«Iremos a la justicia»: víctimas en Brasil preparan una demanda masiva a Coinkite

Cuando la pantalla de su teléfono móvil mostró una transferencia no autorizada cerca de la medianoche, Felipe Ojeda comprendió que el balance de diez años de trabajo acababa de reducirse a cero.

Los fondos en bitcoin (BTC) que mantenía almacenados en su domicilio en Brasil, en una hardware wallet Coldcard fabricada por la empresa canadiense Coinkite para operar aislada de internet, se habían transferido a una dirección desconocida.

En una transmisión en vivo a través de su canal de YouTube, Bitcoin Liberdade, Ojeda expuso el impacto de detectar la transacción que le dejó sin sus BTC:

No he podido ni llorar de la furia que tengo. Tengo la garganta seca. Cuando empiezo a pensar en esto, me quedo sin aire. Llevo dos noches sin poder dormir bien. Fueron diez años de trabajo. Es desesperante. Y lo que más me molestó fue ver al fundador de esta empresa, en los primeros momentos, desestimando los reclamos en X (antes Twitter).

Felipe Ojeda.

Brasil, el epicentro de la resistencia

Como el de Ojeda hay miles de casos. Los análisis de la firma de investigación Galaxy Research sitúan la cifra confirmada de bitcoin drenados en 1.596, equivalentes a aproximadamente 100 millones de dólares según los precios actuales.

Una cuarta oleada de ataques, aún en investigación, podría elevar el total a 2.055 BTC. El origen de esta pérdida masiva se remonta a marzo de 2021. Ocurrió cuando un error de compilación en el firmware de Coldcard redujo la entropía de las semillas de 256 bits a apenas 40 bits en los modelos más afectados, el equivalente a una clave de tres palabras. Esto permitió a los atacantes descifrar las combinaciones mediante fuerza bruta en menos de un segundo.

Ojeda, uno de los principales promotores de Bitcoin en Brasil con más de diez años de experiencia, había elegido Coldcard precisamente por su reputación. Él confió en que era el dispositivo que la comunidad señalaba como el más seguro, el «cofre de guerra» para guardar el capital a largo plazo.

Nunca compartió sus claves. Tampoco lo conectó el dispositivo a internet. Su wallet era lo que en el argot llaman «de padre santo». Solo recibía, tal como otras víctimas anteriormente reportadas por CriptoNoticias.

Y, sin embargo, los fondos se fueron.

Ahora, su canal de YouTube se ha convertido en el punto de encuentro para las víctimas de habla portuguesa y española. Ojeda asegura haber presentado una denuncia policial. Y, desafiando los dogmas de la comunidad Bitcoin, anunció que demandaría a Coinkite.

Ya presenté el boletín de ocurrencia. Voy a procesar a Coinkite. Si alguien dice que soy menos ‘ancap’ [anarcocapitalista] por apelar al Estado, que rechacen mi decisión si quieren. Esto no es una apelación al Estado, es una exigencia de responsabilidad civil. Ellos vendieron un producto defectuoso y lo sabían. No voy a recibir nada porque la empresa vale menos que los bitcoin robados, pero quiero que se sepa que este caso no puede quedar impune. La próxima vez que una empresa quiera vender un cofre sin mostrar cómo funciona, la comunidad recordará esto.

Felipe Ojeda.

Esa frase resume el dilema: ¿demandar a un fabricante es traicionar la autocustodia o es simplemente exigir responsabilidad por un producto defectuoso?

Ojeda asegura que abogados especializados en derecho tecnológico y protección al consumidor en Brasil evalúan las vías legales para impugnar las cláusulas de exención de responsabilidad de Coinkite. Sus argumentos son que un defecto crítico de fábrica en un dispositivo de seguridad podría vulnerar las normas de protección al consumidor.

Por esa razón está impulsando la creación de un grupo de víctimas para presentar una demanda colectiva contra la empresa fabricante. Su razonamiento es que, al haber reconocido el error, Coinkite «no tiene defensa» en cuanto al fallo en sí mismo.

