¿Por qué también pueden producirse errores de gestión en las billeteras multifirma?
En el mundo Web3, las billeteras multifirma suelen considerarse una herramienta importante para mejorar la seguridad de los activos digitales.
La idea básica es sencilla: una transacción ya no depende de la firma de una sola persona, sino que debe cumplir unas condiciones de firma preestablecidas para poder ejecutarse.
Por ejemplo, una billetera multifirma 3/5 necesita la aprobación conjunta de al menos tres de los cinco firmantes para realizar una transacción.
Esto significa que, aunque se filtre la clave de uno de los firmantes, por lo general un atacante no podrá completar una transacción usando únicamente esa clave.
Pero también surgen problemas:
Si una billetera multifirma ya exige la aprobación de varias personas, ¿por qué aún pueden producirse pérdidas de activos?
Porque la multifirma aborda algunos riesgos de control centralizado, pero no todos los problemas de seguridad.
01｜¿Qué problemas puede resolver la multifirma?
Por lo general, en una billetera tradicional de firma única, una sola clave privada controla la firma de las transacciones.
Si esta clave privada se filtra, se pierde o se usa con fines maliciosos, los activos de la billetera pueden correr un grave riesgo.
En cambio, una billetera multifirma distribuye entre varios firmantes la autoridad para ejecutar transacciones mediante un umbral de firmas.
Por ejemplo:
Multifirma 2/3: se necesitan al menos dos aprobaciones de tres firmantes.
Multifirma 3/5: se necesitan al menos tres aprobaciones de cinco firmantes.
Multifirma 4/7: se necesitan al menos cuatro aprobaciones de siete firmantes.
Estas cifras representan distintas configuraciones de permisos; no existe una única respuesta correcta para todos los casos.
Las ventajas de la multifirma se manifiestan principalmente en tres aspectos:
Primero, reduce el impacto de que una sola clave quede comprometida.
Si el umbral de firmas sigue cumpliendo los requisitos de seguridad, el robo de una clave no necesariamente basta para transferir los activos.
Segundo, establece un mecanismo de revisión compartida.
Antes de ejecutar una transacción, varios firmantes pueden revisar el importe, la dirección del destinatario, el propósito y los riesgos asociados.
Tercero, reduce el impacto de los errores operativos individuales.
Cuando varias personas participan en la toma de decisiones siguiendo procesos de revisión independientes, algunos errores de una sola persona pueden detectarse antes de la ejecución.
Pero ten en cuenta lo siguiente: la multifirma no significa automáticamente que cada firmante comprenda realmente el contenido de la transacción ni garantiza que cada uno tome una decisión independiente.
02｜¿Por qué una billetera multifirma aún puede ser vulnerada?
Riesgo 1: las claves de varios firmantes quedan bajo el control de un atacante al mismo tiempo
La multifirma depende de varias condiciones de firma. Sin embargo, si las claves de distintos firmantes se guardan en realidad en el mismo dispositivo, la misma cuenta en la nube o el mismo entorno de copias de seguridad vulnerable, el riesgo puede concentrarse considerablemente.
Por ejemplo, un equipo puede tener tres firmantes, pero guardar todas las copias de seguridad de las claves en la misma unidad en la nube, que no está suficientemente protegida.
Si esa cuenta en la nube sufre una intrusión, las medidas de seguridad que parecían estar distribuidas pueden fallar todas a la vez.
Por eso, el número de firmantes no equivale a una verdadera independencia en materia de seguridad.
También es importante que las claves se custodien de forma independiente, que los dispositivos estén separados y que los materiales de recuperación estén protegidos.
Riesgo 2: falta de revisiones independientes entre los firmantes
El valor de la multifirma no consiste solo en reunir suficientes firmas, sino también en que cada firmante revise realmente la transacción.
Si todos dan por sentado que los demás ya la revisaron, o suelen aprobar las transacciones iniciadas por miembros conocidos, la multifirma puede quedar reducida a una confirmación grupal meramente formal.
Más peligroso aún, un atacante puede hacerse pasar por una persona responsable, falsificar avisos urgentes o infiltrarse en los canales de comunicación del equipo para inducir a varios firmantes a aprobar la misma transacción maliciosa.
Que haya varias firmas no significa que varias personas hayan verificado la transacción de forma independiente.
Riesgo 3: el umbral de firmas está mal configurado
El umbral de firmas debe equilibrar la seguridad y la facilidad de uso.
Si el umbral es demasiado bajo, el control de unas pocas claves puede bastar para cumplir las condiciones de ejecución de una transacción.
Si el umbral es demasiado alto, la salida de firmantes clave, los daños en los dispositivos o la imposibilidad de contactar con ellos pueden afectar las transacciones habituales y la respuesta ante emergencias.
Por ejemplo, una multifirma 3/5 requiere al menos tres firmantes. Si tres de ellos no están disponibles al mismo tiempo, es posible que el equipo no pueda completar la transacción según lo previsto.
Por eso, al diseñar una configuración multifirma, no solo hay que tener en cuenta cuántas claves tendría que controlar un atacante, sino también si el sistema puede funcionar de forma estable en condiciones normales y cómo recuperar la capacidad de gestión en una emergencia.
