El incidente de seguridad de Coldcard y las vías de reclamación del afectado en España
- 1. Explicación del incidente
- 2. Primeras medidas a adoptar por los afectados
- 3. Cómo reclamar los importes sustraídos
- 4. Vía penal contra los que sustrajeron los fondos y pérdida patrimonial a efectos fiscales
- 5. Conclusiones
1. Explicación del incidente
1.1. Los hechos
A finales de julio de 2026, un atacante vació numerosas direcciones de Bitcoin por un valor que asciende ya a decenas de millones de euros.
Las cifras han ido creciendo los días posteriores a hacerse público el incidente, de modo que cualquier importe debe entenderse provisional.
Lo singular del caso es que no hubo intrusión. Nadie accedió a los dispositivos de las víctimas ni las engañó para que revelaran nada. Los monederos eran Coldcard, el dispositivo de autocustodia de la sociedad canadiense Coinkite Inc., y su semilla (la clave maestra de la que derivan todas las claves privadas) resultó ser calculable desde fuera.
1.2. Qué falló
Un monedero hardware existe para generar una clave que nadie pueda adivinar, y toda su seguridad descansa en la calidad del azar con que se crea. Las Coldcard incorporan un generador de aleatoriedad y lo que ocurrió es que ese generador dejó de intervenir en la creación de la semilla de forma que la generación pasó a apoyarse en un software de reserva.
La consecuencia es que la semilla no estaba generada con suficiente aleatoriedad y, por tanto, era vulnerable.
El fabricante ha reconocido cómo se produjo el error y, lo que quizás sea más grave, alguien en el grupo de Telegram literalmente señaló el problema que había con la función de aleatoriedad en 2021 y el mensaje fue ignorado.
1.3. El origen del problema. El cambio de licencia
Hasta 2020, el firmware de Coldcard se distribuía bajo licencia GPLv3, una licencia de software libre que permite a cualquiera reutilizar el código a condición de publicar también sus modificaciones. Gracias a ella, Coldcard había podido incorporar la biblioteca criptográfica de Trezor, igualmente GPL.
En julio de 2020, el fabricante Foundation Devices anunció su propio monedero, Passport, construido sobre ese firmware. Dos días después, el responsable de Coinkite manifestó públicamente que lamentaba haber elegido la GPL y anunció cambios. En noviembre de 2020 Coldcard adoptó una licencia MIT con la llamada Commons Clause, que permite leer el código pero prohíbe comercializar productos derivados, y que es incompatible con la GPL. El cambio se anunció formalmente en el firmware 3.2.1, en enero de 2021 y generó en su día bastante polémica.
Esa decisión tenía una consecuencia inevitable: había que desprenderse del código GPL heredado de Trezor.
El 1 de marzo de 2021, un único commit de 120 archivos sustituyó las bibliotecas criptográficas de Trezor por una biblioteca propia, y modificó en el mismo movimiento el código de generación de semillas. El 17 de marzo, la versión 4.0.0 anunciaba la eliminación del “último código GPL restante” y ahí entró el defecto.
La reforma de marzo de 2021 no obedeció únicamente a la licencia. Perseguía también objetivos técnicos legítimos, y quienes han reconstruido la secuencia coinciden en describir el fallo como un daño colateral de una reescritura amplia del código, no como el resultado directo y buscado del cambio de licencia. Lo que sí está documentado es que la necesidad de eliminar el código ajeno fue lo que puso en marcha esa reescritura.
Como ha señalado Miguel Vidal, al ser la nueva biblioteca de uso restringido, ningún competidor pudo reutilizarla, y el error no se propagó a otros fabricantes. Pero, por la misma razón, tampoco quedó expuesta a la revisión de terceros que sí habría tenido de haberse mantenido como software libre.
Suele decirse que el software libre es más seguro porque cualquiera puede leerlo, pero el código de Coldcard fue legible durante los cinco años en que el defecto estuvo activo y nadie reparó en él, salvo el usuario que reportó el problema en Telegram. La visibilidad, por sí sola, no equivale a auditoría: leer código ajeno es un trabajo arduo que casi nadie hace por afición.
