu nhiên, cho phép các kẻ tấn công tái tạo các khóa riêng mà không cần sở hữu vật lý các ví.
Vấn đề được cho là bắt nguồn từ một “lỗi tích hợp xây dựng và liên kết” đã khiến các thiết bị bị ảnh hưởng sử dụng trình tạo phần mềm Yasmarang của Micropython thay vì trình tạo số ngẫu nhiên dựa trên phần cứng như dự định. Nói một cách đơn giản, các thiết bị này được cho là đã tạo ra các mã bảo mật dễ đoán hơn nhiều so với những gì khách hàng đã được hứa hẹn.
Hệ quả và thiệt hại
Các kẻ tấn công đã bắt đầu khai thác điểm yếu này vào ngày 30 tháng 7 năm 2026, được cho là đã đánh cắp khoảng 594 BTC trị giá 38 triệu USD chỉ trong 25 phút. Các vụ trộm tiếp theo đã đẩy ước tính thiệt hại của đơn kiện lên trên 140 triệu USD. Naderi tuyên bố rằng anh đã mất 1.22940052 BTC, trị giá khoảng 79,764 USD, thông qua các giao dịch không được phép vào ngày 6 tháng 8.
Đơn kiện cũng cáo buộc rằng kỹ sư bitcoin James O’Beirne đã cảnh báo Coinkite về lỗ hổng này vào tháng 5 năm 2025, hơn một năm trước khi các vụ trộm bắt đầu.
Phản ứng của Coinkite và tình hình hiện tại
Nhà sản xuất ví crypto Coinkite đã công khai tiết lộ lỗ hổng này vào ngày 30 tháng 7 và phát hành firmware sửa lỗi vào ngày hôm sau. Tuy nhiên, việc cài đặt phần mềm cập nhật đơn thuần không thể bảo vệ các cụm từ phục hồi đã được tạo ra trước đó. Khách hàng cũng cần tạo ra các cụm từ mới và chuyển bitcoin của họ.
Đơn kiện lập luận rằng Coinkite đã không thông báo trực tiếp cho các khách hàng bị ảnh hưởng, mặc dù đã có thông tin liên lạc của họ. Nó cũng thách thức các giới hạn trách nhiệm hợp đồng của công ty, cáo buộc rằng các luật bảo vệ người tiêu dùng vượt qua các điều khoản hạn chế kiện tụng và bồi thường.
Lớp đề xuất bao gồm những người mua sử dụng cá nhân các thiết bị Coldcard Mk2, Mk3, Mk4, Mk5 và Q. Các nguyên đơn yêu cầu bồi thường thiệt hại, thiệt hại trừng phạt và các biện pháp khắc phục khác. Vụ án vẫn đang trong giai đoạn đề xuất kiện tập thể, và các cáo buộc của nó chưa được thiết lập tại tòa án. Hiện tại, chưa có thiệt hại nào được trao.
Đối với các khách hàng bị ảnh hưởng, câu hỏi trung tâm là liệu một công ty bán bảo vệ chống lại việc đánh cắp bitcoin có thể phải chịu trách nhiệm tài chính khi phần mềm bảo mật của chính nó được cho là đã mở ra cánh cửa cho các cuộc tấn công.
Bitcoin.com News đã liên hệ với Coinkite để bình luận về vụ kiện và các cáo buộc của nó. Công ty chưa phản hồi vào thời điểm xuất bản, nhưng bất kỳ tuyên bố nào nhận được sau đó sẽ được thêm vào báo cáo này.
