La autocustodia funciona porque solo quien tiene la clave puede mover los activos. Eso es una propiedad de seguridad en vida y un problema de transmisión después, y es la única parte de tener activos digitales que nadie puede arreglar a posteriori, a ningún precio.
Una clave que solo tú tienes significa que nadie puede quitarte tus tenencias. También significa que nadie puede encontrarlas. No hay institución a la que escribir, ni cuenta que reclamar, ni proceso por el que un familiar acredite un derecho y reciba un saldo. Las claves existen en algún sitio localizable o los activos están perdidos, y no hay un tercer estado.
Eso no es un defecto de diseño; es el diseño funcionando exactamente como se pensó. Pero se construyó para resolver el problema de un tercero que se apodera o pierde tus activos, no para resolver el problema de que tú no estés. El segundo problema es tuyo, y las herramientas para él son procedimentales más que técnicas.
La escala de la versión sin resolver merece decirse. Una proporción significativa de la oferta total de los activos digitales más antiguos se considera permanentemente inalcanzable, y si parte de ello son claves perdidas en vida, otra parte son tenedores que murieron sin dejar nada localizable. Ese desenlace es común, y es enteramente evitable.
No hay institución a la que escribir ni cuenta que reclamar. Las claves son localizables o los activos están perdidos, y no hay un tercer estado.
El problema es más difícil de lo que parece porque tiene dos modos de fallo que tiran en sentidos opuestos. El primero es que nadie pueda encontrar ni usar las claves tras tu muerte, y las tenencias se pierdan. El segundo es que alguien pueda encontrarlas y usarlas mientras vives, y las tenencias sean robadas.
Toda solución ingenua falla en uno de los dos. Escribir la frase de recuperación y decirle a un familiar dónde está resuelve el primero y crea el segundo. No decirle nada a nadie resuelve el segundo y garantiza el primero. Todo plan que no aborde conscientemente ambos resuelve la mitad del problema con la sensación de haberlo resuelto entero.
El encuadre que ayuda es pensar en términos de condición y no de secreto: el acceso debería quedar disponible cuando algo concreto sea cierto, y no antes. Todo lo que sigue es una manera de implementar esa condición con distintos intercambios entre complejidad y robustez.
Tres componentes, y casi todos los planes tienen solo el primero. Un inventario: qué existe, dónde, y aproximadamente cuánto, para que quien gestione tus asuntos sepa que hay algo que buscar. Sin él, se pueden perder tenencias simplemente porque nadie supo que había que preguntar, que es el fallo más evitable de todos.
Instrucciones de acceso: cómo llegar a cada cosa, escritas para alguien que no sabe qué es nada de eso. No una frase de recuperación en un sobre, sino el procedimiento, en lenguaje ordinario, sin suponer familiaridad con el vocabulario. Quien lo ejecute puede ser un notario o un cónyuge sin ninguna base técnica, y las instrucciones tienen que funcionar para él.
Y la capa legal: lo que tu jurisdicción exija para que los activos pasen a las personas que quieres. Esa parte es realmente específica de cada jurisdicción, interactúa con un derecho sucesorio que difiere enormemente entre países, y es la parte donde un profesional cualificado en tu propia jurisdicción no es un consejo opcional sino el requisito mismo.
La idea estructural más útil es separar qué existe de cómo llegar a ello. Un inventario que no contenga secretos se puede guardar con tus demás documentos importantes, compartirse con quien gestione tus asuntos, y actualizarse cada vez que algo cambie, todo sin ningún riesgo de seguridad.
El material de acceso, que es la parte peligrosa, se puede tratar entonces aparte y con protección mucho más fuerte, porque no necesita ser legible ni actualizable del mismo modo. El inventario le dice al albacea que algo existe y dónde vive el procedimiento de acceso; el procedimiento está protegido por el mecanismo que hayas elegido.
