Olvidé la contraseña de la cartera; no necesariamente se perderán las monedas. Lo verdaderamente peligroso es que se filtre la frase semilla.
Redactado por: Tai Le Tyler
A menudo respondo dudas de gente que está empezando a conocer Web3, y también me he encontrado con todo tipo de problemas.
Por ejemplo, alguien pregunta: «Borré la cartera por error/olvidé la contraseña, ¿se puede recuperar?»; otra persona guarda capturas de la frase semilla en la galería y piensa que mientras no se la envíe a otras personas no pasa nada; y también hay quien no logra diferenciar durante mucho tiempo la cuenta de una plataforma de intercambio y la cartera que él mismo se descarga: ¿en qué se distinguen exactamente?
Estos problemas parecen muy básicos, pero en realidad, incluso muchas personas que usan una cartera desde hace años quizá no entiendan de verdad cómo funciona.
Así que voy a preparar una nueva serie de "Manual de supervivencia Web3". Intentaré no usar jerga, y me centraré en esos problemas que parecen muy pequeños, pero que en realidad son sumamente importantes, para ayudar a todos a entender y usar Web3 paso a paso.
Este artículo es el 1.er capítulo de "Manual de supervivencia Web3"; comenzamos por lo más importante: la diferencia entre la clave privada, la frase mnemónica y la contraseña de la cartera.
1. Recuerda una frase: en la cartera, en realidad no hay monedas
Muchos piensan que su BTC, USDT, ETH u otros tokens están "guardados en la cartera".
Pero, estrictamente hablando, los activos no están dentro de la app de la cartera; se registran en la blockchain. Dicho de otro modo, la cartera que usas —sea MetaMask, OKX, SafePal, TP o imToken— es más bien una herramienta para ayudarte a custodiar claves, y no una caja fuerte donde se guardan los activos:
La blockchain se encarga de registrar cuántos activos tiene una determinada dirección, de dónde llegaron esos activos y a dónde fueron transferidos;
y la cartera se encarga de ayudarte a custodiar la "clave" de esa dirección, además de ayudarte a realizar transferencias de activos desde esa dirección y hacia ella;
Por ejemplo, cuando transfieres fondos, intercambias tokens o autorizas una aplicación en la cadena, la cartera llama a la clave privada almacenada internamente, firma esa operación y, con ello, básicamente le prueba a la blockchain que la persona que controla esa dirección sí acepta ejecutar la operación.
Por eso, la app de la cartera no es una caja fuerte para guardar monedas; en realidad es más como una caja donde se guardan llaves: lo verdaderamente valioso son las llaves dentro (la clave privada), no la propia caja.
Esto también explica dos cosas que a mucha gente le cuesta entender:
Aunque la app de la cartera original se cierre, se retire de la tienda o la borres por accidente, mientras sigas teniendo respaldada la clave privada correcta, puedes volver a descargar otra cartera, importar de nuevo la clave privada y restaurarla. Porque en la actualidad la industria está basada en el mismo estándar tecnológico y la lógica de importación entre carteras es compatible: pones la misma llave en una caja diferente y la cerradura aún se puede abrir;
Si alguien se lleva la clave privada, aunque tu teléfono siga contigo y no hayas borrado la app, la otra persona aún puede transferir tus activos. Porque la otra persona puede importar esa llave a su propia cartera, y la blockchain solo reconoce la llave, no importa quién tenga la llave;
2. ¿En qué se diferencian, exactamente, la clave privada, la frase mnemónica y la contraseña de la cartera?
Si la clave privada es tan importante, entonces ¿qué es la frase mnemónica?
En realidad, la aparición de la frase mnemónica (seed) se debe principalmente a que sea más fácil para la gente común hacer una copia de seguridad de la cartera. Como la clave privada es una cadena generada aleatoriamente por el sistema, larga y caótica, es muy fácil equivocarse al copiarla a mano, y además casi nadie podría memorizarla directamente.
Por eso, la industria adoptó un estándar común: convierte todas las claves privadas en una frase mnemónica formada por 12 o 24 palabras en inglés.
Dicho de otro modo, la clave privada y la frase mnemónica, en esencia, son la misma llave, solo que en otro formato. Y un poco más allá: teóricamente, una misma frase mnemónica puede derivar múltiples claves privadas. Para entenderlo mejor, puedes considerar la clave privada como una llave concreta, mientras que la frase mnemónica es como una copia de seguridad total de un conjunto de palabras (ya lo comenté en (empezando por (atrapar el viento y seguir la sombra): cómo la frase mnemónica suele generarse con un conjunto fijo de palabras y la lógica básica detrás). Si te interesa, puedes volver a echarle un vistazo).
