Comentado por Guillermo Agustín Peyrano: La protección de los usuarios de exchanges centralizados.
En Buenos Aires, a los 29 días del mes de diciembre de dos mil veintitrés reunidos los Señores Jueces de Cámara en la Sala de Acuerdos, fueron traídos para conocer los autos seguidos por: “D. C., T. A. C/ CRYPTOMKT S.A. S/ ORDINARIO”, en los que según el sorteo practicado votan sucesivamente los jueces Ángel O. Sala y Miguel F. Bargalló. El doctor Hernán Monclá no suscribe la presente por encontrarse recusado (R.N.J. 109).
Estudiados los autos, la Cámara plantea la siguiente cuestión a resolver:
¿Es arreglada a derecho la sentencia definitiva de la anterior instancia apelada?
El doctor Ángel O. Sala dice:
I. La sentencia dictada el 27.12.22 desestimó la demanda deducida por T. A. D. C. contra CRYPTOMKT S.A. en la cual se pretendió el reclamo de la suma de U$S 28.130 o el equivalente a “58 ETHEREUMS”, al momento del efectivo pago con más intereses y costas fundado en que no se detectó la dirección de la billetera de destino. Impuso las costas en el orden causado habida cuenta la novedad sobre la materia y la existencia de páginas de internet que alientan este tipo de reclamo que pudieron generar en el actor la convicción de asistirle el derecho a accionar como lo hizo.
Para resolver en el sentido indicado, la sentenciante comenzó por señalar que no existe discusión en cuanto a que el actor transfirió el 26.03.18 la cantidad de 58 ETH a la dirección …, operación que generó el saldo que puede advertirse del link https://etherscan.io/address/0x045a7889e58094e2dad41c7649b0d 1be123e600c; y que la dirección de billetera de destino (wallet) –cuya creación sobre la base de una derivación algorítmica a partir de una secuencia aleatoria de 32 bytes– fue ingresada con un error involuntario en el carácter número 12 en el que se consignó 5 cuando debió decir 4 en la dirección de una wallet de Coinomi de su propiedad.
En ese contexto, la cuestión se ciñe en analizar si existió responsabilidad de la demandada al no haber arbitrado los medios necesarios para que se utilice el mecanismo de control EIP 55 que emplean otras exchanges que le hubiera permitido detectar el error en la dirección y si se configuró un supuesto de publicidad engañosa, al promocionar la actividad como segura cuando no lo era o si existió culpa del actor al colocar erróneamente los caracteres de la cuenta destino.
Expuso que en el caso, no resultó técnicamente posible la utilización del protocolo de EIP 55, que consiste en una verificación de cada uno de los dígitos de la billetera o wallet a fin de detectar errores en las direcciones; pues este procedimiento solo se puede utilizar válidamente si la verificación de la dirección está escrita con combinación de mayúsculas y minúsculas y no como en el caso de que están escritas todas en minúsculas.
En ese marco, precisó con base en el peritaje informático que aunque estén todas las cuentas en minúsculas sí poseen los dígitos hexadecimales, son válidas a pesar de no haber forma de determinar si se trata de una dirección correspondiente a una persona que la generó o no.
Así no resultando técnicamente posible la aplicación de dicho protocolo, y en tanto existió un error involuntario del actor al ingresar los datos de la wallet a la que quería transferir los 58 ETH, es que no se advierte fundamento para atribuir responsabilidad a la demandada.
Expuso que no se aprecia conculcado el derecho de información, en tanto que su pretensión de ser advertido que cualquier error suyo podría privarlo de los fondos de manera definitiva deviene excesiva, ya que –conforme es de público conocimiento y surge en el peritaje informático– si bien toda billetera es pública, solo su propietario puede abrirla con su clave privada y hacer retiros de ella. Y dicha advertencia surge de la lectura de los comentarios de los usuarios de la página de ETHEREUS que está a disposición de los consumidores y de la página de la demandada en la que se advierte que el envío accidental de criptomonedas a una dirección de cartera errónea suele ocurrir frecuentemente, una transacción enviada en Ethereum es irreversible, a menos que conozca al propietario de la dirección y pueda convencerle que se le devuelva los fondos, no habrá manera de recuperarlos.
Juzgó que no mediaba tampoco, publicidad engañosa, en tanto que la seguridad que promociona la empresa se refiere a aspectos vinculados con el resguardo de wallets y la provisión de plataformas que impidan o dificulten la realización de estafas por terceros, situaciones que ni siquiera fueran denunciadas en el sub lite.
Por último, precisó que la imposibilidad de la demandada de “restituir” los ETH erróneamente remitidos a la dirección equivocada o de revertir aquélla operación que integra el bockchain predica acerca de la privacidad y resguardo de las wallets a la que solo puede acceder el titular con la clave privada que hubiese generado.
