Carteras físicas: de qué protegen y cómo la gente sigue perdiendo fondos
Una cartera física resuelve un problema extremadamente bien y varios problemas contiguos en absoluto. Saber cuál es cuál es la diferencia entre seguridad y una falsa sensación de ella.
De una cartera física se suele decir que pone tus cripto a salvo. Hace algo bastante más concreto que eso, y en la distancia entre lo concreto y esa afirmación general es donde la gente pierde dinero creyéndose protegida.
El único problema que resuelve
Una cartera física genera y guarda tu clave privada dentro de un dispositivo dedicado, y firma allí dentro. La clave nunca existe en forma legible en tu ordenador ni en tu teléfono.
Eso derrota a toda una categoría de ataque. El malware que lee archivos, registra pulsaciones de teclado o rastrea la memoria de tu ordenador no puede obtener una clave que nunca estuvo en él. Incluso en una máquina completamente comprometida, quien ataca puede ver lo que haces pero no puede firmar una transacción sin el dispositivo, y el dispositivo exige una confirmación física.
Es una mejora genuinamente grande, y es todo lo que aporta el hardware.
Lo que no resuelve: aprobar lo que no era
El dispositivo firma lo que tú confirmas. Si confirmas una transacción que envía tus fondos a un atacante, la cartera física producirá fielmente una firma válida para ella.
Esta es la forma de fallo dominante y no tiene nada que ver con la seguridad de la clave. Una interfaz convincente te pide que apruebes algo, la pantalla muestra una transacción que no entiendes del todo, y pulsas el botón. El dispositivo hizo su trabajo a la perfección. Leer lo que aparece realmente en la pantalla del dispositivo —no lo que dice el sitio web que es— es la única defensa, y es el paso que la gente se salta porque el sitio web ya le dijo qué esperar.
Lo que no resuelve: las aprobaciones de tokens
En las redes que las soportan, una aprobación concede a un contrato permiso para mover un token en tu nombre, a veces sin límite y a veces de forma indefinida. Ese permiso persiste después de la transacción que lo concedió.
Una cartera física firmará tan tranquila una aprobación ilimitada, porque firmar es lo que hace. Los fondos se pueden mover después sin ninguna otra interacción tuya ni del dispositivo. Revisar y revocar aprobaciones es una higiene aparte que el hardware no realiza.
Lo que no resuelve: la frase semilla
El dispositivo protege la clave de tu ordenador. No protege la frase semilla de ti.
La frase se genera durante la configuración y se anota a mano, y desde ese momento es una copia en texto plano de todas las claves que guarda el dispositivo. Fotografiarla, teclearla en cualquier sitio o guardarla en un servicio en la nube convierte una cartera protegida por hardware en una protegida por software sin cambiar nada del dispositivo. Cualquier petición de introducir la frase en una web o una aplicación es un intento de hacer exactamente esto, y no existe una versión legítima de esa petición. Nuestra entrada del glosario explica por qué la frase pesa más que cualquier clave individual.
Lo que no resuelve: la pérdida
La autocustodia elimina al custodio, lo que elimina tanto el riesgo del custodio como su proceso de recuperación. Un dispositivo perdido con la frase guardada a salvo es una molestia. Un dispositivo perdido con la frase perdida es una pérdida permanente sin apelación, sin línea de soporte y sin mecanismo de ninguna clase.
Es una contrapartida real y conviene asumirla de forma deliberada en lugar de absorberla como efecto secundario de seguir un consejo. Nuestra comparación de quién guarda de verdad tus cripto cubre el lado con custodia de la misma decisión.
El resumen exacto
Una cartera física saca tu clave privada del alcance del software de tu ordenador. No verifica que una transacción sea la que pretendías hacer, no gestiona los permisos permanentes que has concedido, no protege una frase que has manejado con descuido y no ofrece recuperación si pierdes ambas cosas. Es una solución sólida a un problema y ninguna solución en absoluto a las cuatro formas más habituales en que la gente se separa realmente de sus fondos.
La cadena de suministro forma parte del modelo de amenaza
Una cartera física solo es de fiar si es el dispositivo que fabricó el fabricante. Comprar en un mercado de terceros o aceptar un dispositivo no solicitado introduce la posibilidad de manipulación, y el ataque no requiere sofisticación: un dispositivo que llega con una frase semilla ya escrita en la caja es un dispositivo cuyas claves generó otra persona.
Las reglas que se siguen son breves. Compra directamente al fabricante. Genera la semilla en el dispositivo durante la configuración en lugar de aceptar una que venga con él. Verifica el dispositivo con el mecanismo de atestación que ofrezca el fabricante. Un dispositivo que llegó con una frase está comprometido por convincente que sea el empaquetado.
La firma a ciegas es la brecha que queda
La pantalla del dispositivo es tu defensa, y en transacciones complejas puede que no consiga mostrar en términos comprensibles lo que estás aprobando. Algunas interacciones se presentan como una carga opaca que el dispositivo muestra como datos y no como una acción legible por una persona.
Aprobar algo que no puedes leer es el equivalente cripto de firmar un contrato en blanco. Cuando un dispositivo o una interfaz sabe descodificar una transacción a términos claros, esa capacidad vale más que cualquier especificación de la caja. Cuando no sabe, la respuesta honesta es tratar la interacción como de alto riesgo en lugar de pasar de largo a base de clics, que es justo lo contrario de lo que fomenta un aviso bien diseñado.
Qué hacer con la frase, en concreto
El consejo suele quedarse en «guárdala a salvo», que no es accionable. Dos propiedades importan de verdad y tiran una contra la otra: la frase tiene que sobrevivir a la pérdida de tu casa, y no debe poder leerla quien la encuentre.
La redundancia atiende a lo primero: más de una copia, en más de un lugar físico, en un soporte que sobreviva al agua y al fuego. El ocultamiento atiende a lo segundo, y una copia guardada donde miraría un ladrón no es una copia de seguridad, es un retraso. A veces se sugiere repartir una frase entre varios sitios, y es fácil hacerlo mal: un reparto ingenuo puede reducir el espacio de búsqueda para un atacante que tenga una parte, a la vez que añade una nueva forma de que tú pierdas el acceso para siempre.
Elijas el esquema que elijas, prueba la recuperación antes de que importe. Una copia de seguridad que nunca se ha restaurado es una hipótesis, no una copia de seguridad.