Ahora la mayoría de las carteras principales, al crearlas, hacen que el usuario respalde la frase mnemónica. Ya casi no se pide directamente a los usuarios comunes que copien a mano una larga cadena de claves privadas.
Sin embargo, ya sea una clave privada o una frase mnemónica, no se debe decirle a nadie. En condiciones normales, ya sea el soporte de la cartera, el equipo del proyecto o el personal de la plataforma de intercambio, no te pedirán que se la envíes. Cualquiera que, con el pretexto de "verificar la cartera", "levantar medidas de control de riesgo", "reclamar unirdrop" o "ayudar a recuperar activos", te solicite que proporciones la clave privada, básicamente puede considerarse como una estafa.
Entonces, ¿qué es la contraseña de la cartera?
La contraseña de la cartera, es decir, el PIN o la contraseña de desbloqueo que configuras al abrir la app, solo se usa para desbloquear la propia app. Es algo parecido al bloqueo de pantalla del teléfono y, en absoluto, es lo mismo que la clave privada o la frase mnemónica.
Todos pueden recordar un principio sencillo:
Si olvidas la contraseña de la cartera, no pasa nada: puedes volver a importar la clave privada/la frase mnemónica y configurar una contraseña nueva;
Si pierdes la frase mnemónica, mientras la cartera original aún se pueda abrir, todavía tienes la oportunidad de hacer una copia de seguridad de nuevo o transferir los activos;
Si pierdes la frase mnemónica y además la cartera original no se puede abrir, entonces sí es posible que realmente ya no se puedan recuperar;
Una vez que se filtre la frase mnemónica, los activos deberían transferirse de inmediato a una cartera completamente nueva;
3. La cuenta de la plataforma de intercambio, ¿por qué no tiene frase mnemónica?
Muchas personas, cuando se acercan por primera vez a las criptomonedas, empiezan en plataformas de intercambio como BN, OK o BG. En ese momento puede surgir esta duda: "Si también tengo BTC, ETH y USDT, USDC dentro de la plataforma, ¿por qué no me dan una frase mnemónica?"
Porque los activos que se mantienen en plataformas de intercambio centralizadas normalmente no se custodian directamente por ti mediante la clave privada/frase mnemónica; en lugar de eso, la plataforma se encarga de su gestión.
Como cuando iniciamos sesión en una plataforma de intercambio a diario: dependemos del número de teléfono/correo + contraseña de inicio de sesión, y de herramientas de verificación en dos pasos como el código de verificación por SMS o Google Authenticator. El saldo que ves en esa cuenta es, principalmente, una anotación que la plataforma registra internamente para ti, no una dirección independiente en la cadena que estés controlando directamente.
La ventaja de este método es que es sencillo: incluso si olvidamos la contraseña, podemos contactar al soporte, completar el reconocimiento facial o la verificación de identidad y recuperar la cuenta. Pero el costo correspondiente es que debemos confiar en que la plataforma de intercambio custodie de forma segura los activos y gestione correctamente los depósitos y retiros de cada persona.
Pero una cartera es diferente: tú custodia(s) la clave privada; la mayor parte del control de los activos lo tienes tú. Si quieres transferir en el momento que sea o a quién se lo envías normalmente no necesitas pasar por la revisión de la plataforma de intercambio, pero al mismo tiempo tú también debes asumir la responsabilidad de custodiar la frase mnemónica, reconocer sitios de phishing y evitar operaciones erróneas.
Por eso, siempre le digo a todos que una plataforma de intercambio y una cartera personal no es que una sea necesariamente más segura que la otra, sino que se trata de dos formas diferentes de asignar responsabilidades: usar una plataforma de intercambio es delegar parte de la seguridad y la custodia en la plataforma; usar una cartera es recuperar tú mismo la custodia de los activos y las responsabilidades correspondientes.
Cuál elegir depende del tamaño de tus activos, de la frecuencia de uso y de tu capacidad de gestión del riesgo.
Pero hoy hay otra cosa fácil de confundir: las plataformas de intercambio más comunes normalmente ofrecen, al mismo tiempo, una "cuenta de la plataforma" y una "cartera Web3". Por ejemplo, en la misma app de BN u OK, puedes iniciar sesión en la cuenta de intercambio y también crear una cartera autocustodiada que requiere respaldar la frase mnemónica.
Aunque el acceso esté en el mismo lugar, ambos no son la misma cuenta, y la forma en que se controlan los activos es completamente diferente. El criterio es muy simple: si la cartera te exige que hagas una copia de seguridad independiente de la frase mnemónica y explica claramente que la plataforma no puede recuperarla por ti, entonces pertenece a las carteras autocustodiadas.
