ABOGADO-LABORALISTA-CIVIL-BLOCKCHAIN-PROBLEM SOLVER
es
es

FALLO CATASTRÓFICO WALLET COLDCARD

Fallo Coldcard y la autocustodia sin red: por qué el derecho europeo aún no sabe a quién reclamar.

BLOCKCHAIN-CRIPTOACTIVOSDERECHO LABORAL-CIVIL

GASP VD

7/31/20269 min leer

Fallo Coldcard y la autocustodia sin red: por qué el derecho europeo aún no sabe a quién reclamar.

El robo de 38 millones de dólares en bitcoin por un defecto de firmware pone a prueba un entramado normativo que decidió, de forma consciente, no mirar hacia el propio dispositivo de autocustodia.

31 de julio de 2026

A las 1:31 de la madrugada del 31 de julio de 2026, alguien —no sabemos quién, probablemente no lo sabremos nunca— comenzó a vaciar, en apenas veinticinco minutos, quinientas carteras distintas hasta sumar 594 bitcoin, unos 38 millones de dólares al cambio de ese día. El botín no salió de un exchange comprometido ni de una custodia institucional negligente: salió de dispositivos Coldcard Mark 3, durante años presentados como la respuesta más depurada a la pregunta de cómo proteger bitcoin sin depender de un tercero. Horas después, el fabricante, la canadiense Coinkite, reconoció que su firmware llevaba desde marzo de 2021 generando frases nemónicas con una entropía sensiblemente inferior a la prometida, hasta el punto de que quien conociera el fallo podía reconstruir la clave privada sin haber visto jamás el dispositivo ni a su propietario. Conviene decirlo sin rodeos: no estamos ante un incidente de ciberseguridad que se agota en una actualización de firmware. Estamos ante un experimento involuntario, con dinero real y víctimas reales, que somete a examen un entramado normativo europeo que, sostenemos, no está preparado para responder a este tipo de siniestro, precisamente porque decidió no entrar a regular al actor que hoy debería rendir cuentas.

La autocustodia como zona franca regulatoria: lo que el Reglamento MiCA decidió no mirar

El Reglamento (UE) 2023/1114, conocido como MiCA, construyó en apenas un lustro el edificio regulatorio más ambicioso que Europa ha dedicado a los criptoactivos: emisores sujetos a autorización, proveedores de servicios sometidos a requisitos prudenciales y de gobernanza, obligaciones de salvaguarda de activos de clientes. Pero ese edificio se levantó, de forma deliberada, dejando fuera un solar completo: la autocustodia. Cuando el usuario conserva sus propias claves privadas —que es exactamente lo que promete un Coldcard—, MiCA no interviene ni en el dispositivo ni en la relación entre el fabricante y el usuario. Coinkite, por tanto, nunca tuvo que someterse a auditoría de seguridad exigida por un supervisor, nunca respondió ante una autoridad nacional competente, nunca estuvo sujeta a los requisitos de resiliencia operativa que sí pesan, por ejemplo, sobre un exchange que custodiase el mismo volumen de fondos. Ahí aparece la primera asimetría que este caso desnuda: una pérdida económicamente idéntica —38 millones de dólares— habría activado, de haberse producido en una plataforma regulada, todo un aparato de supervisión previa y de responsabilidad reforzada; producida en un dispositivo de autocustodia, solo activa las reglas generales de la responsabilidad civil, pensadas para un contexto muy distinto. Esta lectura, sin embargo, tropieza con una objeción que no cabe ignorar: exigir a MiCA que regule también el hardware de autocustodia traicionaría su propia lógica fundacional, que es justamente no interponerse entre el usuario y sus llaves. Cabe preguntarse, no obstante, si esa lógica, coherente en el plano ideológico, sigue siendo defendible cuando el fallo no proviene de una decisión del usuario, sino de un error del propio fabricante al que ese usuario confió, sin posibilidad real de auditarlo, la generación de su clave.

