Cómo guardar bitcoin y criptomonedas de forma segura

La forma más segura de guardar bitcoin y criptomonedas es la autocustodia: una billetera de hardware, una frase semilla escrita en papel o grabada en acero y nunca fotografiada ni escrita en ningún aparato, y la costumbre deliberada de verificar las direcciones antes de enviar. Mantener monedas en un exchange regulado es una opción razonable para saldos pequeños con los que opera a menudo, pero implica confiar su dinero a la seguridad y la solvencia de otro. Todo lo demás en seguridad cripto es detalle que se apoya sobre esas dos decisiones. Esta guía presenta los dos modelos de custodia con honestidad y luego recorre las capas prácticas: elegir una billetera de hardware, manejar su frase semilla, añadir una frase de contraseña, reconocer las estafas que de verdad vacían billeteras hoy y asegurarse de que sus monedas no mueran con usted.

No son tus llaves, no son tus monedas

Cada dirección de bitcoin está controlada por una clave privada, y las billeteras modernas derivan todas sus claves de un único secreto maestro llamado frase semilla. Quien tenga ese secreto controla las monedas. La blockchain en sí no tiene ningún departamento de recuperación de cuentas.

Eso conduce a los dos modelos de custodia:

La custodia en un exchange significa que la plataforma tiene las claves y usted tiene un pagaré. La ventaja es la comodidad: puede iniciar sesión desde cualquier lugar, restablecer una contraseña olvidada y operar al instante. La desventaja es el riesgo de contraparte. Cuando FTX quebró en noviembre de 2022, los clientes que creían tener bitcoin descubrieron que en realidad tenían créditos sin garantía en una quiebra. Los hackeos, los congelamientos de retiros y las retenciones repentinas por cumplimiento son menos frecuentes en las grandes plataformas reguladas, pero el hecho estructural no cambia nunca: las monedas en un exchange son monedas del exchange, con una promesa adjunta.

La autocustodia significa que usted tiene las claves, normalmente mediante una billetera de hardware. Nadie puede congelar, incautar ni perder sus monedas en su nombre. A cambio, usted acepta toda la responsabilidad. Si pierde la frase semilla y el dispositivo, las monedas desaparecen. Si lo engañan para firmar una transacción maliciosa, nadie la revierte.

Un reparto sensato para la mayoría: mantenga en un exchange de buena reputación solo lo que esté operando activamente y pase sus tenencias a largo plazo a autocustodia. Cuanto más importe el saldo en su vida, más fuerte es el argumento para tener sus propias claves.

Billeteras de hardware: el estándar de la autocustodia

Una billetera de hardware es un dispositivo pequeño que genera y guarda sus claves dentro de un chip dedicado y firma las transacciones internamente, de modo que las claves nunca tocan su computadora ni su teléfono. Aunque su portátil esté plagado de malware, el malware no puede extraer las claves del dispositivo. Igual de importante, el dispositivo tiene su propia pantalla: le muestra la dirección de destino y el monto reales antes de que usted apruebe, lo que derrota al software que reescribe transacciones en silencio.

Tres reglas al comprar y usar una:

• Cómprela directamente al fabricante. Los dispositivos comprados a revendedores de marketplaces o de segunda mano pueden haber sido manipulados antes de llegarle. Un dispositivo legítimo genera una semilla nueva en el primer uso; si uno llega con una frase semilla ya rellenada, es una estafa diseñada para que el vendedor lo vacíe más tarde.
• Verifique en la pantalla del dispositivo, siempre. Confíe en la dirección que muestra la billetera de hardware, no en la de su computadora, cada vez que envíe o reciba.
• Configure un PIN para que un ladrón que robe el dispositivo no pueda usarlo antes de que usted restaure sus fondos en otro lugar.

Las billeteras de software en un teléfono o una computadora sirven para saldos pequeños de gasto, igual que una billetera física lleva el dinero de bolsillo y no sus ahorros. Compare las opciones actuales de hardware en nuestra página de billeteras.

Frases semilla: una regla por encima de todas

Cuando configura una billetera, esta le muestra una frase semilla de 12 o 24 palabras comunes. Esas palabras son la billetera. Cualquiera que las lea puede recrear su billetera en su propio dispositivo y llevárselo todo, desde cualquier lugar del mundo, sin tocar su hardware.