4. Las diferencias entre monederos calientes y fríos también radican en la clave privada
Después de entender la clave privada/frase mnemónica, se distinguen muy bien los monederos calientes y fríos:
Monedero caliente: la clave privada se guarda en un dispositivo conectado a internet; la firma se realiza mediante el móvil o el ordenador. Apps de cartera de marcas como MetaMask, OKX, SafePal, TP, etc., normalmente pertenecen a monederos calientes;
Monedero frío: la cartera de hardware, de la que se oye hablar con frecuencia, es una forma común de implementarlo. La clave privada se genera y se guarda en un dispositivo de hardware específico sin conexión. Al firmar, la clave privada no sale del dispositivo; por ejemplo, los dispositivos de Ledger, Trezor, OneKey;
Por supuesto, hoy en día, casi todos los proyectos que fabrican carteras de hardware también tienen su propia App de software compatible. Por ejemplo, SafePal y OneKey también lo hacen así.
Hay que aclarar que el monedero frío no significa que todo el dispositivo permanezca siempre sin tocar internet. Más exactamente: se trata de que la clave privada no sale del dispositivo de hardware y no se expone directamente al móvil u ordenador conectados. El flujo real es aproximadamente:
Genera una transacción que queda en espera de firma en el móvil o en el ordenador;
La cartera de hardware completa la firma mediante el chip de seguridad dentro del dispositivo;
La cartera de hardware envía el resultado de la firma de vuelta al móvil o al ordenador;
El móvil o el ordenador vuelve a difundir la transacción a la blockchain;
Durante todo el proceso, la clave privada permanece en el chip de seguridad dentro del dispositivo de hardware.
Pero una cartera fría, o sea una cartera de hardware, no equivale a seguridad absoluta. Si haces una foto de la frase mnemónica y la subes, o la escribes en un sitio de phishing, o autorizas por error un contrato malicioso, entonces aunque el dispositivo sea seguro, no sirve de nada.
En resumen, lo que protege una cartera de hardware es el almacenamiento y el entorno de firma de la clave privada, pero no puede proteger contra que el usuario divulgue voluntariamente la frase mnemónica.
Sobre la selección concreta de monederos calientes, fríos/carteras de hardware, lo tratamos en detalle en el siguiente artículo.
5. ¿De verdad no se puede guardar la frase mnemónica en la nube?
También hay compañeros que me preguntan repetidamente: "Guardo la frase mnemónica en el bloc de notas del móvil; no se la envío a nadie. ¿No sirve?", "¿Guardar la frase mnemónica en una caja de acero de Alipay o en un disco/carpeta de nube cifrada es seguro?"
Objetivamente, los problemas de seguridad rara vez son algo tan simple como "seguro que lo robarán" o "seguro que no lo robarán", sino que distintos métodos de guardado implican distintas probabilidades de riesgo.
Guardar la frase mnemónica en un bloc de notas normal, en favoritos de WeChat, en el historial de chats, en un correo electrónico o en la galería conlleva el mayor riesgo de que el teléfono se infecte o quede bajo control remoto, o de que la cuenta en la nube sea robada y que la galería y el bloc de notas se sincronicen automáticamente. Incluso algunas apps pueden leer el portapapeles o contenido local, y cuando vendes o reparas tu teléfono antiguo, es posible que los datos no se eliminen por completo.
Por supuesto, las herramientas que incluyen una contraseña independiente y funciones de cifrado pueden ser, efectivamente, más seguras que un álbum de fotos o un bloc de notas normal, pero aun así necesitas confiar simultáneamente en el sistema del móvil, en la App correspondiente, en la cuenta en la nube y en la solidez de la contraseña. Si falla cualquiera de esos eslabones, puede ocurrir una filtración.
Así que, para activos de un monto considerable y pensados para mantenerlos a largo plazo, se recomienda escribir la frase mnemónica a mano en papel o registrarla en una placa metálica de frase mnemónica (los proveedores principales de carteras de hardware también suelen ofrecer una placa similar; en el siguiente artículo se explicará). Guárdalas en dos ubicaciones relativamente seguras e independientes entre sí.
Por supuesto, guardar sin conexión también tiene sus riesgos, por ejemplo, que el papel se dañe, que se pierda al mudarte, o que haya un incendio o entre agua. Por eso, la solución de seguridad verdaderamente razonable es hacer más copias de seguridad.
Sobre consejos para custodiar activos cripto, y los escenarios de uso concretos y cómo elegir entre monederos calientes y fríos (carteras de hardware), lo comentamos con detalle en el siguiente artículo.