II. Apeló el actor. Su recurso obra fundado el 12.04.23, que mereciera la réplica de la demandada el 08.05.23. De su lado esta parte fundó su recurso el 24.04.23, respondidos el 05.05.23.
El recurrente señala que la sentencia de primera instancia se apartó de lo dictaminado por el perito informático quien sostuvo que la plataforma vigente al momento en que se efectuó la transferencia de los 58 ETHEREUM no se encontraba disponible cuando tuvo lugar la pericia por lo cual no se pudo determinar si en dicho lapso de tiempo CrytoMKT implementaba el EIP55 y de cómo efectivamente se escribió la dirección en la solapa “billetera destino” en la plataforma de CryptomKKT.
Agrega que sin importar como se ingrese la dirección (ej. Consignando sólo minúsculas), el cálculo de EIP55 se puede efectuar siempre basta con que el Exchange decida o no ejecutar la script; y en el sub examine se omitieron deliberadamente ejecutar los controles por cuanto la dirección fue ingresada solo con caracteres de minúscula.
Es decir, que teniendo disponibles los mecanismos de seguridad para prevenir la pérdida de los fondos de los usuarios de la plataforma, deliberadamente optó por no ejecutarlos. Sostiene que se violó el deber de información en tanto la demandada omitió informar en su portal web respecto de los riesgos derivados de la utilización de la plataforma para operar con ETHEREUM.
Expone que lo que existió fue una publicidad engañosa en tanto que en su portal web la demandada enfatiza que las operaciones a través de su plataforma se realizan de manera rápida y segura, cuando ello no fue debidamente cumplimentado. Si se hubiera actuado con responsabilidad y seriedad que la labor impone, se hubieran ejecutado los controles disponibles en todos los casos a los efectos de evitar los hechos como los acontecidos en el sub-examine.
La demandada se agravia en cuanto a la forma en que se distribuyeron las costas y solicita que sean impuestas al actor en su carácter de vencido.
III. La Sra. Fiscal de Cámara dictaminó que al no encontrarse verificado el incumplimiento del deber de seguridad, tampoco será acertada la afirmación respecto de que la proveedora en cuestión había incluido una publicidad engañosa acerca de la seguridad del sistema. Sin perjuicio de ello, considera que resultaba de vital importancia la información en cuestión a los efectos de la operación efectuada por el consumidor y ello no se aprecia cumplido por la demandada, razón por la cual propuso la revocación del fallo.
IV. En primer término cabe señalar que el recurrente no controvirtió el punto principal que tuvo la sentenciante para fallar del modo en que lo hizo.
Véase que allí se señaló que el propio actor al interponer la demanda reconoció que existió un error involuntario en cuanto existió una diferencia en uno de los dígitos de la cuenta (ver demanda), en tanto la dirección de la billetera destino fue formulada …, cuando en el carácter número 12 en el que se consignó 5 debió decir 4 y debió haber habido una discriminación entre mayúsculas y minúsculas y solo se consignó la dirección en esta última forma.
Es decir, que este error que cometió el actor es el que generó que la transferencia del dinero a otra cuenta destino diferente.
En ese contexto, es que adquiere relevancia lo dictaminado por la perito en informática quien señaló que la aplicación del protocolo EIP55 (que consiste en verificar cada uno de los caracteres de la billetera), solo es posible que se verifique si la dirección fuera escrita con mayúsculas y minúsculas (no como en el caso en que fuera escrita toda en minúsculas).
Así expresó: “…en base a las secuencias de mayúsculas y minúsculas se puede aplicar el algoritmo, se obtiene un checksum que permite determinar la escritura correcta de la dirección, si son solo minúsculas el algoritmo de validación de EIP55 no se puede aplicar, es decir, que no valida a través del algoritmo, no obstante el sitio indica como que se trata de una cuenta válida (se ve recuadrada en verde). Todas las cuentas en minúsculas siempre que posean dígitos hexadecimales (del 0 al 9 y de la a la f) son válidas porque no hay forma de validar si esa dirección corresponde a la persona que la generó o no. Es decir que la creación de billeteras se basa en hashes a través de una llave privada y ese proceso no requiere internet por eso nunca se sabe si una billetera tiene una persona detrás que pueda abrirla, pero sí que exista una llave que pueda abrirla. En el caso de aquéllos proveedores de servicios que decidan utilizar la funcionalidad EIP55 es válida siempre y cuando existe por lo menos una letra en mayúscula…” (ver dictamen informático).
