Una billetera de criptomonedas puede parecer perfectamente segura hasta el momento en que su propietario necesite recuperarla.
La aplicación se abre normalmente. El saldo aparece donde corresponde. Las transacciones funcionan. Luego se pierde el teléfono, falla la computadora portátil o la extensión de la billetera desaparece durante un reinicio del navegador. En ese punto, la contraseña que alguien usa cada día puede volverse casi inútil.
CryptoVantage anima a los propietarios de billeteras a prepararse para ese momento antes de que ocurra. La seguridad sólida de la billetera no solo consiste en mantener alejados a los atacantes. También significa garantizar que el propietario legítimo pueda recuperar el acceso después de que un dispositivo se pierda, se dañe, se robe o se reemplace.
Eso requiere más que anotar una frase de recuperación y guardarla en un cajón. Una billetera segura necesita una copia de seguridad que sea precisa, esté protegida y se haya probado sin exponerse innecesariamente.
Lo que realmente protege una billetera cripto
Una billetera cripto no guarda monedas de la misma forma en que una billetera física guarda efectivo. La criptomoneda permanece registrada en su blockchain. La billetera gestiona las claves privadas usadas para autorizar transacciones que involucran esos activos.
Quien controla la clave privada normalmente puede mover los fondos.
Por eso la seguridad de una billetera es diferente a la de una cuenta en línea ordinaria. Si alguien olvida una contraseña bancaria, el banco puede verificar su identidad y restablecerla. Una billetera de autocustodia no tiene un administrador central con ese poder.
Las aplicaciones de billetera como MetaMask, Trust Wallet, Phantom y Exodus generalmente protegen el acceso local con una contraseña, PIN o verificación biométrica. Estos controles evitan que otra persona abra la app sin más en ese dispositivo. No sustituyen las credenciales de recuperación de la billetera.
Eliminar la aplicación y reinstalarla puede eliminar la billetera almacenada localmente. La contraseña de la app sola normalmente no puede restaurarla. La recuperación requiere la frase semilla, la clave privada u otro método de respaldo compatible con la billetera.
Esa diferencia hace que la gente se equivoque más a menudo de lo que debería.
Una contraseña de billetera no es una frase de recuperación
Una contraseña de billetera protege la copia de la billetera instalada en un dispositivo en particular. Una frase de recuperación puede restaurar el acceso en otro dispositivo compatible.
Las frases de recuperación normalmente contienen 12, 18 o 24 palabras, dependiendo de la billetera y su configuración. Esas palabras representan la información necesaria para reproducir las claves privadas de la billetera.
Cualquiera que obtenga la frase puede potencialmente restaurar la billetera en otro lugar y transferir sus activos. No necesita el teléfono original, el dispositivo de hardware ni la contraseña de la app.
Eso hace que la frase de recuperación sea tanto una copia de seguridad esencial como uno de los mayores riesgos de seguridad de la billetera.
Nunca debe enviarse por correo electrónico, escribirse en un chat de soporte, guardarse en un documento en la nube sin protección, ni fotografiarse con un teléfono. Los gestores de contraseñas pueden ser adecuados para algunas credenciales, pero almacenar un respaldo de autocustodia de alto valor en línea requiere una consideración cuidadosa.
MetaMask, Trust Wallet, Ledger, Trezor, Coinbase y otros proveedores legítimos nunca deberían necesitar que los clientes les envíen una frase de recuperación. Alguien que dice ser un representante de soporte y pide esas palabras intenta obtener el control de la billetera.
Revisa la copia de seguridad antes de confiar en ella
Anotar una frase de recuperación solo sirve cuando las palabras son correctas, legibles y están en el orden correcto.
Un solo error de ortografía puede hacer que un respaldo falle. También puede fallar una palabra faltante, una posición incorrecta o una letra manuscrita que se vuelva ilegible después de varios años.
La mayoría de las billeteras piden a los usuarios confirmar partes de la frase durante la configuración. Eso detecta errores inmediatos, pero no prueba que la copia física seguirá siendo comprensible cuando el dispositivo original ya no esté.
Revisa la copia de seguridad en privado. Confirma el número y el orden de las palabras con las instrucciones oficiales de recuperación de la billetera. Nunca las escribas en un sitio web aleatorio que prometa “comprobar” la frase.
