Usuarios de Coldcard demandan a los fundadores de Coinkite por ignorar una advertencia de seguridad de 2025

Un cliente de Coldcard ha iniciado una demanda colectiva en Ontario contra el fabricante de billeteras de hardware Coinkite Inc. y sus cofundadores.

La acusación es que los cofundadores de Coinkite sabían que había un problema con su sistema de generación de semillas tan pronto como en mayo de 2025 y no hicieron nada al respecto.

¿Por qué están demandando a Coldcard?

Amir Reza Naderi presentó una declaración de demanda ante la Corte Superior de Justicia de Ontario. En la demanda se nombra como demandados a Coinkite Inc., Rodolfo Novak y Peter D. Gray. El expediente del tribunal, CV-26-00018158, fue emitido electrónicamente el 11 de septiembre de 2026. En él, Novak y Gray son descritos como cofundadores, directores o ejecutivos que participaron en la gestión de Coinkite y sus productos Coldcard.

Naderi afirma que perdió 1,22940052 BTC, aproximadamente 79.800 dólares, el 6 de agosto y acusa a los demandados de ser conscientes de la vulnerabilidad en su sistema desde mayo de 2025, sin advertir a los clientes. Solicita al tribunal que declare que Coinkite violó la Ley de Protección al Consumidor de Ontario.

Naderi solicita que el tribunal apruebe el caso como una acción colectiva. Si tiene éxito, pide tanto daños compensatorios como punitivos, así como la creación de un fideicomiso litigioso para distribuir el dinero que se otorgue.

Coldcard es una billetera de hardware fabricada en Canadá. Su función es generar una frase de recuperación, la serie de palabras que da acceso a las bitcoins de un usuario, y fue diseñada para hacerlo con un chip especial construido para crear números aleatorios. En marzo de 2021, una actualización de firmware trasladó silenciosamente esa tarea del hardware al software.

La configuración de Coldcard tenía desactivado el generador de números aleatorios integrado del chip, ya que Coinkite utilizaba el suyo propio. Se utilizó una herramienta de respaldo llamada Yasmarang, que depende del número de serie del chip y de un temporizador para generar sus números, para crear cada nueva semilla, lo que provocó que algunas billeteras Coldcard terminaran con frases de recuperación mucho más fáciles de adivinar de lo que deberían haber sido.

Según se informa, hubo solo alrededor de 40 bits de aleatoriedad real en las versiones Mk2 y Mk3, muy por debajo de los 128 bits que asume el estándar BIP-39.

¿Cuánto se robó a los usuarios de Coldcard?

El robo comenzó el 30 de julio de 2026. Se informó que un atacante robó aproximadamente 594 bitcoin, unos 38 millones de dólares, de unas 500 carteras en un intervalo de 25 minutos. Los informes de principios de agosto situaban las pérdidas por encima de los 88 millones de dólares y más de 1.300 BTC.

Un análisis conjunto de WeirFoulds LLP y Edmonds Marshall McMahon, publicado en Mondaq el 7 de agosto, estimó 116 millones de dólares perdidos entre más de 5.200 víctimas. Se estima que las pérdidas acumuladas superan los 140 millones de dólares.

Gran parte del bitcoin robado ha sido reunido en unas pocas direcciones que no han registrado actividad alguna.

Coinkite ha negado las alegaciones de que conocía la vulnerabilidad en mayo de 2025, escribiendo en su documento técnico de contexto publicado el 30 de julio de 2026, que estaba «al tanto del error hasta hoy» y sugirió que una parte externa podría haber utilizado inteligencia artificial para revisar su firmware de código abierto y encontrar la falla primero.

La empresa dijo que su propia revisión de código asistida por IA semanas antes lo había pasado por alto.

Coinkite ha lanzado un firmware corregido para todos los modelos afectados, pero instó a los propietarios de Coldcard a crear nuevas semillas y transferir sus fondos a ellas.

Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.