Юридические последствия бага на сайте?
В первую очередь, наличие ответственности зависит от того к юрисдикции какого государства относится покупка. В РФ такое деяние может быть квалифицировано по ст. 165 УК РФ (Причинение имущественного ущерба путем обмана или злоупотребления доверием) или ст. 159.6 УК РФ (Мошенничество в сфере компьютерной информации). А в другом государстве может не быть "подходящего" запрета и, соответственно, такое деяние вообще не будет квалифицировано как преступление.
В российским законодательстве есть необходимость в умысле и понесенных убытках.
Если нет умысла и тем более нет убытков, то по уму сложно будет что то сделать.

Ок, если умысел еще можно притянуть за уши если доказать что разные аккаунты принадлежат атакующему, то с убытками не все так просто.

Про скидку, если ее размер не уменьшает стоимость товара до ниже ее закупочной, то убытков нет, есть только упущенная прибыль которая точно не может быть основанием к угловно-админестративного преследования.
Надо читать в лицензионном соглашении и описании про скидки

Пользователи не должны нести ответственность за ошибки, которые допускает магазин... поставьте себя на место двух разных пользователей, которые случайно совершили покупку используя один скидочный купон (не обсуждаем сейчас вероятность этого события), почему они должны нести какое-либо наказание за это?

p.s. помним, что цена на ценнике имеет приоритетное значение тому что ожидает магазин, в момент совершения покупки цена была озвучена? оплачена клиентом в полном размере? помним про то как человек купил телевизор по цене 0 (ошибка на сайте интернетмагазина, после которой все стали писать что цена на сайте не является офертой и т.п.)