Demandan a Coinkite por un fallo de los Coldcard: $140 M en bitcoin

Un grupo de clientes ha demandado a Coinkite, la empresa que fabrica los monederos físicos Coldcard, por un fallo de seguridad que según el escrito llevaba cinco años dentro de los aparatos. La demanda se presentó el 11 de septiembre de 2026 y está planteada como colectiva, de forma que agruparía en un mismo procedimiento a todos los compradores afectados. El núcleo de la acusación es técnico: los dispositivos generaban frases de recuperación predecibles, esa lista de palabras que resume la clave privada y con la que cualquiera puede reconstruir el monedero entero en otro aparato. Los demandantes atribuyen a ese defecto el robo de más de $140 M en bitcoin, sustraído por atacantes que, sostienen, no necesitaron tocar el dispositivo ni engañar a su propietario. Bitcoin.com publicó el caso el 22 de octubre.

Por qué una frase de recuperación predecible lo pierde todo

Un monedero físico tiene un trabajo y sólo uno: elegir un número que nadie pueda adivinar y no enseñarlo jamás. De ese número sale la frase de recuperación, y de la frase salen todas las direcciones y todas las firmas. Si el generador de azar del aparato es pobre, el universo de frases posibles se encoge: deja de ser astronómico y pasa a ser una lista que un atacante con ordenadores puede recorrer. El procedimiento es desolador por lo sencillo. Se generan frases candidatas, se derivan sus direcciones, se consulta la cadena de bloques y, cuando una tiene saldo, se firma una transferencia.

No hay phishing, ni malware, ni una llamada del falso soporte técnico. La víctima no hace nada mal. Y el daño es retroactivo: una frase débil generada hace años sigue siendo débil hoy, aunque el aparato haya estado en un cajón sin conectarse a nada. Esto es lo que distingue a este tipo de fallo de casi cualquier otro. Un firmware nuevo corrige el generador, pero no arregla una frase ya creada: para salir del agujero hay que generar una semilla distinta en un dispositivo fiable y mover los fondos a las direcciones nuevas.

Qué reclaman los compradores de Coldcard

El escrito es una demanda colectiva propuesta, la fórmula con la que un grupo reducido de demandantes pide litigar en nombre de todos los que compraron un aparato con el mismo defecto. Antes de entrar en el fondo, un tribunal tiene que decidir si acepta tramitarla así. De momento son acusaciones sin probar: lo que afirman los clientes es que Coinkite vendió dispositivos cuyas frases de recuperación podían preverse y que eso los dejó expuestos al robo, con esa cifra de más de cien millones en bitcoin como medida del daño.

El contexto hace más incómoda la demanda. Coldcard no es un aparato de consumo masivo: lo compra quien guarda bitcoin a largo plazo, quien desconfía de los exchanges y quiere firmar sin conectar nada a internet. Es, en el discurso de la autocustodia, la opción de los que se lo toman en serio. Que el reproche apunte justo a la generación de la semilla, el único paso que el usuario no puede verificar a ojo, toca el cimiento de ese argumento.

Cinco años de aparatos y un secreto que no caduca

La antigüedad del fallo es la parte que más importa a quien tiene uno de estos monederos en casa. Si el defecto estuvo activo durante cinco años, las frases nacidas en ese periodo son las que entran en el relato, y muchas se crearon en silencio, en el primer arranque, sin que su dueño apuntara la fecha. Quien sospeche que su semilla salió de un aparato de esa época tiene que tratarla como comprometida y no como dudosa: la diferencia entre las dos palabras son los minutos que tarda un script en llegar a tu dirección.

Hay una enseñanza que ya aplicábamos al comparar aparatos y que este caso subraya: la parte verificable de un monedero físico no es la caja ni la pantalla, es cómo documenta y permite auditar la generación de la semilla, incluida la posibilidad de añadir entropía propia con dados. Quien esté revisando dónde guarda sus claves tiene ahí dos lecturas útiles: la lista de seguridad ordenada por impacto y la explicación de cuándo conviene una billetera fría y cuándo una caliente.

La demanda lleva fecha del 11 de septiembre. Lo que falta es la decisión del tribunal sobre si la admite como colectiva y la versión de Coinkite sobre el detalle técnico del escrito.

Fuentes

• Coinkite Sued After Coldcard Wallet Flaw Exposes $140M in Bitcoin — Bitcoin.com, 22/10/2026

Este artículo no es una recomendación de inversión. Las criptomonedas son un activo volátil y sin cobertura de garantía de depósitos: puedes perder todo el dinero invertido.

¿Quieres ver antes nuestras noticias en Google? Añade Jukipto como fuente preferida.