Lo que una licencia libre aporta no es tanto que el código pueda leerse como que pueda reutilizarse, y es la reutilización la que realmente somete un programa a prueba. Una biblioteca criptográfica empleada por varios fabricantes se compila sobre placas distintas, con configuraciones distintas, por equipos distintos que la integran con supuestos distintos. En ese escenario, un error como el de Coldcard tiene muchas más probabilidades de aflorar: basta con que un segundo fabricante configure ese parámetro de otro modo, o con que un desarrollador ajeno se pregunte por qué la compilación no falla cuando debería. La biblioteca de Trezor que Coldcard sustituyó estaba precisamente en esa situación: compartida, integrada por varios fabricantes y corregida por todos ellos. Su reemplazo, en cambio, nació de uso exclusivo, se ejecutó únicamente sobre el hardware de su propio autor y solo fue revisado por quien lo había escrito. Cuando el mantenimiento de un componente crítico depende de un único equipo, sus puntos ciegos se convierten en los puntos ciegos del producto entero.
Conviene añadir que nada de esto garantiza que el software libre sea seguro: proyectos abiertos y muy utilizados han arrastrado fallos graves durante años. Lo que la licencia libre hace es eliminar un obstáculo (el jurídico) para que otros puedan encontrar el error. Coinkite optó por impedir la reutilización de su software en 2020, aunque sigue presentando su firmware como abierto y verificable y publicando el código y el procedimiento de compilación reproducible. La diferencia entre “legible” y “libre” resulta inapreciable para el comprador, pero, como se ha visto, no lo es para la seguridad del dispositivo.
1.4. Elementos a destacar
Hay fecha exacta del defecto. Consta en un repositorio público desde el 1 de marzo de 2021.
Hay una admisión del fabricante. Coinkite ha descrito su propia conducta y reconoce el error en que se incurrió, algo que para una eventual aplicación del art. 1902 del Código Civil (CC) vale más que cualquier análisis externo. Además, el problema fue reportado en Telegram.
El daño es puramente patrimonial. En principio, no hay lesión personal ni daño a otros bienes. Esta calificación, aparentemente obvia, podría suponer que se expulse el caso del régimen de responsabilidad por productos defectuosos y lo empuje hacia la culpa extracontractual.
El dies a quo puede fijarse en el 30 de julio de 2026, y para la acción extracontractual corre desde ahí el plazo de un año (art. 1968.2.º CC).
La cadena causal no está demostrada. El afectado deberá probar que su monedero se vació por este fallo y no por un error propio de custodia, que es lo que podría alegar el fabricante. Ese podría ser un verdadero cuello de botella.
2. Primeras medidas a adoptar por los afectados
Como certeramente indica Samson Mow, conviene que los usuarios afectados efectúen algunas actuaciones iniciales. Obviamente, lo primero es poner a salvo lo que se pueda, pero si los fondos ya se han perdido conviene irse preparando.
En primer lugar, hay que documentar el incidente. Conviene anotar y guardar todos los datos y detalles que conozcas, como la factura o justificante de compra, canal por el que se compró (directamente al fabricante o a un distribuidor), número de serie, modelo y versión de firmware instalada. También es conveniente anotar las direcciones afectadas, transacciones de salida, hora y bloque, y valor en euros en ese momento. Servirá para cuantificar la eventual reclamación civil, para la denuncia penal y también para el tratamiento fiscal de la pérdida. Igualmente, si los fondos están perdidos, no conviene actualizar el firmware, porque la versión instalada en el momento del vaciado es precisamente el elemento a examinar.
Es importante que no destruyas ni te deshagas de tu COLDCARD ni tu frase semilla. Consérvalas, ya que existe la posibilidad de que los fondos robados lleguen a un exchange, sean congelados y necesites demostrar la propiedad. Anota también tu PIN o inclúyelo en tu documentación. Si dejas de usarlo durante mucho tiempo, podrías olvidarlo.
Presenta una denuncia policial, ya que crea un registro oficial que es útil por varias razones, como por ejemplo si quieres deducir la sustracción como pérdida patrimonial a efectos fiscales.
