Una alerta informativa facilitada señala que Coinkite y sus cofundadores, Rodolfo Novak y Peter D. Gray, se enfrentan a una propuesta de demanda colectiva en Ontario por presuntos fallos del firmware de Coldcard relacionados con la generación de semillas. Según la alerta, la demanda solicita la certificación como acción colectiva y una indemnización; extractos posteriores atribuidos a Coinkite y Block describen el problema comunicado como un defecto en la aleatoriedad que afecta a la creación de semillas en determinadas ramas de firmware de Coldcard.

Qué se alega que cubre la demanda de Ontario

Las pruebas disponibles solo permiten una conclusión limitada sobre la situación procesal. La alerta facilitada afirma que Coinkite y sus cofundadores se enfrentan a una propuesta de demanda colectiva en Ontario que sostiene que el firmware estándar de Coldcard empleaba un generador de números pseudoaleatorios por software predecible, en vez de un generador de números aleatorios auténticos. Ello habría permitido reproducir las frases de recuperación y expuesto a los usuarios a posibles accesos no autorizados.

El mismo informe indica que la demanda solicita la certificación como acción colectiva y una indemnización, e incluye alegaciones en virtud de la Ley de Protección del Consumidor, la Ley de Compraventa de Bienes, negligencia e incumplimiento contractual. Lo que no se ha acreditado es ningún paso judicial posterior: la investigación facilitada no identificó ningún escrito judicial legible, anotación en el expediente, resolución de certificación ni vista señalada que coincidiera con el caso. Por tanto, puede describirse como una propuesta de demanda colectiva comunicada, pero no como una acción colectiva certificada ni como un caso de defecto validado judicialmente.

Qué versiones de firmware de Coldcard se describen como afectadas

Los extractos posteriores de las fuentes concretan más que la alerta de la demanda el alcance por productos. Un extracto de resultados de búsqueda atribuido a Coinkite indica que el problema estaba presente en las versiones de firmware 4.0.1 a 4.1.9 de Mk2 y Mk3. También habría afectado a las semillas generadas en Mk4 y Mk5 antes de la versión estándar 5.6.0 o de la versión Edge 6.6.0X, y en Q antes de la versión estándar 1.5.0Q o de la versión Edge 6.6.0QX. El mismo extracto señala que el impacto en Mk4, Mk5 y Q fue menos grave que en los modelos antiguos, aunque siguió siendo serio.

Un extracto de resultados de búsqueda del blog de ingeniería de Block describe el mecanismo comunicado en términos más técnicos: el firmware de Coldcard contenía un error de integración del RNG que hacía que ngu.random utilizase una alternativa determinista de MicroPython en lugar del generador de números aleatorios por hardware STM32. Esto es relevante porque sitúa el problema como una debilidad en la generación de semillas, no como prueba de que todas las funciones de Coldcard o todos los estados de los dispositivos se vieran comprometidos.

El extracto de Coinkite también establece un límite importante: afirma que el problema afectaba a la entropía generada por el dispositivo y no eliminaba la entropía independiente aportada mediante dados durante la creación de la semilla. Esto no resuelve la posible exposición de ninguna cartera concreta, pero sí acota el riesgo comunicado a la forma en que se creó la semilla. Sin embargo, un detalle sigue sin aclararse: un extracto de una prueba de concepto de terceros en GitHub enumera las versiones de Mk2 y Mk3 desde la 4.0.0 hasta la 4.1.9, mientras que el extracto de Coinkite comienza en la 4.0.1. Esta discrepancia en el límite inferior debe considerarse no resuelta.

Qué falta para aclarar la situación del caso

El próximo documento decisivo sería un escrito judicial legible de Ontario, una anotación en el expediente o una página del despacho de abogados de los demandantes que identificase el procedimiento. Eso permitiría establecer la denominación del caso, la fecha de presentación, la definición propuesta de la clase y si realmente se ha presentado o programado alguna solicitud de certificación.

Hasta entonces, la distinción más útil respaldada por las pruebas es sencilla: la situación jurídica se mantiene en el nivel de una propuesta de demanda colectiva comunicada dentro de este conjunto de evidencias, mientras que el problema de seguridad se describe de forma más concreta en extractos posteriores sobre las ramas de firmware afectadas y el alcance de la generación de semillas.