Nhà sản xuất Coldcard Coinkite bị kiện vì cáo buộc lỗ hổng firmware
TREE NEWS đưa tin: Một vụ kiện tập thể được đệ trình lên Tòa án Thượng thẩm Ontario cáo buộc rằng lỗi xây dựng firmware trong ví phần cứng Coldcard do Coinkite sản xuất đã tạo ra một bộ tạo số giả ngẫu nhiên (PRNG) yếu, khiến cụm từ hạt giống của ví có thể dự đoán được. Đơn kiện nêu tên Coinkite và các đồng sáng lập Rodolfo Novak và Peter D. Gray là bị đơn. Theo đơn khiếu nại, firmware bị lỗi được sử dụng từ tháng 3 năm 2021 đã chuyển sang PRNG Yasmarang của MicroPython, làm tổn hại đến tính ngẫu nhiên của việc tạo cụm từ ghi nhớ. Các kẻ tấn công được cho là đã khai thác lỗ hổng bắt đầu từ ngày 30 tháng 7 năm 2026, chuyển khoản khoảng 594 BTC trong 25 phút đầu tiên và gây thiệt hại tích lũy vượt quá 140 triệu USD. Vụ kiện còn cáo buộc rằng hai nhà sáng lập đã biết về khiếm khuyết này muộn nhất là vào tháng 5 năm 2025.
Phân tích kỹ thuật: Lỗi PRNG đã trở thành trách nhiệm 140 triệu USD như thế nào
Trọng tâm của vụ kiện là PRNG Yasmarang, một bộ tạo số ngẫu nhiên không an toàn về mặt mật mã được bao gồm trong MicroPython. Nếu được sử dụng để tạo hạt giống ghi nhớ, nó có thể tạo ra đầu ra có thể dự đoán được, cho phép kẻ tấn công dò hoặc tái tạo khóa riêng tư. Ví phần cứng được tin cậy chính vì chúng được cho là tạo ra entropy ngoại tuyến. Một lỗ hổng trong quy trình đó làm suy yếu mô hình bảo mật cốt lõi của việc tự lưu trữ. Vụ trộm 594 BTC trong 25 phút được cáo buộc cho thấy một cuộc tấn công có tính tự động hóa cao, có thể sử dụng bảng tính sẵn hoặc bẻ khóa hạt giống theo thời gian thực.
Tác động ngành: Niềm tin vào tự lưu trữ bị đặt dấu hỏi
Vụ kiện đặt ra những câu hỏi khó chịu cho ngành công nghiệp ví phần cứng, vốn đã tự quảng cáo là tiêu chuẩn vàng cho việc lưu trữ tiền mã hóa an toàn. Nếu một nhà sản xuất hàng đầu có thể xuất xưởng firmware với PRNG yếu trong nhiều năm, điều đó có ý nghĩa gì đối với hệ sinh thái rộng lớn hơn? Các cáo buộc về việc chậm công bố—các nhà sáng lập được cho là đã biết vào tháng 5 năm 2025 nhưng vụ khai thác xảy ra vào năm 2026—có thể làm xói mòn niềm tin vào Coinkite và có khả năng lan sang các đối thủ cạnh tranh. Các cơ quan quản lý và kiểm toán có thể phải đối mặt với áp lực thiết lập tiêu chuẩn chứng nhận cho việc tạo entropy trong thiết bị tiền mã hóa. Đối với người dùng, vụ việc nhấn mạnh tầm quan trọng của việc xác minh tính toàn vẹn của firmware và xem xét các thiết lập đa chữ ký hoặc air-gapped.
Triển vọng: Hệ lụy pháp lý và thị trường
Vụ kiện tập thể yêu cầu bồi thường thiệt hại không xác định, nhưng con số thiệt hại 140 triệu USD đặt ra một chuẩn mực cao. Coinkite chưa công khai phản hồi các cáo buộc. Kết quả có thể phụ thuộc vào việc liệu tòa án có phát hiện công ty sơ suất trong phát triển firmware và thực tiễn công bố hay không. Trong khi đó, cộng đồng tiền mã hóa có khả năng sẽ yêu cầu nhiều minh bạch hơn từ các nhà sản xuất ví phần cứng, và các sản phẩm bảo hiểm cho việc tự lưu trữ có thể thu hút sự chú ý. Khi quá trình pháp lý diễn ra, vụ việc có thể trở thành một cột mốc về trách nhiệm trong cơ sở hạ tầng tài chính phi tập trung.
