Una clave privada es un número. Solo un número, elegido al azar entre 1 y aproximadamente 2 elevado a 256. Escrito como un entero, da un número de 78 cifras: aproximadamente 10 elevado a 77 posibilidades. Los físicos estiman que el número de átomos del universo observable ronda los 10 elevado a 80. Estamos en el mismo orden de magnitud.
Alguien que quisiera adivinar tu clave al azar no tendría ninguna posibilidad, ni siquiera con todos los ordenadores del planeta durante miles de millones de años. No es una forma de hablar, son matemáticas. Tu frase de 12 palabras sigue la misma lógica: 2.048 palabras posibles por posición, 12 posiciones, es decir, 128 bits de azar (más una pequeña suma de verificación). Más que suficiente.
Entonces, ¿por qué siguen robando claves? Porque el fallo casi nunca está en las matemáticas. Está en el azar. Tres historias reales lo demuestran.
1. Las «brainwallets»: cuando una persona elige su propio azar
Al principio de $BTC, algunas personas creaban su clave a partir de una frase que se sabían de memoria. Práctico: no había que apuntar nada. En agosto de 2015, durante la conferencia de seguridad DEF CON, el investigador Ryan Castellucci mostró lo que eso implicaba. Su herramienta probaba cientos de miles de frases por segundo. Entre las que encontró estaba «Down the Rabbit-Hole», que había contenido unos 85 BTC en 2012. Una frase vacía, que había recibido 50 BTC, quedó vaciada en unos segundos. En total, los monederos que vulneró habían contenido hasta 733 BTC. Él no se llevó nada; de hecho, incluso encontró al propietario para devolverle 250 BTC. Otros, más discretos, ya vigilaban esas direcciones permanentemente.
La lección es sencilla: una frase que a una persona le parece «original» suele estar en un diccionario, una canción o un proverbio. Y una máquina puede probar todo eso muy rápido.
2. Profanity: un número enorme creado a partir de uno pequeño
Profanity era una herramienta popular en $ETH para crear direcciones «bonitas», que empiezan, por ejemplo, con muchos ceros. El problema, revelado por colaboradores de 1inch el 15 de septiembre de 2022, era que la clave de 256 bits se derivaba de una semilla de solo 32 bits. Unos 4.000 millones de combinaciones posibles. A ti y a mí nos parece muchísimo. Para una máquina, es una lista que puede recorrer.
Cinco días después, el 20 de septiembre de 2022, la empresa de trading Wintermute perdió unos 160 millones de dólares. Su dirección de administración se había creado con Profanity. Había retirado los ETH de esa dirección tras la alerta, pero la dirección aún conservaba los derechos sobre su bóveda. Más tarde, un equipo de seguridad, Amber Labs, reprodujo el ataque en menos de 48 horas con un simple ordenador portátil.
La lección: una clave puede tener el tamaño adecuado y estar mal por dentro. Lo que importa es la cantidad real de azar desde el principio.
3. El eslabón que olvidamos: la copia
Las dos primeras historias hablan de claves mal creadas. La mayoría de los robos actuales ni siquiera requieren eso. La clave es perfecta, pero la escribiste en un sitio falso, le sacaste una foto y la guardaste en la nube, o se la enviaste a un «soporte» por Telegram. Las matemáticas te protegen de quien intenta adivinarla. No pueden hacer nada contra alguien a quien le das la respuesta.
Lo que me llevo de esto
A menudo se asusta a la gente con la criptografía, como si fuera frágil. Es al revés: es la parte más sólida de toda la historia. Lo frágil son nuestros atajos. Elegir nuestra propia frase porque es más fácil de recordar. Usar un generador encontrado en internet porque crea una dirección bonita. Guardar una foto «por si acaso».
Tres hábitos que se desprenden directamente de estas historias, no de una lista genérica:
- Deja que el monedero genere la frase. Nunca la crees tú, ni siquiera «al azar» en tu cabeza.
- Desconfía de las herramientas que prometen una dirección personalizada o una clave «más segura». Un monedero reconocido ya hace ese trabajo.
- Una frase de recuperación solo se escribe en el propio monedero, al restaurarlo. Nunca en un sitio web, nunca para una «comprobación».
No es un consejo de inversión, solo una cuestión de mecánica.
Una pregunta para ti: antes de leer esto, ¿pensabas que el mayor riesgo para tus criptomonedas era un hacker brillante o un error de lo más tonto?
#CryptoSecurity #PrivateKey #Web3Security #BinanceSquare #CryptoEducation