Seguridad de carteras: de qué protege cada medida y de qué no

Los consejos de seguridad en cripto suelen llegar como una lista de instrucciones sin el razonamiento. Eso es un problema, porque una medida aplicada sin entender de qué defiende produce confianza en lugar de seguridad.

Dónde se pierden los fondos de verdad

Las pérdidas se agrupan en unas pocas categorías. El compromiso remoto de un dispositivo conectado a internet que guarda claves. Aprobar voluntariamente una transacción maliciosa. Perder la copia de seguridad. Enviar a una dirección equivocada o sustituida. Y el fallo de una plataforma, donde los fondos nunca estuvieron bajo tu control para empezar.

Cada defensa de las siguientes aborda algunas de estas y ninguna las aborda todas.

La custodia: la decisión que precede a todas las demás

Si tus activos están en un exchange, tienes un derecho de cobro frente a una empresa, no el activo. Ninguna cantidad de buena práctica de seguridad personal te protege de que esa empresa quiebre, congele las retiradas o se vea obligada a hacerlo. A la inversa, una cartera sin custodia elimina esa exposición por completo y te entrega toda la carga operativa, sin restablecimiento y sin línea de soporte.

Ninguna es correcta en general. Lo que importa es saber cuál has elegido, porque la mayoría de quienes creen tener Bitcoin en realidad tienen un apunte en un libro mayor que opera otra persona.

Carteras físicas y almacenamiento en frío

El almacenamiento en frío mantiene las claves en un dispositivo que nunca se ha conectado a internet. Las transacciones se firman en el dispositivo y la clave nunca sale de él.

De qué defiende: del compromiso remoto. El malware de tu ordenador no puede extraer una clave que no está ahí.

De qué no: una cartera física firma lo que confirmes en ella. Si apruebas la interacción con un contrato malicioso, el dispositivo la ejecuta fielmente. No protege una frase semilla que hayas fotografiado. Y un dispositivo comprado a un revendedor no oficial puede haber sido manipulado antes de llegar a ti: compra siempre directamente y verifica el empaquetado.

La frase semilla es toda la cartera

Una frase semilla regenera todas las claves de la cartera. Quien la tenga tiene los fondos, sea cual sea el hardware que poseas.

Eso produce dos formas de fallo que tiran en direcciones opuestas. Guárdala de forma demasiado accesible —una foto, una nota en la nube, una entrada en un gestor de contraseñas, un correo a ti mismo— y el compromiso de una sola cuenta se lo lleva todo. Guárdala con demasiado celo y te arriesgas a perderla del todo, que es igual de definitivo. La solución es la redundancia física: escrita o grabada, en más de un lugar, de modo que un incendio o un robo destruya una copia y no el conjunto.

La única regla sin excepciones: ninguna cartera, exchange, agente de soporte, airdrop o servicio de recuperación legítimo te pedirá jamás tu frase semilla. Toda petición de ella es un robo. Conviene interiorizarlo como algo absoluto, porque las peticiones llegan en momentos diseñados para que te precipites.

Las aprobaciones: el ataque moderno

Interactuar con un contrato inteligente suele requerir concederle permiso para mover un token en tu nombre, y esos permisos son con frecuencia ilimitados y permanentes salvo que se revoquen. Un contrato que aprobaste hace meses puede vaciar ese token más adelante.

Qué defiende de ello: revisar lo que estás firmando en lugar de pasar de largo a base de clics, conceder asignaciones limitadas cuando la cartera lo permita y revocar periódicamente las aprobaciones que ya no uses. Una cartera aparte para interacciones experimentales, con poco dentro, contiene el daño.

Qué no: una cartera física, que firmará la aprobación exactamente como se le pide.

La sustitución de direcciones

El malware que sustituye una dirección copiada por la del atacante es antiguo y eficaz, porque casi nadie lee con atención una cadena larga. Las transferencias son irreversibles, así que esto es una pérdida total.

Qué defiende de ello: verificar la dirección en la pantalla del propio dispositivo físico y no en la del ordenador, y enviar primero una pequeña cantidad de prueba en cualquier transferencia grande o desconocida. Comprobar los primeros y últimos caracteres es mejor que nada, y los atacantes ya generan direcciones que coinciden en ellos.

Una disciplina útil que atraviesa todo esto es separar las tenencias según su propósito. Una cartera de gasto con un saldo pequeño, usada para interacciones rutinarias, y una cartera a largo plazo que nunca toca un contrato desconocido, limitan cualquier error concreto a la cantidad que estabas dispuesto a exponer. Casi todas las pérdidas catastróficas implican una única cartera haciendo todos los trabajos.

El phishing y el momento en que te meten prisa

La mayoría de los ataques que triunfan no son técnicos. Son un mensaje que crea urgencia —una alerta de seguridad, una transacción fallida, un airdrop que caduca, un soporte que responde con una rapidez inusual a una queja que publicaste— seguido de un enlace a una réplica convincente de un sitio que usas.

Qué defiende de ello: no seguir nunca enlaces de mensajes hacia nada que implique tus fondos y, en su lugar, llegar allí tú desde un marcador. Tratar el contacto no solicitado del «soporte» como hostil por defecto, ya que un soporte legítimo no inicia el contacto sobre tu cartera. Y reconocer la propia urgencia como la señal: la presión para actuar de inmediato es el ataque, no un rasgo de la situación.

Qué no: ningún hardware. Un sitio de phishing que te convence de introducir una frase semilla o de aprobar una transacción ha esquivado todos los dispositivos que tengas.

El fallo que nadie planifica

La autocustodia tiene una propiedad inusual: la medida de seguridad que protege tus fondos de todos los demás también los protege de tu propia familia. Unas claves en manos de una sola persona, sin ninguna vía de recuperación documentada, quedan permanentemente inaccesibles si esa persona queda incapacitada o fallece.

No hay una solución limpia, solo contrapartidas. Repartir una frase entre lugares, usar un esquema multifirma que exija más de una clave, o dejar instrucciones selladas con un abogado reducen cada uno el punto único de fallo a la vez que introducen a una parte que podría confabularse o fallar. Lo que no funciona es dar por supuesto que no va a pasar. Decide de forma deliberada cómo se recuperarían los fondos sin ti, y ponlo por escrito en un sitio que no comprometa a su vez las claves.

Qué no cubre nada de esto

Ninguna de estas medidas protege del fallo de un protocolo, de que una stablecoin pierda su paridad o de que un proyecto resulte ser un rug pull. Esos son riesgos de selección de activos, no de custodia, y ninguna configuración de cartera los aborda. Tampoco sirve nada de esto frente a la coacción, y por eso hablar públicamente de lo que se tiene es una categoría de riesgo en sí misma.

El resumen honesto es que la seguridad es un conjunto de defensas concretas contra ataques concretos, y el valor de saber cuál es cuál está en que dejas de suponer que una cubre a las demás.