¿Es el firmware un producto a efectos del artículo 137 TRLGDCU? Una pregunta que factura en millones

Ante la ausencia de un régimen específico para criptoactivos, la víctima española de este fallo tendría que acudir al régimen general de responsabilidad por productos defectuosos de los artículos 128 a 146 del Real Decreto Legislativo 1/2007, que continúa transponiendo, a día de hoy, la vieja Directiva 85/374/CEE. El artículo 137.2 TRLGDCU fija un criterio en apariencia sencillo: un producto es defectuoso si no ofrece la seguridad normalmente ofrecida por los demás ejemplares de la misma serie. Aplicado a este caso, el defecto resulta casi de manual: la propia Coinkite admite que las semillas generadas entre 2021 y 2026 en la Mark 3 tenían una entropía de en torno a 2 elevado a 40, frente al estándar de 128 bits —2 elevado a 128— que el propio dispositivo publicitaba. No obstante, la cuestión no es tan simple como parece. El régimen de 2007 fue diseñado pensando en bienes muebles tangibles, y la doctrina española discute todavía si el software puro, sin soporte físico, encaja en el concepto legal de producto. Aquí, sin embargo, la dificultad se atenúa: el firmware no se distribuye de forma autónoma, sino integrado en el propio dispositivo Coldcard que el consumidor adquirió como bien mueble, de manera que el defecto de diseño del software pasa a integrar, a nuestro juicio, el defecto del producto en su conjunto. La jurisprudencia y la doctrina que analizan la responsabilidad del fabricante ante tecnología inteligente vienen aceptando esta lectura extensiva cuando el fallo de software compromete la función de seguridad que el bien físico prometía cumplir, como sucede aquí de forma casi paradigmática.

El hecho de un tercero no quiebra, en este caso, el nexo causal

Sentado que existe un defecto, el fabricante dispondría todavía de dos líneas de defensa clásicas. La primera consiste en sostener que fue un tercero —el atacante anónimo que ejecutó el barrido de fondos— quien causó el daño, rompiendo así el nexo causal entre el defecto y el perjuicio. Esta objeción, sin embargo, no resiste un análisis detenido: cuando el riesgo que se materializa es exactamente aquel que el producto debía neutralizar —que un tercero sin acceso físico ni conocimiento personal de la víctima pudiera reconstruir la clave privada—, la intervención de ese tercero no interrumpe la cadena causal, sino que la completa; es, dicho de otro modo, la ratio decidendi que subyace a buena parte de la responsabilidad objetiva por productos defectuosos, pensada precisamente para casos en los que el daño se consuma por la acción de un agente distinto del fabricante que explota el defecto. La segunda defensa, más sofisticada, invocaría la causa de exoneración del artículo 140.1.e) TRLGDCU, el llamado riesgo de desarrollo: que el estado de los conocimientos científicos y técnicos existentes en el momento de la puesta en circulación no permitía apreciar la existencia del defecto. Tampoco esta línea argumental convence. El informe técnico publicado por el equipo de ingeniería de Block —que rastreó el origen del fallo hasta un commit del 1 de marzo de 2021 en el que una comprobación de una librería auxiliar verificaba únicamente si un parámetro existía, no si estaba activado— describe un error ordinario de programación, del tipo que una auditoría de código diligente habría podido detectar, no un riesgo indetectable con el estado del arte de la criptografía. Y sin perjuicio de lo anterior, resulta significativo que el propio fabricante reconociera el fallo en cuanto fue informado, lo que, sin equivaler a una confesión de responsabilidad civil, sí despoja de plausibilidad a la tesis de la imprevisibilidad técnica.

Cláusulas de exención en los términos de uso: la nulidad que casi nadie invoca

Como es habitual en el sector, los términos de uso de Coinkite limitan de forma amplia su responsabilidad frente al usuario. No cabe ignorar, sin embargo, que el artículo 86.2 TRLGDCU declara abusivas y, por tanto, nulas de pleno derecho las cláusulas que excluyan o limiten la responsabilidad del profesional por los daños causados al consumidor por un producto defectuoso. La cláusula contractual, por más que se acepte al desprecintar el dispositivo, no puede neutralizar una norma imperativa de protección: pacta sunt servanda cede aquí ante una prohibición de orden público de protección del consumidor. Esta conclusión provisional debe matizarse, no obstante, en función del perfil del comprador: quien adquirió su Coldcard para custodiar sus propios ahorros actúa como consumidor en el sentido del artículo 3 TRLGDCU, mientras que quien lo integró en un esquema multifirma dentro de una actividad profesional o empresarial podría quedar excluido de esta protección reforzada y sujeto, en cambio, a las reglas generales —más restrictivas para el perjudicado— de la responsabilidad contractual o extracontractual comunes.

