El debate sobre la autocustodia suele enfrentar a gente que no se pone de acuerdo en qué es una clave. No es un recipiente, no se guarda nada dentro, y un monedero no contiene moneda alguna. Entenderlo convierte una pregunta ideológica en una pregunta práctica: a qué fallo prefieres estar expuesto.
Los saldos viven en el registro, no en tu dispositivo. Una clave privada es un número que permite producir una firma que la red acepta como autorización para mover un saldo concreto. Nada más importa de ella. No es una caja, no contiene valor, y copiarla no copia moneda alguna, copia la capacidad de firmar.
De ahí se derivan dos consecuencias, y casi todos los errores de custodia vienen de haber pasado por alto una. Primero, cualquiera que obtenga la clave tiene el mismo poder que tú, de inmediato y de forma irreversible, sin necesitar tu dispositivo ni tu consentimiento. Segundo, perder la clave no pierde las monedas en ningún sentido físico: el saldo sigue visible en el registro para siempre, y nadie, tú incluido, podrá volver a moverlo jamás. Ese segundo resultado es el que más cuesta creer hasta que ocurre.
Un monedero no contiene monedas. Contiene la capacidad de autorizar su movimiento, y esa capacidad es exclusivamente tuya o no lo es.
El vocabulario está en disputa, los arreglos subyacentes no. Hay tres, y cada uno falla de una manera que los otros dos desconocen.
Una plataforma tiene las claves y te acredita un saldo en sus propios registros. Lo que posees es un derecho frente a esa plataforma en vez de una posición en el registro. Elimina toda una familia de errores de usuario, porque no hay frase que perder y una contraseña olvidada es un ticket de soporte en vez de una pérdida definitiva. A cambio introduce riesgo de contraparte, es decir el riesgo de que la entidad que tiene el derecho no pueda honrarlo.
Tienes la clave y ningún tercero puede mover ni congelar el saldo. El riesgo de contraparte desaparece por completo y queda sustituido por un riesgo operativo que recae entero sobre ti: una frase perdida, un dispositivo dañado, una copia corrupta, una firma aprobada sin leerla. Ninguno de esos casos tiene vía de recurso, y eso es el diseño, no una carencia.
Existen varias claves y un subconjunto definido debe firmar para que una transacción sea válida. Es el único modelo donde una clave comprometida no es una pérdida total y una clave perdida no es una pérdida permanente. Cuesta esfuerzo de instalación y disciplina continua, razón por la cual es estándar en instituciones y raro entre particulares que se beneficiarían igual.
Los monederos modernos derivan todas las claves que usarán de una sola secuencia de palabras. Esa secuencia no es una contraseña que protege el monedero, es el monedero: con esas palabras, cualquiera puede reconstruir todas las claves en cualquier dispositivo, en cualquier lugar, sin más información. El dispositivo, la aplicación y el código son comodidades colocadas encima.
Por eso la frase nunca debe existir en una forma legible a distancia. Una foto en una galería que se sincroniza, una nota en un gestor de contraseñas, un archivo de texto en una máquina que navega, un mensaje que te envías a ti mismo: cada uno convierte un secreto físico en un secreto alcanzable a distancia, que es exactamente la transformación que hace posible el robo a gran escala.
El riesgo espejo es el que se despacha deprisa. Una frase guardada tan a salvo que solo tú puedes alcanzarla es una frase que tus herederos no alcanzarán nunca, y el registro no conoce sucesiones. Una copia que sobrevive al fuego, al agua, a una mudanza y a tu propia muerte es un problema de diseño distinto de una copia que resiste el robo, y resolver solo uno de los dos es el desenlace más frecuente.
Todo plan de custodia debe responder dos preguntas: quién puede alcanzar esto sin deber poder, y quién puede alcanzarlo si yo ya no puedo. Casi todos responden solo la primera.