La regla que importa más que cualquier otra: la frase semilla nunca se vuelve digital. Ni foto, ni nota en la nube, ni borrador de correo, ni gestor de contraseñas, ni archivo cifrado, ni escribirla en un sitio web o una aplicación. Las fotos se sincronizan con la nube, la nube sufre filtraciones, el malware lee el portapapeles y los sitios de phishing existen solo para recolectar frases semilla escritas. Una billetera legítima solo le pedirá la semilla en el propio dispositivo de hardware durante una recuperación, nunca en un navegador y nunca en una ventana emergente.

Manejo práctico:

• Escríbala a mano en la tarjeta incluida o, mejor aún, estámpela o grábela en una placa de acero que resista el fuego y las inundaciones.
• Guarde copias en dos lugares seguros distintos, como una caja fuerte en casa y una caja de seguridad bancaria.
• No se complique repartiendo las palabras entre lugares de formas que podría recordar mal. La complejidad es la manera en que la gente se queda fuera de su propia billetera.
• Nunca la lea en voz alta en una llamada ni la muestre al compartir pantalla, pregunte quien pregunte. Esa petición es la estafa.

Billeteras con frase de contraseña: una palabra 25 opcional

La mayoría de las billeteras de hardware admiten una frase de contraseña adicional encima de la semilla, a veces llamada la palabra 25. Añadir una frase de contraseña crea una billetera oculta totalmente separada: la misma semilla con otra frase de contraseña abre una billetera distinta y vacía. Esto lo protege si alguien encuentra físicamente su semilla escrita, porque las palabras solas ya no desbloquean sus fondos principales. También permite una configuración señuelo, en la que la semilla sola abre un saldo pequeño y la frase de contraseña abre el real.

La contrapartida es grave: no hay forma de restablecerla. Una frase de contraseña que olvide, o que anote con un solo carácter equivocado, destruye el acceso tan por completo como una semilla perdida. Si usa una, elija algo que pueda guardar o recordar de forma fiable, y envíe siempre un monto pequeño de prueba y practique una recuperación completa antes de poner fondos importantes detrás de ella.

Los ataques que de verdad funcionan hoy

La mayoría de las pérdidas cripto de hoy no vienen de que alguien rompa la criptografía de bitcoin. Vienen de personas a las que convencen o engañan para que entreguen valor. El Internet Crime Complaint Center del FBI registró 9,3 mil millones de dólares en pérdidas por fraude cripto denunciadas por estadounidenses solo en 2024, un 66 % más que el año anterior, y las estafas de inversión de largo recorrido (a menudo llamadas pig butchering) causaron las mayores pérdidas. Vale la pena conocer cuatro patrones en detalle.

Phishing de aprobaciones

En redes como Ethereum, los tokens admiten aprobaciones: usted puede autorizar a una aplicación a gastar tokens en su nombre. Los sitios fraudulentos imitan airdrops, acuñaciones o herramientas de trading y le piden firmar lo que parece una confirmación rutinaria, pero que en realidad es una aprobación de gasto ilimitada. El atacante puede entonces vaciar los tokens aprobados en cualquier momento posterior, sin otra firma suya. Investigadores de Chainalysis han vinculado más de mil millones de dólares en pérdidas a esta técnica desde mayo de 2021. Defensas: lea lo que firma en la pantalla de su billetera de hardware, sea implacable con los sitios desconocidos y revoque periódicamente las aprobaciones antiguas con una herramienta de revocación de buena reputación.

Envenenamiento de direcciones

Los atacantes envían transferencias diminutas a su billetera desde direcciones fabricadas para parecerse a las que usted ha usado, con los mismos primeros y últimos caracteres. Más tarde, cuando copia una dirección de su historial de transacciones, copia la de ellos. En mayo de 2024 una sola víctima envió 1.155 wrapped bitcoin, por valor de unos 68 millones de dólares, a una dirección envenenada; los fondos solo se devolvieron después de que los investigadores identificaran al atacante, un desenlace con el que nadie debería contar. Defensas: nunca copie direcciones del historial de transacciones, verifique algo más que los primeros y últimos cuatro caracteres, mantenga una libreta de direcciones de destinos verificados y envíe un monto pequeño de prueba antes de cualquier transferencia grande.