Mantente alerta ante esfuerzos coordinados para rastrear los movimientos de fondos.
Interrumpe la prescripción. En España, la acción de responsabilidad extracontractual frente al fabricante prescribe al año desde que el perjudicado conoció el daño, según dispone el art. 1968.2.º del Código Civil (CC), y ese conocimiento se sitúa a finales de julio de 2026.
La reclamación extrajudicial interrumpe la prescripción (art. 1973 CC), pero solo si se acredita que llegó al destinatario. Frente a una sociedad canadiense, eso exige algo más de cuidado del habitual: burofax con acuse de recibo y certificación de contenido a su domicilio social, reforzado con envío por correo electrónico a las direcciones oficiales, preferiblemente mediante un servicio de entrega electrónica certificada.
Un requerimiento no obliga a demandar después. Mantiene abierta la puerta, que es exactamente lo que interesa mientras se aclara el alcance del incidente y si se cristaliza eventualmente una acción colectiva en Canadá.
Y quizás lo más importante: NO compartas tus datos personales, tu frase semilla ni envíes dinero a nadie que afirme poder “ayudarte a recuperar” los fondos. Los estafadores se dirigen a personas desesperadas. No tomes decisiones precipitadas. Si lo necesitas, habla con alguien que conozca la materia.
3. Cómo reclamar los importes sustraídos
En primer lugar, es preciso diferenciar entre si el afectado tiene la consideración legal de consumidor o no, pues eso afecta en gran medida las posibilidades de actuación. La consideración de consumidor es importante porque ello determina, entre otras cosas, que se pueda demandar directamente a Coinkite en España, con base en la normativa española y no tener que acudir a la jurisdicción canadiense.
En España, la Ley General para la Defensa de los Consumidores y Usuarios (LGDCU), considera consumidores a “las personas físicas que actúen con un propósito ajeno a su actividad comercial, empresarial, oficio o profesión”, así como a “las personas jurídicas y las entidades sin personalidad jurídica que actúen sin ánimo de lucro en un ámbito ajeno a una actividad comercial o empresarial”.
3.1. En caso de ser consumidor
En este supuesto, habría que diferenciar entre si se pretende reclamar directamente al fabricante (Coinkite) o a un distribuidor o vendedor europeo. Nos vamos a centrar seguidamente en el caso de demandar al fabricante pues el régimen de responsabilidad del vendedor es algo más exigente que el del fabricante y sólo responde en supuestos excepcionales.
La primera opción que se plantea es reclamar directamente al fabricante con base en la normativa de Defensa de Consumidores y Usuarios, considerando que el producto adquirido tiene la consideración de “defectuoso”. La LGDCU indica en su art. 137 que “Se entenderá por producto defectuoso aquél que no ofrezca la seguridad que cabría legítimamente esperar, teniendo en cuenta todas las circunstancias y, especialmente, su presentación, el uso razonablemente previsible del mismo y el momento de su puesta en circulación.”
El art. 135 LGDCU establece que “Los productores serán responsables de los daños causados por los defectos de los productos que, respectivamente, fabriquen o importen.”
En este caso, podemos admitir que un usuario que adquiere un hardware wallet lo hace bajo la expectativa legítima de que el sistema de generación de semillas es criptográficamente seguro y suficientemente aleatorio. Por otro lado, la admisión de Coinkite sobre el fallo en el generador de aleatoriedad desde marzo de 2021 acredita que el producto no cumplía con los estándares de seguridad desde su puesta en circulación, máxime cuando fue advertido del problema.
Pero aquí tenemos dos problemas para aplicar esta normativa. La primera es si el software tiene la consideración de “producto” para la aplicación del régimen de la LGDCU y la segunda es que normalmente el régimen de responsabilidad de la LGDCU suele enfocarse en daños personales o materiales sobre bienes de uso privado. Para daños puramente patrimoniales (como la pérdida de Bitcoin), la jurisprudencia suele derivar la reclamación hacia la responsabilidad civil general prevista en el Código Civil, apoyada por el Artículo 128 de la LGDCU, que permite la compatibilidad de acciones y que trataremos más adelante.
