Por Canuto  

Una demanda colectiva presentada en Ontario acusa a Coinkite de comercializar monederos Coldcard cuyo firmware habría generado frases de recuperación predecibles. El demandante atribuye a esa falla robos de bitcoins por más de USD $140 millones y sostiene que la empresa recibió una advertencia antes de que comenzaran los ataques.

***

  • La demanda presentada por Amir Reza Naderi nombra a Coinkite y a sus cofundadores, Rodolfo Novak y Peter D. Gray.
  • El reclamo sostiene que un error en el firmware hizo que ciertos dispositivos usaran un generador de números aleatorios de software en vez del componente de hardware previsto.
  • Coinkite divulgó la vulnerabilidad y publicó una actualización, pero los usuarios también debían generar frases nuevas y trasladar sus bitcoins.

 

Coinkite, fabricante de los monederos físicos Coldcard, enfrenta una demanda colectiva que vincula una vulnerabilidad en el firmware con el presunto robo de más de USD $140 millones en bitcoins. El reclamo, presentado por Amir Reza Naderi ante el Tribunal Superior de Justicia de Ontario, sostiene que durante años algunos dispositivos generaron frases de recuperación predecibles, una falla que habría permitido a terceros reconstruir claves privadas sin tener acceso físico a los equipos.

La acción también nombra a los cofundadores de la empresa, Rodolfo Novak y Peter D. Gray, y cuestiona tanto la seguridad del producto como la respuesta de la compañía tras conocer el problema. Las acusaciones aún no han sido probadas en tribunales: se trata de una demanda colectiva propuesta, no de una sentencia, y no se ha concedido indemnización alguna.

El reclamo y el alcance de las pérdidas alegadas

Según la demanda, Naderi presentó el caso el 11 de septiembre de 2026 en Ontario y afirma que una actualización defectuosa, publicada en marzo de 2021, comprometió la seguridad de los monederos afectados durante más de cinco años. El demandante, residente en Los Ángeles, sostiene que la vulnerabilidad afectó una función central de Coldcard: crear frases secretas que permiten recuperar los fondos si el dispositivo se pierde o deja de funcionar.

Esas frases, conocidas comúnmente como frases semilla o de recuperación, funcionan como una copia de seguridad de las claves que controlan los bitcoins. La demanda afirma que los dispositivos no las generaban con la aleatoriedad que los clientes podían esperar, sino que producían combinaciones previsibles, lo que habría abierto la posibilidad de calcular claves privadas y mover fondos sin robar o manipular físicamente el monedero.

El reclamo estima que los atacantes comenzaron a explotar la vulnerabilidad el 30 de julio de 2026 y que en unos 25 minutos sustrajeron aproximadamente 594 bitcoins (BTC), con un valor estimado de USD $38 millones. La demanda atribuye a robos posteriores un aumento de las pérdidas totales por encima de USD $140 millones, aunque esas cifras forman parte de las alegaciones de los demandantes y deberán evaluarse en el proceso.

Naderi asegura que perdió BTC 1,22940052, valorados en cerca de USD $79.764, mediante transferencias que no autorizó el 6 de agosto. La demanda sostiene que ese caso personal forma parte de un perjuicio más amplio para usuarios de Coldcard, pero el material disponible no identifica aquí a cada víctima ni detalla cómo se calcularon todas las pérdidas que componen el total reclamado.

El supuesto error técnico detrás de la vulnerabilidad

El origen técnico descrito en la demanda sería un error de integración durante la compilación y el enlace del firmware. Según el reclamo, ese fallo hizo que los dispositivos utilizaran Yasmarang, un generador de números aleatorios de software asociado a Micropython, en lugar del generador basado en hardware que, de acuerdo con la demanda, debía producir las frases de recuperación.

La diferencia importa porque la seguridad de una frase semilla depende de que sus componentes sean suficientemente impredecibles. Si un generador produce resultados limitados o repetibles, un atacante podría reducir el número de combinaciones que necesita probar; eso no demuestra por sí solo cómo se efectuó cada robo, pero explica la relación que los demandantes plantean entre el defecto y la posibilidad de recrear claves privadas.

