Fallo de Seguridad en Billeteras Coldcard
Un fallo de seguridad de cinco años en las billeteras de hardware Coldcard ha llevado al fabricante Coinkite a enfrentar una demanda, después de que atacantes supuestamente drenaran más de 140 millones de dólares en bitcoin. La demanda colectiva propuesta afirma que los dispositivos generaban frases de recuperación predecibles, dejando a los clientes expuestos al robo.
Detalles de la Demanda
La demanda fue presentada el 11 de septiembre de 2026 en el Tribunal Superior de Justicia de Ontario, y nombra a Coinkite Inc., con sede en Toronto, así como a los cofundadores Rodolfo Novak y Peter D. Gray como demandados. El demandante, Amir Reza Naderi, residente de Los Ángeles, alega que una actualización de firmware defectuosa lanzada en marzo de 2021 comprometió la seguridad de las billeteras Coldcard durante más de cinco años.
La demanda establece que los dispositivos contenían una vulnerabilidad que «socavaba todo el propósito y función del dispositivo«. Las billeteras Coldcard están diseñadas para proteger bitcoin generando frases de recuperación secretas, comúnmente llamadas frases semilla. Sin embargo, la queja alega que el software generaba frases predecibles en lugar de verdaderamente aleatorias, lo que permitía a los atacantes recrear claves privadas sin poseer físicamente las billeteras.
Explotación de la Vulnerabilidad
El problema alegado se originó de un «error de integración de construcción y enlace» que hizo que los dispositivos afectados utilizaran el generador de software Yasmarang de Micropython en lugar del generador de números aleatorios basado en hardware previsto. En términos simples, los dispositivos supuestamente creaban códigos de seguridad que eran mucho más fáciles de adivinar de lo que se había prometido a los clientes.
Los atacantes comenzaron a explotar la debilidad el 30 de julio de 2026, robando supuestamente aproximadamente 594 BTC, por un valor de 38 millones de dólares, en solo 25 minutos. Los robos posteriores llevaron las pérdidas estimadas de la demanda más allá de los 140 millones de dólares. Naderi afirma que perdió personalmente 1.22940052 BTC, valorados en aproximadamente 79,764 dólares, a través de transferencias no autorizadas el 6 de agosto.
Advertencias Ignoradas y Respuesta de Coinkite
La queja también alega que el ingeniero de bitcoin James O’Beirne advirtió a Coinkite sobre la vulnerabilidad en mayo de 2025, más de un año antes de que comenzaran los robos. El fabricante de billeteras de criptomonedas Coinkite divulgó públicamente la vulnerabilidad el 30 de julio y lanzó un firmware correctivo al día siguiente. Sin embargo, instalar el software actualizado por sí solo no podía proteger las frases de recuperación generadas previamente; los clientes también necesitaban crear nuevas y transferir su bitcoin.
La demanda argumenta que Coinkite no notificó directamente a los clientes afectados, a pesar de poseer su información de contacto. También desafía las limitaciones de responsabilidad contractual de la empresa, alegando que las leyes de protección al consumidor anulan las disposiciones que restringen demandas y compensaciones.
Implicaciones para los Clientes
La clase propuesta cubre a los compradores de uso personal de los dispositivos Coldcard Mk2, Mk3, Mk4, Mk5 y Q. Los demandantes buscan daños compensatorios, daños punitivos y otros alivios. El caso sigue siendo una demanda colectiva propuesta, y sus alegaciones no se han establecido en un tribunal. No se han otorgado daños.
Para los clientes afectados, la pregunta central es si una empresa que vende protección contra el robo de bitcoin puede ser considerada financieramente responsable cuando su propio software de seguridad supuestamente abre la puerta a los ataques. Bitcoin.com News se puso en contacto con Coinkite para comentar sobre la demanda y sus alegaciones. La empresa no había respondido al momento de la publicación, pero cualquier declaración recibida después se añadirá a este informe.
Coinkite, la empresa detrás de Coldcard, la billetera de hardware afectada por una vulnerabilidad en su código de generación de semillas, podría enfrentar acciones legales.