La consideración del software como producto
En relación con el primer punto, la consideración del software como “producto”, debemos reconocer que al día de hoy la cuestión no es todo lo clara que sería deseable. Actualmente, el art. 136 LGDCU establece que “se considera producto cualquier bien mueble, aún cuando esté unido o incorporado a otro bien mueble o inmueble, así como el gas y la electricidad.” En este sentido, el art. 59 bis LGDCU define “Bienes con elementos digitales” como “todo objeto mueble tangible que incorpore contenidos o servicios digitales o esté interconectado con ellos de tal modo que la ausencia de dichos contenidos o servicios digitales impediría que los bienes realizasen sus funciones.”
Y aquí caben dos interpretaciones. Si consideramos que el software de generación de las semillas está “unido o incorporado” al dispositivo (hardware wallet) entonces sí podemos defender la tesis de que estamos ante un producto defectuoso, pero si se estima que ese software es algo ajeno al producto o que no impide al mismo realizar sus funciones, entonces los tribunales podrían concluir que no resulta de aplicación este régimen de responsabilidad de la LGDCU.
Al respecto cabe mencionar que la Directiva (UE) 2024/2853 establece de forma inequívoca que el software es un producto, independientemente de si está grabado en un soporte material o se accede a él a través de la nube, y que los archivos de fabricación digital y los servicios conexos que controlan el funcionamiento del producto también generan responsabilidad. Pero resulta que esta Directiva no será de aplicación efectiva hasta diciembre de 2026, por lo que sus previsiones no tendrán efecto en este caso.
No obstante, incluso bajo el régimen actual de la LGDCU, la jurisprudencia tiende a una interpretación pro-consumidor. En este caso, el concepto de producto debe relacionarse necesariamente con la seguridad que este debe ofrecer. Si un dispositivo vendido para “custodia segura” falla en su algoritmo o sistema de generación de aleatoriedad, cabría calificar el producto como defectuoso porque no ofrece la seguridad legítimamente esperada. Y si se considera que el software no está amparado por el régimen de responsabilidad de la LGDCU, habría que acudir a la vía del art. 1902 CC.
Coinkite podría alegar la exoneración por “riesgos del desarrollo” (art. 140.1.e LGDCU) y que el estado de los conocimientos no permitía advertir el defecto. Pero como hemos visto, no se trataba de un límite del conocimiento técnico de 2021, era un descuido de verificación perfectamente detectable con las prácticas habituales de la época.
La naturaleza de los daños producidos y la vía del art. 1902 CC
Como decíamos antes, normalmente el régimen de responsabilidad de la LGDCU suele enfocarse en daños personales o materiales sobre bienes de uso privado, pues el art. 129 LGDCU establece que el régimen de responsabilidad previsto en esta ley “comprende los daños personales, incluida la muerte, y los daños materiales, siempre que éstos afecten a bienes o servicios objetivamente destinados al uso o consumo privados y en tal concepto hayan sido utilizados principalmente por el perjudicado.” Para daños puramente patrimoniales (como la pérdida de Bitcoin), la jurisprudencia suele derivar la reclamación hacia la responsabilidad civil general, apoyada por el Artículo 128 de la LGDCU. En este caso, la responsabilidad del fabricante no estaría determinada directamente por la consideración de “producto defectuoso” de la LGDCU, sino que habría que acudir a la vía de la responsabilidad prevista en el Código Civil en su art. 1902 al establecer que “El que por acción u omisión causa daño a otro, interviniendo culpa o negligencia, está obligado a reparar el daño causado.”
La diferencia entre el régimen de la LGDCU y el del Código Civil radica, fundamentalmente, en la carga de la prueba, pues en el segundo caso corresponde al perjudicado en mayor medida que en el primero, así como en la necesidad de acreditar la concurrencia de “culpa o negligencia”. En este caso, la admisión pública del error por parte de Coinkite y la circunstancia de que fuera advertido del problema simplifica extraordinariamente la acreditación de este extremo.
