Un cable de noticias suministrado indica que Coinkite y sus cofundadores, Rodolfo Novak y Peter D. Gray, enfrentan una propuesta de acción colectiva en Ontario por presuntas fallas en el firmware de Coldcard vinculadas con la generación de semillas. Según el cable, la demanda busca la certificación como acción colectiva y una indemnización, mientras que extractos posteriores atribuidos a Coinkite y Block describen el problema reportado como una falla de aleatoriedad que afecta la creación de semillas en determinadas ramas de firmware de Coldcard.

Qué cubriría presuntamente la demanda de Ontario

La evidencia disponible permite una conclusión acotada sobre el estado del caso. El cable suministrado afirma que Coinkite y sus cofundadores enfrentan una propuesta de acción colectiva en Ontario que alega que el firmware estándar de Coldcard utilizaba un generador de números pseudoaleatorios de software predecible, en lugar de un generador de números verdaderamente aleatorios. Esto habría hecho reproducibles las frases de recuperación y expuesto a los usuarios a posibles accesos no autorizados.

El mismo reporte sostiene que la demanda procura la certificación como acción colectiva y una indemnización, e incluye acusaciones en virtud de la Ley de Protección al Consumidor, la Ley de Compraventa de Bienes, negligencia e incumplimiento contractual. Lo que no está acreditado es algún paso judicial posterior: la investigación suministrada no identificó una presentación judicial legible coincidente, una anotación en el expediente, una resolución de certificación ni una audiencia programada. Por eso, el caso puede describirse como una propuesta de acción colectiva reportada, pero no como un proceso colectivo certificado ni como un caso de defecto validado por un tribunal.

Qué rangos de firmware de Coldcard se describen como afectados

Los extractos de fuentes posteriores son más específicos que el cable sobre el alcance en los productos. Un extracto de resultados de búsqueda atribuido a Coinkite señala que el problema estuvo presente en las versiones de firmware 4.0.1 a 4.1.9 de Mk2 y Mk3. También habría afectado las semillas generadas en Mk4 y Mk5 antes de la versión estándar 5.6.0 o la versión Edge 6.6.0X, y en Q antes de la versión estándar 1.5.0Q o la versión Edge 6.6.0QX. El mismo extracto indica que el impacto en Mk4, Mk5 y Q fue menos grave que en los modelos más antiguos, aunque siguió siendo serio.

Un extracto de resultados de búsqueda del Block Engineering Blog describe el mecanismo reportado en términos más técnicos: el firmware de Coldcard contenía un error de integración del RNG que hacía que ngu.random usara una alternativa determinista de MicroPython en vez del generador de números aleatorios de hardware STM32. Esto es relevante porque encuadra el problema como una debilidad en la generación de semillas, y no como prueba de que todas las funciones de Coldcard o todos los estados de los dispositivos hayan sido comprometidos.

El extracto de Coinkite también establece un límite importante: señala que el problema afectaba la entropía generada por el dispositivo y no eliminaba la entropía independiente aportada mediante dados durante la creación de la semilla. Esto no resuelve la exposición de cada billetera en particular, pero sí acota el riesgo reportado a la forma en que se creó la semilla. Sin embargo, persiste una discrepancia: un extracto de una prueba de concepto de GitHub de un tercero enumera para Mk2 y Mk3 las versiones de 4.0.0 a 4.1.9, mientras que el extracto de Coinkite comienza en 4.0.1. Esa diferencia en el límite inferior debe considerarse no resuelta.

Qué falta para aclarar el estado del caso

El próximo documento decisivo sería una presentación judicial legible de Ontario, una anotación en el expediente o una página del estudio jurídico de los demandantes que identifique el proceso. Eso permitiría establecer la carátula, la fecha de presentación, la definición de la clase propuesta y si efectivamente se presentó o programó alguna solicitud de certificación.

Hasta entonces, la distinción más útil respaldada por la evidencia es sencilla: en este conjunto de fuentes, el estatus jurídico se mantiene en el nivel de una propuesta de acción colectiva reportada, mientras que el problema de seguridad se describe de forma más concreta en extractos posteriores sobre las ramas de firmware afectadas y el alcance de la generación de semillas.