La guía de CryptoVantage para respaldar una billetera cripto de forma segura explica en qué se diferencia la recuperación entre cuentas de custodia, billeteras de software y dispositivos de hardware.
Una vez que se haya verificado el respaldo, guárdalo en algún lugar protegido contra accesos no autorizados y daños físicos ordinarios. Un cofre con cerradura puede ser adecuado para algunos usuarios. Otros pueden preferir un plan que involucre más de una ubicación controlada.
El mejor lugar para ocultar no necesariamente es el más ingenioso. Debe estar seguro y en un sitio donde el propietario aún pueda localizarlo años después.
Prueba la recuperación antes de borrar cualquier cosa
Una prueba de recuperación es más valiosa mientras la billetera original todavía está disponible.
El propósito es confirmar que la copia de seguridad restaura las direcciones esperadas de la billetera. No es necesario mover todo el saldo ni exponer la frase de recuperación en varios dispositivos.
Una opción es usar un dispositivo de repuesto que se haya restablecido y se sepa que está limpio. Descarga la billetera solo a través de su sitio web oficial o una lista verificada en la tienda de aplicaciones. Selecciona la opción de recuperación, introduce la copia de seguridad de forma privada y revisa si la cuenta restaurada genera las mismas direcciones públicas.
Comienza comparando las direcciones. Si no coinciden, detente. No envíes fondos adicionales ni elimines la instalación original.
Cualquiera que pruebe una billetera de hardware debe seguir el procedimiento oficial del fabricante. Ledger y Trezor ofrecen opciones de recuperación y verificación de respaldo específicas del dispositivo. Las instrucciones escritas para un dispositivo no deberían asumirse como válidas para otro.
Una prueba de recuperación requiere precaución porque al introducir una frase semilla se crea un punto de exposición. Evita computadoras compartidas, dispositivos de trabajo, entornos públicos, verificadores de frases basados en el navegador y equipos con software cuestionable instalado.
Para una billetera que tenga un saldo significativo, otra opción es crear una billetera nueva, transferirle una cantidad pequeña y practicar primero allí el proceso completo de respaldo y recuperación. Eso ofrece experiencia útil sin poner en riesgo las principales tenencias.
Puede parecer excesivamente cauteloso. Aun así, es más fácil que aprender el proceso por primera vez después de que desaparece un teléfono.
Revisa más que el saldo mostrado
Ver el saldo esperado después de la recuperación es tranquilizador, pero no es lo único que hay que verificar.
Compara las direcciones públicas de recepción para los activos principales. Las billeteras compatibles con Ethereum pueden usar la misma dirección en varias redes, mientras que las billeteras de Bitcoin pueden generar múltiples direcciones a partir de una sola frase de recuperación.
Las cuentas importadas requieren atención especial. Un usuario pudo haber agregado una cuenta mediante una clave privada separada que no está cubierta por la frase principal de recuperación de la billetera. Restaurar la billetera principal no necesariamente restauraría esa cuenta importada.
El mismo problema puede afectar redes y tokens añadidos manualmente. Una billetera restaurada aún podría controlar los activos incluso cuando un token en particular no aparezca de inmediato. Es posible que el usuario necesite volver a agregar la red o el contrato del token.
Lleva un registro de qué cuentas, redes y aplicaciones de billetera forman parte de la configuración. No guardes claves privadas junto a esa lista. El objetivo es documentar la estructura sin crear otro archivo que proporcione acceso directo a todo.
Esto es especialmente útil para personas que usan varios ecosistemas. Una cuenta de MetaMask para Ethereum, una billetera Phantom para Solana y una billetera de hardware de Bitcoin separada pueden tener requisitos de recuperación distintos.
Separa la actividad diaria del almacenamiento a largo plazo
Una sola billetera no tiene que hacer todo el trabajo.
Una billetera de software es conveniente para aplicaciones descentralizadas, marketplaces de NFT, juegos y transacciones frecuentes. Esa misma conveniencia hace que con regularidad interactúe con sitios web y contratos inteligentes.
Una billetera de hardware mantiene las claves privadas dentro de un dispositivo dedicado y requiere aprobación física para las transacciones. Los productos de Ledger y Trezor se usan comúnmente para almacenamiento a largo plazo, aunque el propietario todavía debe verificar cada solicitud que se muestre en el dispositivo.
