Puntos clave de la noticia:
- Coinkite enfrenta una demanda colectiva por una vulnerabilidad en sus billeteras Coldcard, vinculada al robo de Bitcoin por $140 millones.
- La denuncia sostiene que un error de firmware introducido en 2021 provocó que algunos dispositivos generaran frases de recuperación predecibles durante más de cinco años.
- La empresa publicó una corrección en julio de 2026, pero los usuarios afectados también debían generar nuevas frases de recuperación y transferir sus fondos.
Coinkite enfrenta una demanda colectiva propuesta en Canadá por una vulnerabilidad de seguridad en sus billeteras físicas Coldcard, que habría permitido el robo de más de $140 millones en Bitcoin. La denuncia acusa a la compañía de distribuir dispositivos capaces de generar frases de recuperación predecibles.
La demanda fue presentada el 11 de septiembre ante el Tribunal Superior de Justicia de Ontario. Incluye como demandados a Coinkite y a sus cofundadores, Rodolfo Novak y Peter D. Gray.
El demandante, Amir Reza Naderi, sostiene que una actualización de firmware publicada en marzo de 2021 comprometió la seguridad de las billeteras durante más de cinco años. Según la denuncia, los atacantes podían reconstruir claves privadas sin acceder físicamente a los dispositivos.
Coinkite habría utilizado un generador de números predecible
El problema se habría originado en un error de integración del firmware que provocó que determinados dispositivos utilizaran el generador de números seudoaleatorios Yasmarang de MicroPython, en lugar del generador de aleatoriedad basado en hardware.
Esto habría reducido la seguridad de las frases de recuperación, utilizadas para restaurar el acceso a los Bitcoin almacenados en las billeteras.
Según la demanda, los atacantes comenzaron a explotar la vulnerabilidad el 30 de julio de 2026 y sustrajeron aproximadamente 594 BTC, valorados en $38 millones, en apenas 25 minutos.
Los robos posteriores elevaron las pérdidas denunciadas por encima de $140 millones. Naderi afirma que perdió 1,22940052 BTC, equivalentes a unos $79.764, mediante transferencias no autorizadas el 6 de agosto.
La denuncia también sostiene que el ingeniero James O’Beirne había advertido a Coinkite sobre el problema en mayo de 2025.
La actualización de firmware no protegía las frases anteriores
Coinkite divulgó públicamente la vulnerabilidad el 30 de julio y publicó un firmware correctivo al día siguiente.
Sin embargo, actualizar el dispositivo no era suficiente para proteger las frases de recuperación generadas anteriormente. Los usuarios también debían crear nuevas frases y transferir sus Bitcoin a direcciones seguras.
Los demandantes alegan que la empresa no notificó directamente a los clientes afectados, pese a disponer de sus datos de contacto.
La demanda abarca a compradores particulares de los modelos Coldcard Mk2, Mk3, Mk4, Mk5 y Q. Reclama indemnizaciones compensatorias y punitivas, además de otras medidas judiciales.
El proceso todavía no ha sido admitido como demanda colectiva y las acusaciones no han sido probadas ante un tribunal. Tampoco se han concedido indemnizaciones. Coinkite no se ha proclamado al respecto.