El fallo no es un problema criptográfico sofisticado ni un ataque imprevisible: es un error de comprobación en el código, introducido al reescribir el componente más sensible del producto (la generación de la semilla). Además, se introdujo en un cambio cuyo detonante fue una decisión de estrategia comercial. Todo ello refuerza notablemente el reproche culpabilístico.
Además, la jurisprudencia española ha evolucionado hacia una cierta inversión de dicha carga en sectores de alta complejidad técnica, donde suele exigirse que el proveedor de servicios demuestre que actuó con la diligencia debida. En este escenario, la admisión del fabricante de que el fallo existía desde 2021 sitúa a los afectados en una posición de ventaja procesal, ya que el defecto es un hecho admitido y no controvertido. No obstante, como decíamos antes, el afectado deberá probar que su monedero se vació por este fallo y no por un error propio de custodia, que es lo que podría alegar el fabricante.
Podría pensarse que, en este supuesto, al ejercer la acción general del Código Civil en vez de la específica de la LGDCU, no sería de aplicación el régimen de fuero y normativa aplicables en materia de consumidores y que prevalece la sumisión a Canadá prevista en las condiciones de Coinkite, es decir, que el afectado no pudiera demandar en España con base en la normativa española. No obstante, conforme a la Ley Orgánica del Poder Judicial (LOPJ), podría defenderse, con base en su art. 22 bis, que esta sumisión a Canadá no sería válida, e incluso que esta cláusula de sumisión tiene la consideración de abusiva y que por tanto es nula conforme a la LGDCU. Pero es un argumento que habría que preparar, pues seguramente Coinkite alegaría esta falta de jurisdicción de los tribunales españoles. En este sentido, si se entabla alguna comunicación con Coinkite donde ésta alegue la falta de jurisdicción española, conviene negar de forma inmediata y tajante esta afirmación, para que no pueda estimarse que hay una sumisión tácita a Canadá.
3.2. En caso de no ser consumidor
Si el afectado no tiene la consideración de consumidor la cuestión se complica bastante, pues las condiciones de Coinkite contienen una cláusula de sumisión a arbitraje (cláusula 22) en Canadá y otra en la que se establece que la normativa y jurisdicción aplicable es la canadiense (cláusula 23).
En este caso, la clave para intentar litigar en España residiría en desvincular la reclamación del “contrato” (donde está la cláusula de sumisión) y centrarla en el “hecho dañoso” (el defecto técnico que causó la pérdida), defendiendo que es algo ajeno al contrato. Ello permitiría defender la tesis de que el fuero aplicable es el del lugar donde se produjo el daño. Habría que argumentar que el fallo en el generador de números aleatorios es una negligencia técnica que rompe la esfera del contrato y sostener la aplicación del Artículo 22 quinquies de la Ley Orgánica del Poder Judicial, que establece que “…en defecto de sumisión expresa o tácita y aunque el demandado no tuviera su domicilio en España, los Tribunales españoles serán competentes: […] b) En materia de obligaciones extracontractuales, cuando el hecho dañoso se haya producido en territorio español.“
Para que un tribunal español sea competente bajo el fuero extracontractual, el daño debe haberse producido en España. La jurisprudencia en casos de fraude financiero y cárteles (como el de los camiones) tiende a situar el daño en el domicilio de la víctima, que es donde se empobrece su patrimonio.
Aplicando esta lógica, si el afectado reside en España y sus intereses patrimoniales están aquí, el “lugar donde se materializó el daño” es el territorio español. Esto permitiría, en teoría, superar la falta de domicilio de Coinkite en España. Habría que argumentar que litigar en Canadá supone una denegación de justicia de facto (por costes prohibitivos o imposibilidad material), así como una falta de consentimiento, sosteniendo que la cláusula no fue aceptada o que es una cláusula de adhesión impuesta de forma ilegítima incluso para un profesional.
A pesar de lo anterior, el mayor riesgo es que el tribunal considere que la acción extracontractual está “absorbida” por la relación contractual. Si el juez dictamina que la reclamación es, en esencia, una reclamación por el mal funcionamiento de un producto adquirido bajo unos términos y condiciones, la cláusula de sumisión a Canadá recuperaría toda su fuerza y el afectado tendría que demandar en Canadá.