Una configuración práctica podría usar una billetera de software con saldo bajo para la actividad diaria y una billetera de hardware separada para los activos que no se mueven con frecuencia.
Esta separación limita el daño potencial causado por una aprobación maliciosa. Si la billetera diaria interactúa con un sitio web comprometido, las tenencias a largo plazo almacenadas bajo diferentes claves no quedan expuestas automáticamente.
Además, crea más copias de seguridad que gestionar. La seguridad mejora solo cuando el propietario puede mantener esas cuentas organizadas y que se puedan recuperar.
Crear cinco billeteras y olvidar a cuál le pertenece cada frase no es una mejora significativa.
Revisa permisos antiguos de contratos inteligentes
La seguridad de la billetera no se limita a proteger la frase de recuperación.
Cada vez que alguien usa un exchange descentralizado, un protocolo de préstamo, un marketplace de NFT o una aplicación Web3, la billetera puede otorgar un permiso de contrato inteligente para interactuar con tokens.
Algunos permisos se aplican a una cantidad específica. Otros permiten gastar de forma ilimitada hasta que se revoquen.
Desconectar una billetera de un sitio web no necesariamente cancela una aprobación de token en la cadena. El permiso puede permanecer activo incluso después de que la aplicación desaparezca de la lista de sitios conectados de la billetera.
Los usuarios de Ethereum pueden revisar aprobaciones con servicios como el verificador de aprobaciones de tokens de Etherscan o Revoke.cash. Otros ecosistemas de blockchain ofrecen sus propios exploradores y herramientas de gestión de permisos.
Elimina permisos que ya no sean necesarios, especialmente los relacionados con aplicaciones desconocidas o abandonadas. Revocar una aprobación generalmente requiere una transacción en blockchain y una tarifa de red.
Una billetera de hardware no elimina este riesgo. Si el propietario aprueba una solicitud de contrato malicioso en el dispositivo físico, la billetera puede firmarlo exactamente como se le indica. El dispositivo protege la clave, pero no siempre puede juzgar la intención detrás de la transacción.
Sospecha de los mensajes urgentes
El phishing de billeteras a menudo comienza con la urgencia.
Un mensaje puede afirmar que una cuenta fue comprometida, que una billetera requiere verificación inmediata o que un airdrop expira en minutos. Luego, el enlace lleva a una copia convincente de un sitio web conocido.
Los estafadores también se hacen pasar por empleados de MetaMask, Trust Wallet, Ledger, Trezor, Coinbase, Binance y otras compañías reconocibles. Pueden responder preguntas públicas de soporte en redes sociales antes de que lo haga la empresa real.
El soporte oficial nunca debería necesitar una frase de recuperación o una clave privada para investigar un problema ordinario.
Evita seguir enlaces de billeteras en correos electrónicos no solicitados, mensajes directos o anuncios de búsqueda. Visita directamente el sitio web conocido del proveedor y confirma los anuncios a través de canales verificados.
Las extensiones del navegador también merecen atención. Una extensión falsa puede imitar una interfaz legítima lo suficientemente bien como para capturar credenciales. Confirma el desarrollador, la fuente de descarga, las reseñas y el enlace oficial antes de instalar cualquier cosa.
La urgencia normalmente es una razón para ir más despacio, no para acelerar.
Asegura el dispositivo alrededor de la billetera
Incluso una billetera respaldada correctamente puede quedar expuesta por un teléfono o computadora mal asegurados.
Mantén actualizado el sistema operativo, el navegador, el software de la billetera y el firmware del dispositivo. Las actualizaciones con frecuencia reparan vulnerabilidades de seguridad y también agregan funciones.
Usa una contraseña de dispositivo única y habilita la protección biométrica cuando corresponda. Evita instalar software de billetera en un dispositivo compartido con personas que tal vez no comprendan las consecuencias de aprobar transacciones o eliminar aplicaciones.
La autenticación en dos factores es importante para cuentas de custodia en exchanges como Coinbase y Kraken. Una app de autenticación o una llave de seguridad de hardware generalmente ofrece una protección más fuerte que los códigos por mensaje de texto, que podrían ser vulnerables a ataques de intercambio de SIM.