Esta separación también resuelve un problema práctico que el mero reparto de secreto no resuelve. Las tenencias cambian con el tiempo, las plazas cambian, los monederos se reemplazan, y un plan que exija reconstruir un secreto cada vez que algo cambia no se mantendrá. Un inventario libremente actualizable, que apunte a un mecanismo de acceso que rara vez cambia, sí.
El mecanismo clásico es dividir el material de acceso en partes, distribuidas de modo que un número definido de ellas juntas lo reconstruya y cualquier número menor no revele nada. Dividido en cinco con tres requeridas, dos personas no pueden confabularse para llegar a él, y perder dos partes no pierde las tenencias.
Las matemáticas de esto están bien establecidas y las implementaciones ampliamente disponibles. La dificultad es enteramente humana: los portadores deben guardar sus partes durante años sin perderlas, no deben saber lo bastante para valer un ataque individual, deben ser localizables cuando haga falta, y deben saber claramente qué hacer sin saber lo bastante para actuar antes de tiempo.
El fallo más común no es criptográfico sino organizativo: partes repartidas a gente que se mudó, olvidó, las tiró en una mudanza, o murió antes. Un reparto que nunca se ensaya es un reparto cuyo fallo nunca descubrirás, y el descubrimiento ocurre en el peor momento posible y a manos de quienes menos preparados están.
Un acuerdo de multifirma puede servir al mismo fin con más elegancia, porque nunca reconstruye un único secreto. Activos bajo un acuerdo que exija dos firmas de tres pueden estructurarse de modo que tú tengas una, una persona de confianza otra, y una tercera repose con un profesional o en un lugar seguro.
En vida puedes operar con tu propia clave más otra, y tras tu muerte las otras dos pueden actuar juntas sin ti. Nadie tiene nunca lo suficiente solo, ningún secreto se reensambla jamás en un objeto único y vulnerable, y el acuerdo es visible en la cadena en vez de depender de un documento que quizá nadie encuentre.
El coste es la complejidad: montarlo bien exige cuidado, los participantes deben entender su papel, y recuperarse de la pérdida de una parte exige un procedimiento que a su vez debe documentarse. Es la estructura más sólida disponible y es realmente más trabajo, y encaja mejor con tenencias sustanciales que con modestas.
Una tercera familia de enfoques condiciona el acceso al tiempo y no a las personas. Varios mecanismos permiten que un acceso se abra tras un periodo en el que no hayas señalado que sigues ahí, sea por un servicio, por un contrato, o por un notario con instrucción de abrir un sobre sellado tras un periodo de falta de contacto confirmada.
El atractivo es que no exigen confianza continua en la discreción de otro. La debilidad es que exigen acción continua tuya, indefinidamente, y todo mecanismo que falla si olvidas pulsar un botón durante unos meses ha introducido una nueva forma de que las cosas salgan mal que antes no existía.
Donde mejor funcionan es en combinación y no solos: una condición de tiempo que gobierne cuándo se instruye a un profesional para actuar, en vez de una liberación de fondos totalmente automatizada. El paso humano aporta un juicio que un temporizador no puede, sobre todo en la cuestión de si la condición desencadenante es realmente cierta.
Los activos en una plataforma y no bajo tus propias claves siguen un camino completamente distinto, más parecido a una cuenta financiera convencional. Hay una institución, hay un proceso, y la herencia de un titular fallecido generalmente puede presentar una reclamación con la documentación que la jurisdicción exija.
Eso es realmente más simple y es una de las ventajas honestas de la tenencia custodiada, sobre todo para quien tenga herederos sin base técnica. El intercambio es el habitual de la custodia, tratado aparte, y ninguno de los dos lados es obviamente el correcto para todos.
Lo que sí significa en la práctica es que el inventario importa aún más para las tenencias en plataforma, porque son recuperables pero solo si alguien sabe que existen. Una cuenta que nadie conoce no la reclama nadie, y unas tenencias en plataforma que nadie sabe buscar están tan perdidas como una frase de recuperación quemada.
Las tenencias en plataforma son recuperables por un proceso. No lo son por un heredero que nunca supo que la cuenta existía.