4. Vía penal contra los que sustrajeron los fondos y pérdida patrimonial a efectos fiscales
Como hemos comentado, una de las actuaciones recomendables en cualquier caso es presentar una denuncia policial. Al margen del delito concreto que pueda considerarse, lo cierto es que, tal y como está actualmente la situación, es muy probable que la causa termine en sobreseimiento provisional porque no aparezcan responsables identificados, pero en cualquier caso conviene presentar la denuncia. Nunca se sabe. Y si al final se detecta que parte de los fondos acaban en un exchange, podría avanzarse en la investigación para intentar identificar a los responsables.
De todas formas, si queremos que los fondos sustraídos puedan deducirse como pérdida patrimonial a efectos tributarios, la presentación de la denuncia es imprescindible. Hay varias consultas a la Administración Tributaria que se ocupan de estas cuestiones como las V1098-20, V1579-22 y la V0780-24.
5. Conclusiones
El incidente de Coldcard reúne tres circunstancias poco frecuentes: un defecto técnico documentado con fecha cierta, que ha sido reconocido por el propio fabricante y del que fue advertido en fechas tempranas. Eso coloca al afectado en una posición de partida mejor de lo habitual en este tipo de casos. Pero conviene no confundir una buena posición de partida con una reclamación ganada: quedan por delante dos obstáculos serios (acreditar que ese monedero se vació por ese fallo, y conseguir que un tribunal español se declare competente frente a una sociedad canadiense) y ambos se juegan, en buena medida, en lo que el afectado haga en las próximas semanas.
De ahí que lo verdaderamente útil ahora sea el orden de las actuaciones.
Lo urgente: preservar la prueba. Todo lo demás depende de esto. No hay que deshacerse del dispositivo, ni de la frase semilla, ni del PIN, ni reinicializar la Coldcard, ni actualizar el firmware, porque la versión instalada en el momento del vaciado es precisamente el elemento a examinar. Conviene reunir factura o justificante de compra, canal de adquisición, número de serie, modelo, versión de firmware, direcciones afectadas, hash de las transacciones de salida, fecha, hora y altura de bloque, y cotización en euros en ese instante. Cuanto más tarde se haga esto, más difícil será reconstruirlo.
Lo importante: convertir el defecto genérico (falta de aleatoriedad) en un defecto propio (que nuestra semilla fuera una de las generadas defectuosamente). Que Coinkite haya admitido el fallo prueba que el defecto existió, no que sea la causa de la pérdida concreta de cada usuario. La buena noticia es que este extremo es técnicamente verificable: puede comprobarse si la semilla concreta pertenece al conjunto reducido de valores que el generador defectuoso podía producir. Si lo es, la relación causal deja de ser una hipótesis y pasa a ser un hecho demostrable, y con ello desaparece uno de los principales argumentos que puede utilizar la defensa del fabricante (el error de custodia del usuario). Esa comprobación debe encargarse a un perito y realizarse en entorno aislado: bajo ningún concepto debe introducirse la semilla en páginas web, formularios, chats o herramientas en línea, por técnica o solvente que parezca la fuente.
Lo inaplazable: el reloj de la prescripción. Si la acción viable acaba siendo la del art. 1902 CC, el plazo es de un año desde finales de julio de 2026. Es un plazo corto para un asunto que exige pericial y análisis de competencia internacional, de modo que el requerimiento extrajudicial no debería dejarse para el final. Debe dirigirse al domicilio social de Coinkite por un medio que permita acreditar contenido y recepción (burofax con acuse de recibo y certificación de contenido, reforzado con correo electrónico mediante servicio de entrega electrónica certificada), conservando todos los justificantes. Requerir no obliga a demandar después; solo mantiene la puerta abierta.
Lo delicado: no regalar la jurisdicción. Cualquier comunicación con el fabricante, o con sus abogados, debe redactarse asumiendo que se leerá en un futuro incidente de declinatoria. Si Coinkite invoca la sumisión a los tribunales o al arbitraje de Canadá, procede negarlo de forma expresa e inmediata, dejando constancia escrita, para evitar que el silencio se interprete como sumisión tácita. Por la misma razón, conviene tratar con cautela cualquier propuesta de indemnización parcial, formulario de compensación o adhesión a acciones colectivas en Canadá: pueden llevar aparejada una renuncia a acciones futuras o una aceptación implícita de la ley y el foro canadienses. Antes de firmar o aceptar nada, hay que leer exactamente a qué se renuncia.