Litigar contra un fabricante canadiense: foro, ley aplicable y la sombra de 1973

Sentada la existencia de un fundamento sustantivo, la pregunta práctica no es menor: ¿ante qué tribunal, y con arreglo a qué ley, podría un usuario español reclamar a una sociedad domiciliada en Canadá? Al no estar el fabricante domiciliado en la Unión, el Reglamento Bruselas , no resuelve por sí solo la competencia judicial internacional, que habría que fundar en las reglas de origen interno sobre contratos de consumo, siempre que pueda acreditarse que Coinkite dirigió su actividad comercial hacia España —extremo razonablemente sostenible a la vista de la distribución online de sus productos—. En cuanto a la ley aplicable a la pretensión extracontractual, España es parte del Convenio de La Haya de 2 de octubre de 1973 sobre la ley aplicable a la responsabilidad por productos, que por su carácter de tratado internacional preexistente desplaza, en esta materia, al Reglamento Roma II; sus puntos de conexión —residencia habitual del perjudicado, lugar de adquisición del producto, lugar del daño— apuntan, en la mayoría de los casos previsibles, hacia la ley española. No obstante, la cuestión no es tan simple como parece: contar con fundamento jurídico y con foro competente no equivale a obtener una restitutio in integrum efectiva frente a una sociedad extranjera de tamaño reducido frente a la magnitud agregada de las reclamaciones que este episodio podría generar. La tutela judicial, aquí, corre el riesgo de convertirse en un derecho más teórico que efectivo, lo que no es un problema menor de la disciplina, sino, a nuestro juicio, su verdadera zona de sombra.

La Directiva (UE) 2024/2853: la respuesta correcta que llega tarde

Resulta casi irónico que la norma diseñada para resolver exactamente este tipo de supuesto exista ya, pero no alcance a las víctimas de julio de 2026. La Directiva (UE) 2024/2853 redefine el concepto de producto para incluir expresamente el software, atribuye relevancia a los requisitos de ciberseguridad al valorar la existencia de un defecto y permite reclamar al fabricante que no proporcione actualizaciones de seguridad suficientes tras la comercialización. Sin perjuicio de su indudable acierto técnico, su ámbito de aplicación temporal es claro: solo rige para productos puestos en circulación después del 9 de diciembre de 2026, fecha que coincide, no por azar, con el límite fijado para su transposición por los Estados miembros. El firmware defectuoso de la Coldcard Mark 3 se puso en circulación en marzo de 2021; el ataque se ha producido en julio de 2026. Ambos hechos quedan, por tanto, extramuros de la norma que mejor los habría regulado. A mayor abundamiento, esta secuencia temporal ilustra una tensión estructural del derecho de daños en materia tecnológica: la norma reacciona siempre al siniestro que ya se ha consumado, de modo que quienes hoy sufren el defecto litigarán, si litigan, con las herramientas de 1985, mientras que quienes sufran el próximo defecto —porque lo habrá— litigarán ya con las de 2024. No cabe reprochar al legislador esa secuencia, inherente a cualquier proceso normativo; sí cabe, en cambio, preguntarse si no convendría arbitrar mecanismos de aplicación anticipada o transitoria para siniestros de esta escala, ya identificados en el momento de la transposición.

Una autocustodia sin red: la tensión que el derecho todavía no ha resuelto

El lema que ha acompañado durante una década a la cultura de la autocustodia —"no son tus llaves, no son tus bitcoin"— descansa sobre una atribución total de responsabilidad al usuario, a cambio de una promesa de soberanía plena sobre sus fondos. Ese mismo discurso, no obstante, ha desincentivado durante años cualquier intento de imponer una supervisión regulatoria mínima sobre los propios dispositivos que generan y custodian esas llaves, por entenderse contraria al espíritu del proyecto. El episodio de la Coldcard Mark 3 revela el punto ciego de ese equilibrio: cuando el fallo no procede de una decisión del usuario —que hizo, en la mayoría de los casos analizados, exactamente lo que se le recomendaba hacer—, sino de un error del fabricante en el que confió sin posibilidad real de auditarlo, la retórica de la responsabilidad individual se vuelve insuficiente, y el derecho de daños, huérfano de un marco regulatorio ex ante como el que sí existe para la custodia institucional, queda como único —y frágil— cauce de reparación. Queda abierta, y no es una pregunta retórica, si la próxima generación de normas sobre criptoactivos deberá atreverse a diseñar, al margen de MiCA y sin traicionar el ideal de la autocustodia, un estándar mínimo de certificación de seguridad para el hardware que hoy nadie audita salvo, como en este caso, después del desastre.

Gasp VD.

Referencias