¿Qué esperar en tribunales?

La decisión de acudir a los tribunales abre un complejo debate legal y regulatorio sobre la naturaleza de las wallets frías:

Por un lado, como señala la abogada Cristina Carrascosa, Coinkite carece de responsabilidad regulatoria sobre la custodia de los fondos. Al no ser un proveedor de servicios de activos virtuales (CASP o custodia centralizada), no pesa sobre la empresa una obligación legal directa de restituir el capital robado. Además, demostrar en juicio que la compañía pudo haber previsto el vector de ataque exacto constituye un obstáculo procesal severo.

El origen de la tragedia, para Ojeda, tiene un culpable moral claro: la decisión de Coinkite de cerrar su código fuente en 2021, después de que un competidor utilizara su código abierto. En una de las metáforas más potentes que ha circulado en la comunidad, Ojeda sentencia:

Coldcard no falló en el talón de Aquiles; falló en el saco de Adán. No fue un error periférico. Fue en el centro mismo de su razón de ser: la generación de claves. La empresa lucró con la confianza de la comunidad durante años con código abierto. Pero cuando un competidor usó su código, se enfadaron, lo cerraron e introdujeron la actualización que contenía el error mortal justo en la parte que ya no podíamos revisar. Si el código hubiera seguido siendo abierto, alguien habría visto esa línea maldita en meses, no en cinco años. Nos quitaron la posibilidad de verificar y nos vendieron un candado roto.

Felipe Ojeda.

En efecto, Coinkite cerró el código que la comunidad había auditado durante años e introdujo el error en la parte que ya no podía ser revisada. El investigador de seguridad y cofundador de Casa, Jameson Lopp, respalda esta preocupación de fondo. Él destaca el hecho de que el «no confíes, verifica» es un lujo que el 99,9% de los usuarios no puede permitirse.

Y cuando una empresa cierra el código precisamente para impedir esa verificación, la confianza se convierte en un acto de fe.

La respuesta de Coinkite: disculpas, pero sin compensación

El 31 de julio, Coinkite emitió un comunicado oficial en el que reconoció «toda la responsabilidad por el fallo del firmware», ofreció disculpas y recomendó migrar los fondos a nuevas semillas generadas con firmware actualizado. Advirtió que actualizar el dispositivo no repara una semilla ya creada con versiones vulnerables.

Consultada por CriptoNoticias sobre posibles compensaciones, un programa de remediación o el número estimado de usuarios aún en riesgo, la empresa no respondió a esas preguntas específicas. Se limitó a reiterar instrucciones técnicas y remitir a su blog oficial.

Sin embargo, en su blog no responde a la pregunta que millones de afectados se hacen: ¿quién paga?

Al respecto, la abogada venezolana Ana Ojeda, especializada en derecho tecnológico y protección al consumidor, sostiene que, aunque Coinkite incluye cláusulas de exención de responsabilidad y arbitraje en Ontario, estas no son inexpugnables.

La abogada señala que Coldcard no se vendía como un simple dispositivo, sino como una infraestructura de alta seguridad con «entropía de buena calidad» y «protección de primer nivel».

Esa promesa de seguridad, junto con un defecto en el mecanismo central del producto y un patrón de pérdidas vinculado técnicamente a ese defecto, constituye la base para una demanda por producto defectuoso y negligencia profesional.

Los tribunales, explica, podrían interpretar esto no como «usted sabía que las criptomonedas eran riesgosas», sino como «usted compró un producto de seguridad defectuoso». Si bien no existe un derecho automático a la compensación total, los contratos, la naturaleza de la autocustodia y los litigios internacionales complican el camino.

El caso sienta las bases para un precedente importante. Resalta que no se puede vender máxima seguridad, fallar en el núcleo de esa seguridad y luego pretender quedar protegido por cláusulas genéricas. El objetivo no es solo una compensación económica, el patrimonio de Coinkite no cubriría el total robado, sino establecer ese principio para toda la industria.