Un monedero físico guarda la clave privada dentro de un chip que se niega a exportarla y realiza la firma internamente. El ordenador envía una transacción para firmar y recibe una firma de vuelta, nunca la clave. Eso significa que un programa malicioso presente en el ordenador no puede robar la clave ni siquiera mientras se usa, lo que es una protección real y sustancial.
Contra lo que no protege es contra ti mismo autorizando algo que no habías entendido. Si la máquina está comprometida y te muestra un destino mientras envía otro al dispositivo, la única defensa es la pantalla del propio dispositivo, y por eso verificar la dirección ahí en lugar de en el ordenador no es una ceremonia opcional. El dispositivo retira el robo de clave de la lista de amenazas y deja intacto el fraude por aprobación.
Tampoco hace nada respecto a la frase. Un dispositivo es una manera de usar claves con seguridad, no una manera de guardar la copia, y la frase generada durante la instalación sigue siendo el único objeto cuya pérdida o robo lo decide todo. El trader que compra un dispositivo y luego fotografía su hoja de recuperación ha comprado protección contra una amenaza y ha reintroducido la otra.
En redes que admiten contratos programables, los permisos de gasto se conceden por separado de las transferencias. Firmas una vez para permitir que un contrato mueva un token en tu nombre, y ese permiso persiste hasta que se revoca. Es lo que hace posible el intercambio descentralizado y es el mecanismo detrás de buena parte de las pérdidas descritas después como hackeos.
El ataque no necesita tu clave. Necesita una firma tuya, obtenida presentando una interfaz de aspecto familiar en un momento en que esperabas firmar algo. Después, el saldo puede moverse en cualquier instante, sin más interacción, razón por la cual las víctimas informan con frecuencia de un robo ocurrido días o semanas después de la única cosa sospechosa que hicieron.
Las contramedidas son poco vistosas y eficaces: revisar periódicamente los permisos vigentes y revocar lo que ya no se usa, tratar por defecto como hostil cualquier petición de firma que aparezca sin esperarla, y mantener las tenencias de largo plazo en una dirección que nunca haya interactuado con ningún contrato. Esta última no cuesta nada y elimina la categoría entera.
Una clave de API con derechos de operativa es una autoridad de firma, y se comporta como tal. Vive en un archivo de configuración en vez de en un monedero, suele crearse una vez y no revisarse nunca, y sobrevive a cada cambio de contraseña y a cada dispositivo nuevo. Comprometida, no necesita retirar nada para causar una pérdida: puede arruinar la cuenta operando contra un instrumento ilíquido sin que el saldo salga jamás de la plataforma.
Tres hábitos lo hacen manejable. No conceder nunca derechos de retirada salvo que algo los necesite de verdad, restringir la clave a las direcciones que tu infraestructura usa realmente, y rotar las claves según un calendario en lugar de después de un incidente. Los traders que operan sistemas automatizados lo ven como higiene operativa; es más exactamente el mismo problema de custodia en otro formato de archivo.
Una prueba de reservas publicada establece algo estrecho: en un instante dado, un conjunto de direcciones controladas por la plataforma tenía cierto saldo. Es genuinamente útil y se lee de forma rutinaria como si probara algo más amplio. No dice nada de los pasivos salvo que se certifiquen al lado, nada de lo ocurrido entre observaciones, y nada en absoluto sobre ninguna fecha distinta de la medida.
Las preguntas que importan son más grises y más difíciles de resolver desde fuera: si los activos de clientes están separados de los fondos operativos, quién puede autorizar un movimiento y cuántos se exigen, qué ha examinado realmente un tercero independiente en lugar de qué le han enseñado, y qué ocurre con un derecho si la entidad quiebra. Ninguna se resuelve con una instantánea, y una plataforma que solo publica la instantánea ha respondido la pregunta más fácil de la lista.