Lo que conviene hacer en todo caso: denunciar. Es previsible que la causa penal termine en sobreseimiento provisional por falta de autor conocido, y esa expectativa no debe desanimar. La denuncia deja constancia oficial de la sustracción, permite reactivar la investigación si los fondos afloran en un exchange y es requisito prácticamente imprescindible para deducir la pérdida patrimonial en el IRPF conforme al criterio de la Dirección General de Tributos. Es la actuación con mejor relación entre coste y utilidad de todas las descritas.
Y lo que no debe hacerse nunca: pagar por recuperar. Alrededor de cada incidente de este tipo aparece de inmediato una segunda oleada de fraude dirigida específicamente a los afectados: supuestos servicios de recuperación, falsos despachos, técnicos que piden la semilla “para verificar”. Ninguna recuperación legítima exige entregar la frase semilla ni adelantar fondos. La prisa y el disgusto son, aquí, el principal factor de riesgo.
La unión hace la fuerza: Casi todo lo anterior sale más barato y resulta más sólido si se hace entre varios. Uno de los aspectos fundamentales es el probatorio, y la pericial que permite acreditar que una semilla concreta procede del generador defectuoso es, en su parte esencial (análisis del firmware, reconstrucción del conjunto de valores posibles, metodología de verificación), idéntica para todos los afectados: solo varía el tramo individual de cada dispositivo. Encargarla en grupo divide un coste que, en solitario, puede resultar disuasorio para quien haya perdido cantidades modestas. Lo mismo vale para el estudio de la competencia judicial internacional, para la traducción de documentación o para el seguimiento de lo que ocurra en Canadá.
España sigue sin transponer la Directiva (UE) 2020/1828, sobre acciones colectivas, y el proyecto de ley continúa en tramitación parlamentaria, de modo que no existe entre nosotros un mecanismo al que baste con adherirse. Lo que sí cabe es que varios afectados demanden conjuntamente en un mismo procedimiento (acumulación subjetiva de acciones del art. 72 LEC), encaje natural aquí porque todas las demandas se apoyarían en el mismo hecho y en el mismo título; que una asociación de consumidores asuma la representación de un grupo determinado de afectados por la vía del art. 11.2 LEC; y que se presente una denuncia conjunta en lugar de varias dispersas por media España, evitando que el asunto se fragmente en juzgados distintos que lo archiven por separado. En cualquiera de esas fórmulas conviene separar a los consumidores de quienes no lo son: su posición frente a las cláusulas de sumisión a Canadá es muy distinta y mezclarlas debilita a los primeros.
Y dos advertencias. La prescripción se interrumpe individualmente: pertenecer a un grupo, a un canal de mensajería o a una lista de afectados no interrumpe nada, y cada uno debe hacer llegar su propio requerimiento y conservar su propio justificante. Y un grupo de personas que acaban de perder bitcoin es, exactamente, el público objetivo de la segunda oleada de fraude e incluso de riesgos de seguridad física.
Como consideración final, conviene ser realista sobre el escenario probable. Ni el encaje del software en el régimen de producto defectuoso, ni la competencia de los tribunales españoles, ni la reparación íntegra del daño están garantizados: son cuestiones discutibles, y algunas de ellas se resolverán mejor cuando existan las primeras resoluciones y se conozca el alcance de las acciones colectivas que puedan prosperar en Canadá. Precisamente por eso, la estrategia razonable para el afectado no es decidir hoy si demanda, sino asegurarse de que dentro de unos meses todavía pueda hacerlo: prueba conservada, causalidad acreditada, prescripción interrumpida y jurisdicción no cedida. Quien haya hecho esas cuatro cosas conservará todas sus opciones. Quien no las haga, probablemente las habrá perdido antes de tener que elegir.
Write a comment