Las billeteras de autocustodia funcionan de manera diferente porque puede no haber una cuenta centralizada que proteger con autenticación en dos factores convencional. En esos casos, la seguridad del dispositivo, la verificación de transacciones y la protección de recuperación pesan más.
Ninguna función por sí sola hace que una billetera sea completamente segura. La buena seguridad proviene de varios controles que trabajan juntos.
Prepárate para daños físicos y emergencias
Un respaldo en papel puede dañarse por fuego, agua, humedad o el desgaste ordinario. Los productos de respaldo de metal están diseñados para que la información de recuperación sea más resistente a daños físicos, aunque comprar uno no es obligatorio.
El plan de almacenamiento también debe considerar el robo. Mantener una billetera de hardware y su frase de recuperación en la misma bolsa o cajón reduce gran parte de la protección que se obtiene al separarlas.
Las personas con tenencias importantes también podrían necesitar un plan de herencia. Eso no significa compartir la frase semilla de forma casual. Significa dejar instrucciones claras que permitan a una persona de confianza o a un ejecutor localizar la información necesaria en circunstancias definidas.
Esas instrucciones deberían explicar qué billeteras existen y dónde se puede encontrar la guía oficial de recuperación. No deberían exponerlo todo a cualquiera que casualmente abra un archivador.
Los usuarios más avanzados pueden considerar configuraciones de multisig, en las que mover fondos requiere la aprobación de más de una clave. El multisig puede reducir la dependencia de una sola copia de seguridad, pero también agrega complejidad. Perder demasiadas claves puede hacer que los fondos sean inaccesibles.
La seguridad compleja no significa automáticamente mejor seguridad. Una configuración funciona solo cuando su propietario puede operarla y recuperarla correctamente.
Qué hacer si una frase de recuperación queda expuesta
Si una frase de recuperación se introdujo en un sitio web sospechoso, se fotografió en un dispositivo infectado o se compartió con otra persona, asume que la billetera ya no puede ser segura.
Cambiar la contraseña de la app no solucionará el problema. Un atacante puede restaurar la misma billetera en otro lugar usando la frase.
Crea una billetera nueva con una frase de recuperación nueva en un dispositivo confiable. Verifica la nueva dirección de recepción, transfiere los activos y deja de usar la billetera comprometida.
Mueve primero los activos más valiosos y líquidos, pero recuerda que interactuar con tokens desconocidos puede crear riesgo adicional. Los tokens de estafa a veces aparecen en billeteras específicamente para atraer a los usuarios a sitios web maliciosos.
Si los activos ya fueron robados, las transacciones en blockchain generalmente no se pueden revertir. Aun así, se pueden presentar reportes ante el exchange relevante, el proveedor de la billetera, la agencia de aplicación de la ley o un servicio de análisis de blockchain, especialmente cuando los fondos robados se mueven a través de una plataforma centralizada.
Nunca pagues a nadie que prometa una recuperación garantizada. Las estafas de recuperación de activos a menudo se dirigen a personas justo después de un robo inicial.
Una billetera segura también debe poder recuperarse
La configuración de billetera más sólida no es la que tiene más dispositivos, frases, cuentas y compartimentos ocultos. Es la que su propietario puede usar de forma segura y recuperar bajo presión.
Entiende la diferencia entre una contraseña de la app y una frase de recuperación. Verifica que la copia de seguridad sea correcta. Practica restaurarla antes de que desaparezca el dispositivo original. Separa la actividad diaria del almacenamiento a largo plazo, revisa permisos antiguos y no confíes en nadie que solicite credenciales privadas.
Una billetera que ningún atacante pueda acceder es segura. Una billetera a la que su propietario ya no puede acceder simplemente se perdió.
Sobre el autor
CryptoVantage es una publicación de criptomonedas que ofrece guías educativas, noticias, análisis y reseñas sobre Bitcoin, blockchain, exchanges, billeteras, fintech y activos digitales. Su equipo de escritores, investigadores y especialistas en criptomonedas crea contenido accesible tanto para recién llegados como para usuarios de cripto con experiencia, ayudando a los lectores a comprender mejor la industria de activos digitales que evoluciona rápidamente.
El artículo “CryptoVantage Explains How to Strengthen Your Wallet Security” apareció primero en Coinfomania.