Coinkite Inc., fabricante de la cartera de hardware Coldcard, y sus dos cofundadores enfrentan una demanda colectiva propuesta en Canadá por una vulnerabilidad de seguridad vinculada a robos de Bitcoin que, según reportes, superan los 140 millones de dólares.

La demanda, presentada por Amir Reza Naderi ante la Corte Superior de Justicia de Ontario, alega que los ejecutivos de la empresa conocían debilidades en el sistema de generación de semillas de la cartera desde mayo de 2025, pero no advirtieron a los clientes. Coinkite rechaza esa afirmación.

La demanda

Naderi presentó la demanda contra Coinkite y los cofundadores Rodolfo Novak y Peter D. Gray. El tribunal emitió el documento el 11 de septiembre de 2026, bajo el número de caso CV-26-00018158. El demandante afirma haber perdido 1.22940052 BTC, con un valor aproximado de 79,800 dólares, el 6 de agosto.

Acusa a los demandados de no divulgar un riesgo de seguridad conocido y solicita la certificación de la demanda colectiva, una compensación para los clientes afectados y daños punitivos. La demanda también alega violaciones a la Ley de Protección al Consumidor de Ontario. Según el procedimiento de Ontario, una demanda colectiva propuesta debe ser certificada por un juez antes de poder avanzar en nombre de un grupo más amplio, un paso inicial que definirá el rumbo del caso. Las acusaciones no han sido probadas y el tribunal no ha determinado responsabilidad.

Una falla de firmware debilitó las frases de recuperación

La vulnerabilidad se remonta a una actualización de firmware lanzada en marzo de 2021. Según la demanda, un error de integración de software provocó que los dispositivos Coldcard afectados generaran frases de recuperación con un generador pseudoraleatorio más débil conocido como Yasmarang, en lugar de la fuente de aleatoriedad basada en hardware prevista.

Según reportes, algunos modelos antiguos produjeron semillas con solo alrededor de 40 bits de entropía efectiva, lo que potencialmente permitía a los atacantes reconstruir claves privadas y acceder a carteras de Bitcoin sin poseer físicamente los dispositivos. Esa cifra está muy por debajo de los al menos 128 bits de entropía que las frases de recuperación estándar están diseñadas para tener, y socava la premisa fundamental de una cartera de hardware: las claves y sus respaldos deben generarse sin conexión, fuera del alcance de los atacantes.

Los robos comenzaron, según reportes, el 30 de julio de 2026, cuando aproximadamente 594 BTC desaparecieron de cientos de carteras en un ataque inicial de 25 minutos. Investigaciones posteriores estimaron pérdidas superiores a 116 millones de dólares, mientras que informes más recientes situaron los robos acumulados por encima de los 140 millones.

Respuesta de Coinkite

Coinkite ha rechazado las afirmaciones de que conocía la vulnerabilidad en mayo de 2025 y sostiene que descubrió el problema el 30 de julio de 2026, cuando surgieron los ataques. La compañía ha lanzado desde entonces un firmware corregido y ha recomendado a los clientes afectados generar nuevas frases de recuperación y transferir su Bitcoin a carteras seguras. Sin embargo, instalar el firmware actualizado por sí solo no puede proteger los fondos vinculados a frases de recuperación previamente comprometidas.

Dado que la autocustodia pone la seguridad de las claves directamente en manos de los usuarios y las transacciones de Bitcoin no pueden revertirse, la atención se centra ahora en el proceso procedural que viene: la moción de certificación y la respuesta formal de los demandados a la demanda. El caso podría convertirse en una prueba importante de las responsabilidades de los fabricantes de carteras de hardware cuando defectos de software exponen a los clientes a pérdidas financieras.

Fuente: CryptoMeter io