Riesgo 4: la transacción en sí presenta problemas
La multifirma puede limitar quién tiene autoridad para aprobar una transacción, pero no puede determinar automáticamente si su contenido es seguro.
Si los firmantes aprueban la interacción con un contrato malicioso o transfieren por error fondos a una dirección no confiable, el mecanismo multifirma puede ejecutar la transacción de todos modos.
En otras palabras, la multifirma ayuda a controlar quién puede ejecutar transacciones, pero no sustituye la revisión de su contenido.
Por eso, los firmantes deben verificar la dirección del contrato, los parámetros de la transacción, la cantidad de activos y el propósito real de la operación, en lugar de limitarse a confiar en la explicación de quien la inicia.
Riesgo 5: los procesos de gestión no están a la altura
Aunque la configuración técnica sea adecuada, la falta de procesos operativos claros puede causar problemas graves.
Por ejemplo:
No se actualizan los permisos a tiempo cuando cambia un firmante.
Nadie revisa las copias de seguridad de las claves durante largos periodos.
No hay reglas claras sobre cómo deben revisarse las transacciones de grandes importes.
En una emergencia, el equipo no sabe cómo suspender o reanudar las operaciones.
No se registra el proceso de aprobación de las transacciones, lo que dificulta determinar responsabilidades posteriormente.
Estos problemas no necesariamente se deben a una vulnerabilidad del contrato inteligente, pero pueden afectar directamente la seguridad de los activos.
03｜¿Cómo establecer un mecanismo de gestión multifirma más fiable?
Para que la gestión multifirma sea realmente eficaz, la configuración técnica y las normas operativas deben funcionar en conjunto.
Primer paso: diseñar un umbral de firmas adecuado.
Determina cuántos firmantes se necesitan y cuántos deben aprobar una transacción según el volumen de fondos, la frecuencia de las transacciones, la estructura organizativa y la tolerancia al riesgo.
No busques simplemente aumentar el número de firmantes ni reduzcas demasiado el umbral por comodidad.
Segundo paso: garantizar la independencia real de las claves.
En la medida de lo posible, evita que las claves de varios firmantes se concentren en el mismo dispositivo, la misma cuenta o el mismo entorno de copias de seguridad.
Para los fondos importantes, puedes considerar el uso de dispositivos diferentes, credenciales de acceso independientes y un mecanismo de recuperación planificado.
Tercer paso: establecer reglas para revisar las transacciones.
Define qué transacciones pueden gestionarse según el procedimiento habitual y cuáles requieren una revisión adicional.
Por ejemplo, las transferencias de grandes importes, las interacciones con contratos nuevos, los cambios de permisos importantes y las transferencias a direcciones nuevas pueden someterse a procesos de verificación más estrictos.
Cuarto paso: cada firmante debe verificar de forma independiente los detalles clave.
Antes de firmar, confirma como mínimo el importe de la transacción, la dirección de destino, la dirección del contrato y el propósito de la operación.
Si no entiendes una transacción, no la firmes solo porque otros miembros ya la hayan aprobado.
Quinto paso: revisar periódicamente a los firmantes y los mecanismos de recuperación.
Confirma que los firmantes aún puedan acceder a sus claves de forma segura y comprueba que la configuración de permisos se ajuste a la estructura actual del equipo.
Además, prepara de antemano un plan para gestionar la pérdida de claves, la salida de miembros, los daños en los dispositivos y los incidentes de riesgo urgente.
Ten en cuenta que el método concreto de recuperación y sustitución depende de la implementación técnica de la billetera multifirma. Algunas configuraciones permiten actualizar los permisos existentes; otras pueden requerir que se prepare de antemano un plan de migración.
04｜Una mayor complejidad no siempre significa más seguridad
Aumentar el número de firmantes o elevar el umbral de firmas puede cambiar las condiciones que un atacante tendría que cumplir para controlar la billetera.
Pero una mayor complejidad también puede generar nuevas cargas de gestión.
Si la distribución de los firmantes no es adecuada, los permisos no están documentados con claridad o el equipo carece de un mecanismo estable para revisar las transacciones, pueden producirse errores humanos incluso con multifirma.
Por eso, lo verdaderamente importante no es buscar simplemente un umbral de firmas más alto, sino adaptar el mecanismo de seguridad a la capacidad de gestión real.
Una buena configuración multifirma debe tener en cuenta todos estos aspectos:
Que las claves sean independientes y estén protegidas.
Que los firmantes puedan revisar las transacciones de forma independiente.
Que el umbral de firmas sea adecuado.
Que el proceso de aprobación de transacciones sea claro.
Que sea posible responder a tiempo en caso de emergencia.
Que los cambios de permisos y los registros de operaciones puedan rastrearse.
La multifirma no consiste en repartir la confianza entre más personas, sino en organizar los permisos, las revisiones y las responsabilidades en un mecanismo fiable.
Una vez que comprendemos los límites de seguridad de las billeteras multifirma, surge naturalmente la siguiente pregunta:
Si un proyecto cuenta con medidas de seguridad de billetera completas, ¿significa eso que sus contratos inteligentes son necesariamente seguros?
En el próximo artículo seguiremos explorando esta cuestión: si un contrato ha superado una auditoría, ¿por qué eso no garantiza su seguridad absoluta?
#ONEANetwork #Web3Security #Multisig #WalletSecurity