El paso que separa los planes que funcionan de los planes que existen es el ensayo, y casi nadie lo hace. Coge a la persona que gestionará tus asuntos, dale las instrucciones tal como están escritas, y haz que intente recuperar una tenencia pequeña sin tu ayuda. Observa dónde se atasca.
Los resultados son sistemáticamente humillantes. Instrucciones que parecían completas suponen un vocabulario que el lector no tiene, remiten a un aparato que no encuentra, o exigen un paso que tú das sin pensar y nunca escribiste. Cada uno de esos puntos es un fallo total en el evento real, porque en el evento real no hay un tú a quien preguntar.
Ensayar tiene además un beneficio secundario que se subestima: fuerza la conversación. Muchos planes fallan porque quien debía actuar no sabía que había sido designado, no se lo tomó en serio, o no entendió que el tiempo podía importar. Un ensayo hace visibles esas tres cosas cuando todavía son reparables.
Escribe primero el inventario, hoy, sin ningún secreto dentro: qué existe, aproximadamente cuánto, dónde está documentado el procedimiento de acceso, y a quién contactar. Ese solo documento elimina el fallo más común, que es que nadie sepa que había algo que buscar, y no conlleva ningún riesgo porque no contiene nada utilizable.
Elige después un mecanismo de acceso proporcionado al tamaño de lo que tienes. Unas tenencias modestas no justifican una multifirma con participantes profesionales; unas sustanciales no merecen una frase en un cajón. Y luego habla con un profesional cualificado en tu propia jurisdicción sobre la capa legal, porque el derecho sucesorio es donde el consejo general de un artículo deja de servir.
Por último, pon una fecha en el calendario para revisarlo cada año. Las tenencias cambian, la gente cambia, los aparatos se reemplazan, y un plan escrito una vez y nunca revisado describe una situación que dejó de ser cierta hace años. La revisión lleva veinte minutos y es la diferencia entre un plan y un documento.
Nada automático. No hay institución a la que escribir ni cuenta que reclamar: las claves existen en algún sitio localizable o los activos son inalcanzables para siempre. Una proporción significativa de los activos más antiguos se considera perdida, y parte son tenedores que murieron sin dejar nada localizable.
Porque tiene dos modos de fallo que tiran en sentidos opuestos. Nadie puede acceder a las claves tras tu muerte y las tenencias se pierden; o alguien puede acceder en vida y son robadas. Toda solución ingenua arregla uno y crea el otro.
Tres cosas: un inventario de qué existe y dónde, instrucciones de acceso escritas para alguien sin base técnica, y lo que exija el derecho sucesorio de tu jurisdicción. Casi todos los planes tienen solo el primero, y muchos solo el segundo en forma insegura.
No como único plan, porque resuelve el problema de la muerte creando uno de robo. Mejores estructuras condicionan el acceso: repartir el secreto entre varias personas de modo que un número definido pueda actuar junto, o una multifirma donde ninguna parte tenga nunca lo suficiente.
El material de acceso se divide en partes de modo que un número definido juntas lo reconstruya y menos no revelen nada. Dividido en cinco con tres requeridas, dos no pueden confabularse y perder dos partes no pierde nada. Los fallos son organizativos: la gente se muda, olvida, o tira su parte.
Es la estructura más sólida porque ningún secreto único se reensambla jamás. Dos firmas de tres te dejan operar en vida con otra parte, y dejan a las otras dos actuar juntas tras tu muerte. El coste es una complejidad real y encaja mejor con tenencias sustanciales.
Sí, y es una ventaja honesta de la custodia. Hay una institución y un proceso, y una herencia generalmente puede reclamar con la documentación que la jurisdicción exija. Pero una cuenta que nadie conoce nunca se reclama, así que el inventario importa aún más.
El ensayo. Dale tus instrucciones a quien vaya a actuar y haz que recupere una tenencia pequeña sin tu ayuda. Instrucciones que parecían completas suponen habitualmente un vocabulario que le falta o un paso que tú das sin pensar. Cada uno es un fallo total en el evento real.