SIM swapping

Un atacante convence o soborna a un empleado de una operadora móvil para que pase su número de teléfono a la SIM del atacante, luego intercepta sus códigos por mensaje de texto y restablece sus cuentas de exchange y de correo. Desde mediados de 2024 las operadoras de Estados Unidos están obligadas a usar una autenticación más fuerte y a avisarle de las solicitudes de cambio de SIM, pero el ataque no ha desaparecido. Defensas: elimine el SMS como segundo factor siempre que pueda, use una aplicación de autenticación o una llave de seguridad de hardware para exchanges y correo, y configure un PIN o un bloqueo de portabilidad con su operadora.

Soporte falso

Ningún exchange, empresa de billeteras ni proyecto de blockchain legítimo se pondrá nunca en contacto con usted primero para resolver un problema, y ninguno necesitará jamás su frase semilla. Los estafadores mantienen cuentas de soporte falsas en redes sociales, compran anuncios en buscadores que apuntan a sitios web clonados y envían correos urgentes sobre filtraciones o actualizaciones obligatorias de la billetera. Las listas de clientes filtradas lo empeoran: los compradores de billeteras de hardware han recibido phishing convincente durante años después de filtraciones de datos de fabricantes, como la filtración de la base de datos de clientes de Ledger en 2020. Defensas: guarde en marcadores los sitios reales, escriba usted mismo las direcciones, trate como hostil todo contacto no solicitado sobre sus criptomonedas y recuerde que mantener en privado sus tenencias ya es en sí una defensa. Nuestra guía sobre lo que protege una VPN y lo que no cubre el lado de la privacidad en la red.

Herencia: haga que sus monedas sobrevivan

Una autocustodia perfecta puede igualmente fallarle a su familia. Si usted es la única persona en el mundo que puede encontrar y usar su frase semilla, sus monedas se pierden el día que usted falte. El fallo opuesto es igual de real: instrucciones tan accesibles que un familiar, un compañero de piso o un ladrón pueden vaciar la billetera antes de tiempo.

Un plan básico viable:

• Mantenga un inventario en lenguaje sencillo de lo que existe y dónde está (qué dispositivo, qué lugares), guardado con su testamento o con su abogado. El inventario no contiene secretos.
• Guarde la semilla en sí sellada en otro lugar seguro al que el albacea solo pueda acceder mediante el proceso sucesorio.
• Nunca ponga la frase semilla en el propio testamento; los testamentos pueden volverse registros públicos en la sucesión.
• Si usa una frase de contraseña, asegúrese de que se pueda recuperar mediante el mismo proceso, o la semilla no servirá de nada.
• Acompañe una vez a su heredero previsto en una recuperación de práctica. Un plan que nunca se ha probado es una esperanza, no un plan.

Las tenencias más grandes pueden justificar configuraciones multisig o repartir el material entre un abogado y un familiar, pero un plan sencillo y probado supera a uno sofisticado sin probar.

La lista de control final

• Las tenencias a largo plazo están en una billetera de hardware comprada directamente al fabricante.
• La frase semilla existe solo en papel o acero, en dos lugares seguros, sin ninguna copia digital.
• Una frase de contraseña protege los saldos grandes, y es a la vez memorable y recuperable.
• Las cuentas de exchange usan una aplicación de autenticación o una llave de seguridad de hardware, nunca códigos por SMS.
• Cada envío se verifica en la pantalla del dispositivo, con una transacción de prueba antes de montos grandes.
• Las direcciones nunca se copian del historial de transacciones, y las aprobaciones de tokens antiguas se revocan.
• Cualquiera que lo contacte primero sobre sus criptomonedas se trata como un estafador, porque casi con seguridad lo es.
• Existe un plan de herencia escrito y probado, sin secretos en el testamento.
• Usted revisa toda la configuración una vez al año.

Nada de esto exige brillantez técnica. Exige aceptar que en cripto usted es el banco, y los bancos tienen procedimientos.