En ese marco, en tanto también está reconocido por el propio actor al demandar que la dirección se había escrito toda en minúsculas, no resulta relevante a los fines de controvertir lo señalado por la sentenciante el hecho que fuera alegado al expresar agravios de que no se puede replicar la versión del sitio web cuando se efectuó la transferencia y por ende no se pudo conocer si se aplicó el protocolo. Es que al reconocerse que la dirección se puso toda en minúsculas, del propio peritaje informático resulta que no hay manera de calcular el checksum a través del algoritmo EIP55.
Y aun así cuando todas las cuentas estén en minúsculas si poseen los dígitos hexadecimales son válidas a pesar de no haber forma de determinar si se trata de una dirección correspondiente a una persona que la generó o no.
El dictamen también concluyó que los controles y advertencia de seguridad son en relación a la confirmación de la operación que se quiere realizar y no a alterar en cuanto a la validez o correcta escritura de la billetera, como aconteció en el caso sub-examine.
Tampoco controvirtió el recurrente lo señalado en primera instancia en cuanto a que la imposibilidad de la demandada de restituir los ETH erróneamente remitidos a otra dirección, predica acerca de la privacidad y resguardo de los wallets a los que solo puede acceder su titular con la clave privada que hubiere generado.
Por otra parte, no se advierte conculcado el derecho de información del consumidor ni existió un supuesto de publicidad engañosa en tanto –como señaló la sentenciante– el usuario de este tipo de productos conoce de forma pública que cualquier error de su parte podría privarlo de los fondos de manera definitiva, mas sin perjuicio de ello en los comentarios de los usuarios del sistema surgen todo tipo de recomendaciones.
No quedó debidamente controvertido que la seguridad en las operaciones se refiere a la privacidad y la posibilidad de evitar posibles fraudes, cuestiones aquí que no fueron invocadas.
En síntesis no se podría responsabilizar a la demandada por un error cometido por el propio usuario.
Adiciono a ello que el pretensor no era un neófito en la materia ya que realizó numerosas operaciones en la plataforma de CriptoMarket en algunos casos por sumas superiores a los U$S 10.000, estando autorizado para ello.
Por otro lado la jueza postuló, en cuanto aquí interesa, que “…para realizar la controvertida transferencia D. C. debió entrar en su cuenta y cargar la dirección de destino. Es precisamente para evitar errores en este paso que las páginas especializadas sugieren copiar/pegar o cargarla mediante el QR correspondiente, modalidad que el perito informático también recomendó para la seguridad del procedimiento (v. aclaraciones del 20.10.21)…” (sic. del pronunciamiento de la instancia de grado). De manera que la omisión en que incurrió el demandante de incumplir estas simples medidas de seguridad, no aparecen justificadas y las consecuencias que de ella se derivan no pueden reprocharse a la accionada. Y no procede endilgar el yerro a un defecto de información de la empresa ponderando los conocimientos que tenía el accionante en la materia luego de la cantidad de operaciones efectuadas, información que por otro lado aparece de público conocimiento para quienes operan en este mercado.
Por todo lo expuesto, y fundamentos dados por la magistrada de primera instancia en el punto IV de su sentencia a los cuales me remito en homenaje a la brevedad, corresponde, desestimar los agravios de la parte demandante en este punto.
V. El recurso de la demandada referente a la forma en que fueron impuestas las costas debe desestimarse. Ello así por cuanto el sentenciante para fallar del modo en que lo hizo se apartó del principio objetivo de la derrota fundando su pronunciamiento –entre otras causales– en el carácter novedoso de la cuestión que generó en el accionante la convicción de reclamar (art. 68 del Cód. Procesal).
VI. Por ello, propongo al Acuerdo: confirmar la sentencia de primera instancia, distribuyendo las costas de Alzada en el orden causado por existir vencimientos parciales y mutuos (cfr. arts. 68 y 71 Cód. Procesal).
Así voto.
El Señor Juez de Cámara, Miguel F. Bargalló, dice:
Comparto los fundamentos vertidos por el Señor Juez preopinante por lo que adhiero a la solución por él propiciada. Voto, en consecuencia, en igual sentido.
Y Vistos:
Por los fundamentos del acuerdo precedente, se resuelve: confirmar la sentencia de primera instancia, distribuyendo las costas de Alzada en el orden causado por existir vencimientos parciales y mutuos (cfr. arts. 68 y 71 Cód. Procesal).
Agréguese en el expediente en soporte papel copia certificada de la presente sentencia.
Oportunamente, devuélvase sin más trámite.
La firma electrónica se formaliza en virtud de lo establecido en la Acordada C.S.J.N. Nº 12/2020 (arts. 2º, 3º y 4º). – Ángel O. Sala. – Miguel F. Bargalló (Sec.: Francisco J. Troiani).