El encuadre útil no es custodia de terceros contra autocustodia, es separar los saldos según para qué sirven. El capital de operativa tiene que ser alcanzable en segundos y está expuesto al riesgo de plataforma por definición, porque eso es lo que lo hace negociable. Las tenencias de largo plazo no necesitan nada de eso y no deberían estar en el mismo sitio por comodidad.
Eso da una forma de trabajo. Un saldo caliente dimensionado a lo que operarías este mes y cuya pérdida total sería soportable. Un saldo frío bajo claves que controlas, en una dirección que nunca ha aprobado un contrato, con una copia física, probada al menos una vez restaurándola, y alcanzable por alguien de confianza si tú no estás. Y permisos de retirada, en cada plataforma y cada clave, limitados a las direcciones que usas de verdad.
La prueba de un plan no es que dé sensación de seguridad, es que hayas ensayado el fallo. Restaura la frase en un dispositivo de repuesto y confirma que produce las mismas direcciones. Revoca un permiso y confirma que desapareció. Intenta alcanzar la copia como si hoy fuera el día malo. Un plan que nunca se ha ejercitado es una creencia, y las creencias sobre custodia se corrigen con acontecimientos, no con argumentos.
Ordena los saldos por finalidad en vez de por ideología. Lo que tiene que ser rápido está expuesto por construcción; lo que no, no debería estarlo jamás.
La capacidad de firmar. La frase de recuperación regenera todas las claves privadas que el monedero usará, y son esas claves lo que la red acepta como autorización para mover un saldo inscrito en el registro. Respalda la frase y el monedero es desechable; pierde la frase y el saldo queda visible para siempre sin que nadie pueda moverlo.
Elimina por completo una amenaza y deja otra intacta. La extracción de clave se vuelve impracticable porque la clave nunca sale del chip, pero una firma que apruebas sigue siendo una firma, así que una transacción que te empujaron a confirmar se ejecuta con normalidad. Verificar el destino en la pantalla del propio dispositivo en vez de en el ordenador es la parte que importa.
Convierte un secreto físico en un secreto alcanzable a distancia, que es la transformación que hace posible el robo a gran escala. Cualquiera que comprometa esa cuenta, desde cualquier dispositivo, lo obtiene todo de golpe sin ningún paso adicional. El almacenamiento físico en más de un lugar, resistente al fuego y al agua, es la respuesta ordinaria pese a su incomodidad.
Porque un permiso de gasto se concede por separado de una transferencia. Una firma autoriza a un contrato a mover un token en tu nombre, y esa autoridad persiste hasta que se revoca. Después no se te pide nada más, razón por la cual la pérdida ocurre a menudo mucho después de la firma y parece no guardar relación con ella.
Significa que un conjunto de direcciones tenía un saldo en un instante. Por sí sola no dice nada de los pasivos, nada de lo ocurrido entre mediciones, y nada sobre si los activos de clientes están separados de los fondos operativos. Es un dato entre varios y se lee de forma rutinaria como una conclusión.
Solo si aceptas ser tú mismo todo el procedimiento de recuperación. La autocustodia elimina el riesgo de contraparte y lo sustituye por un riesgo operativo sin servicio de asistencia y sin apelación. El enfoque sólido para la mayoría de traders es separar por finalidad: un saldo expuesto dimensionado a lo que se opera activamente, y otro bajo claves que controlan.
Tratarlas como autoridades de firma, porque es lo que son. Enuméralas, borra las que no usa nada, quita el derecho de retirada a todas las que no lo necesiten de verdad, restringe las demás a las direcciones que tus sistemas emplean realmente, y fija una fecha para repetirlo. Una clave que nadie revisa sobrevive a todas las demás credenciales que rotas.
Previéndolo de forma explícita, porque el registro no conoce sucesiones y ninguna institución ayudará. Una frase que solo tú puedes alcanzar se pierde el día en que ya no puedes. El control compartido con un umbral definido de firmas, o una copia física sellada acompañada de instrucciones confiadas a alguien que entienda de qué se trata, son los dos dispositivos que de verdad funcionan.