La demanda califica el problema como una falla que habría socavado el propósito y la función del dispositivo. Coldcard se comercializa como un monedero físico para proteger bitcoins, de modo que la acusación no se limita a una característica secundaria: pone en discusión si el mecanismo encargado de resguardar los fondos funcionó de acuerdo con las expectativas de seguridad atribuidas al producto.

El ingeniero especializado en bitcoin James O’Beirne habría advertido a Coinkite sobre la vulnerabilidad en mayo de 2025, según el documento judicial citado en la cobertura de Bitcoin.com News. La distancia entre esa advertencia alegada y el inicio de los robos constituye un punto relevante del caso, aunque corresponde al proceso determinar qué información recibió la empresa, cómo la evaluó y qué medidas tomó en ese momento.

La actualización no bastaba para proteger las frases anteriores

Coinkite divulgó públicamente la vulnerabilidad el 30 de julio de 2026 y publicó una actualización del firmware al día siguiente, de acuerdo con la información de la demanda. Sin embargo, instalar el software corregido no habría protegido automáticamente las frases de recuperación que los dispositivos ya habían generado antes del parche.

En su aviso de seguridad, Coinkite describe un error de firmware que debilitó la generación de semillas y señala que los atacantes pudieron regenerar fuera de línea las claves privadas correspondientes. La empresa advierte que los fondos de semillas afectadas pueden seguir en riesgo si no se cumplen ciertas medidas de seguridad, entre ellas contar con 50 lanzamientos de dados independientes y privados al generar la semilla y proteger el monedero con una frase de contraseña robusta.

Para reducir el riesgo, los usuarios debían crear frases nuevas y transferir sus bitcoins a direcciones asociadas con esas nuevas credenciales. Esa diferencia es importante para entender el alcance práctico de la corrección: actualizar el equipo podía resolver el comportamiento del firmware hacia adelante, pero no cambiaba por sí sola las claves que ya estaban potencialmente expuestas.

Los demandantes también cuestionan que Coinkite no hubiera contactado directamente a los clientes afectados, pese a contar, según el reclamo, con información para hacerlo. La empresa no había respondido a la solicitud de comentarios de Bitcoin.com News al momento de publicación de esa cobertura, por lo que no se incluyó una explicación de Coinkite sobre la notificación, la advertencia alegada o el alcance de la falla.

La demanda impugna además las limitaciones de responsabilidad contempladas en los contratos de la compañía. Los demandantes argumentan que las normas de protección al consumidor deben prevalecer sobre cláusulas que restringen demandas o indemnizaciones, una cuestión jurídica que deberá examinarse junto con las pruebas sobre el funcionamiento de los dispositivos y la actuación de la empresa.

Qué busca la demanda y qué falta por resolver

La acción propuesta busca representar a compradores que adquirieron para uso personal los modelos Coldcard Mk2, Mk3, Mk4, Mk5 y Q. Sus promotores solicitan indemnización por daños y perjuicios, daños punitivos y otras medidas de reparación, aunque el tribunal todavía debe determinar si el caso puede avanzar como acción colectiva y quiénes reunirían los requisitos para integrar el grupo.

La cifra superior a USD $140 millones es, por ahora, una estimación alegada en el expediente, no una suma reconocida por un tribunal. También deben probarse las conexiones entre el supuesto defecto de fabricación del firmware, las transacciones no autorizadas denunciadas y las pérdidas de cada usuario; la presentación de una demanda no establece por sí misma responsabilidad legal.

El litigio coloca en primer plano una dificultad propia de los monederos autocustodiados: una actualización de seguridad puede requerir pasos adicionales del usuario cuando el problema afecta credenciales creadas previamente. En este caso, los demandantes afirman que la compañía debía comunicar con claridad la necesidad de reemplazar las frases semilla y mover los fondos, pero la demanda no equivale a una conclusión judicial sobre si esa comunicación fue suficiente.

El desenlace dependerá de la evidencia técnica y documental, así como de la interpretación de las obligaciones contractuales y de protección al consumidor. Mientras el proceso siga abierto, las acusaciones contra Coinkite y sus cofundadores deben entenderse como alegaciones pendientes de prueba, y no como hechos establecidos por una resolución judicial.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público

Este artículo fue escrito por un redactor de contenido de IA




ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados