Según un boletín informativo proporcionado, Coinkite y sus cofundadores, Rodolfo Novak y Peter D. Gray, enfrentan una propuesta de demanda colectiva en Ontario por presuntas fallas del firmware de Coldcard vinculadas con la generación de semillas. El boletín indica que la demanda busca la certificación como acción colectiva y una indemnización, mientras que extractos posteriores atribuidos a Coinkite y Block describen el problema reportado como una falla de aleatoriedad que afectaba la creación de semillas en determinadas ramas de firmware de Coldcard.

Qué abarcaría presuntamente la demanda de Ontario

La evidencia actual solo permite una conclusión limitada sobre el estado del caso. El boletín proporcionado afirma que Coinkite y sus cofundadores enfrentan una propuesta de demanda colectiva en Ontario que alega que el firmware estándar de Coldcard utilizaba un generador de números seudoaleatorios de software predecible, en lugar de un generador de números verdaderamente aleatorios. Esto habría permitido reproducir las frases de recuperación y expuesto a los usuarios a posibles accesos no autorizados.

El mismo reporte señala que la demanda busca la certificación como acción colectiva y una indemnización, e incluye alegaciones bajo la Ley de Protección al Consumidor, la Ley de Venta de Bienes, negligencia e incumplimiento de contrato. Lo que no está acreditado es algún paso judicial posterior: la investigación proporcionada no identificó una presentación judicial legible coincidente, una anotación en el expediente, una resolución de certificación ni una audiencia programada. Por ello, el caso puede describirse como una propuesta de demanda colectiva reportada, pero no como un proceso colectivo certificado ni como un caso de defecto validado por un tribunal.

Qué rangos de firmware de Coldcard se describen como afectados

Los extractos de fuentes posteriores son más específicos que el boletín sobre la demanda en cuanto al alcance de los productos. Un extracto de resultados de búsqueda atribuido a Coinkite indica que el problema estuvo presente en las versiones de firmware 4.0.1 a 4.1.9 de Mk2 y Mk3. También habría afectado las semillas generadas en Mk4 y Mk5 antes de la versión estándar 5.6.0 o de la versión Edge 6.6.0X, y en Q antes de la versión estándar 1.5.0Q o de la versión Edge 6.6.0QX. El mismo extracto sostiene que el impacto en Mk4, Mk5 y Q fue menos grave que en los modelos más antiguos, aunque siguió siendo serio.

Un extracto de resultados de búsqueda del Blog de Ingeniería de Block describe el mecanismo reportado en términos más técnicos: el firmware de Coldcard contenía un error de integración del RNG que hacía que ngu.random utilizara una alternativa determinista de MicroPython, en vez del generador de números aleatorios por hardware STM32. Esto es relevante porque sitúa el problema como una debilidad en la generación de semillas, no como prueba de que todas las funciones de Coldcard o todos los estados de los dispositivos hayan sido comprometidos.

El extracto de Coinkite también establece un límite importante: señala que el problema afectaba la entropía generada por el dispositivo y no eliminaba la entropía independiente aportada con dados durante la creación de la semilla. Esto no determina la exposición de cada billetera individual, pero sí acota el riesgo reportado a la forma en que se creó una semilla. Sin embargo, un detalle sigue sin resolverse: un extracto de una prueba de concepto de terceros en GitHub enumera las versiones de Mk2 y Mk3 desde la 4.0.0 hasta la 4.1.9, mientras que el extracto de Coinkite comienza en la 4.0.1. Esta diferencia en el límite inferior debe considerarse no resuelta.

Qué falta para aclarar el estado del caso

El siguiente documento decisivo sería una presentación judicial legible en Ontario, una anotación en el expediente o una página del caso del bufete de abogados de los demandantes que identifique el proceso. Eso permitiría establecer la carátula del caso, la fecha de presentación, la definición propuesta de la clase y si alguna solicitud de certificación realmente se presentó o fue programada.

Hasta entonces, la distinción más útil respaldada por la evidencia es sencilla: el estatus legal se mantiene en el nivel de una propuesta de demanda colectiva reportada dentro de este conjunto de evidencias, mientras que el problema de seguridad se describe de forma más concreta en extractos de fuentes posteriores sobre las ramas de firmware afectadas y el alcance de la generación de semillas.