Moneders cripto: custòdia en un exchange, autocustòdia i frase llavor

Claus, no monedes

Un moneder cripto no guarda monedes com el moneder de la butxaca guarda diners en efectiu. Les teves criptomonedes estan registrades en una blockchain; el moneder guarda les claus que et permeten moure-les. L’Agència de Consum Financer del Canadà (FCAC) descriu així les dues claus: la clau pública és com una adreça de correu electrònic i serveix per rebre criptoactius d’altres persones, mentre que la clau privada és com una contrasenya que guardes en un moneder digital i serveix per accedir als teus comptes i enviar criptoactius a altres persones.

Qui controla la clau privada controla les criptomonedes. La pregunta pràctica és, per tant, qui la té: una empresa o tu.

Dues maneres de tenir criptomonedes

L’FCAC resumeix l’elecció: un proveïdor de moneders pot gestionar-te el moneder a través d’una plataforma de negociació de criptomonedes (CTP, per les sigles en anglès), o potser tens l’opció de guardar el moneder i gestionar-lo tu mateix.

• Custòdia d’un tercer: un exchange o una aplicació guarda les claus i et mostra un saldo. Hi entres amb una contrasenya i codis de doble factor, i són les normes de la plataforma les que decideixen com recuperes l’accés si els perds. El risc és a l’empresa: si la plataforma de negociació o el proveïdor del moneder que té els teus criptoactius tanca o fa fallida, pots perdre els teus diners. L’autoritat de conducta financera del Regne Unit (FCA) en dona un cas real: el 2022, el prestador de criptomonedes Celsius es va declarar en fallida devent 4.700 milions de dòlars als seus usuaris, de manera que molts inversors no van poder retirar els diners i no en van recuperar res. Les plataformes també poden patir atacs informàtics; l’FCAC adverteix que els atacants poden robar les teves claus i accedir als teus moneders i als teus criptoactius.
• Autocustòdia: tu guardes les claus en una aplicació de moneder o en un dispositiu físic. Cap exchange no pot fer fallida amb les teves monedes a dins ni retenir-te una retirada (tot i que l’emissor d’una stablecoin sí que pot congelar els seus propis tokens en qualsevol adreça), però tampoc cap empresa no et pot rescatar. En paraules de l’FCAC: si perds la clau privada, perds l’accés als teus moneders i als teus fons. Les autoritats de supervisió financera de la UE són més contundents: perdre les claus privades dels criptoactius comporta la pèrdua permanent i irreversible de l’accés i de la propietat.

Cap de les dues opcions no està protegida com un dipòsit bancari. Al Regne Unit, per exemple, l’FCA diu que és molt poc probable que et cobreixi el Financial Services Compensation Scheme.

Qui pot recuperar què

• Contrasenya de l’exchange oblidada o telèfon perdut: només la plataforma et pot tornar l’accés, segons els seus procediments. Mantén al dia el correu d’accés, els codis de reserva del doble factor i els teus documents d’identitat.
• L’exchange deixa de donar servei al teu país o tanca: depens del seu procés de retirada i, si falla, d’un procediment d’insolvència. L’agència tributària del Canadà aconsella als usuaris de criptomonedes que exportin regularment l’historial de la seva activitat per si l’exchange deixa d’operar, deixa d’oferir serveis al Canadà o perden l’accés al compte; és una bona pràctica a qualsevol país.
• Frase llavor perduda i dispositiu espatllat (autocustòdia): ningú no pot recuperar els fons.
• Frase llavor vista per una altra persona: aquesta persona pot buidar el moneder des de qualsevol dispositiu. La policia de Singapur aconsella que, si una frase llavor ha quedat compromesa, transfereixis immediatament tots els actius que hi quedin a un moneder nou i no compromès.

La frase llavor

Molts moneders d’autocustòdia mostren una frase llavor (també anomenada frase de recuperació) quan els crees: una llista de paraules que permet reconstruir el moneder i totes les seves claus en un altre dispositiu. La frase és el moneder. La policia de Singapur (SPF) en dona normes clares:

• Les aplicacions de moneder legítimes no et demanaran la frase llavor fora dels processos segurs de configuració o de recuperació del moneder.
• Amb un moneder físic (hardware wallet), la frase llavor només s’ha d’introduir directament al mateix dispositiu, durant la configuració inicial o quan recuperes el moneder.
• Guarda-la en format físic (per exemple, escrita en paper) en un lloc segur i no la comparteixis amb ningú.
• Les plataformes reals tampoc no te la demanen: l’SPF diu que les plataformes de criptomonedes amb llicència a Singapur no demanaran mai als usuaris les credencials d’accés, els codis d’autenticació de doble factor ni les frases llavor o de recuperació, ni els diran que traslladin els actius a un altre moneder per motius de seguretat o d’investigació.

Qualsevol persona que et demani la frase llavor —algú que diu que és del servei d’atenció al client, un web, un nou amic d’internet— intenta quedar-se les teves criptomonedes.

Moneders calents, moneders freds i sol·licituds de signatura

L’FCAC ho explica: un moneder calent (hot wallet) està connectat a internet; un moneder fred (cold wallet), no. L’SPF recomana guardar les criptomonedes en moneders físics sempre que sigui possible, perquè són menys vulnerables als atacs en línia. I hi afegeix una advertència: alguns moneders físics mostren pocs detalls de la transacció quan aproves sol·licituds de signatura, cosa que et pot portar a aprovar una transacció maliciosa.

Un moneder es pot buidar sense la frase llavor si signes la sol·licitud equivocada. L’SPF descriu estafes que enganyen la gent perquè aprovi una «signatura de permís» (permit signature), una funció que permet autoritzar per endavant una transacció futura de criptomonedes signant un missatge fora de la cadena; després, els estafadors poden moure els fons sense cap més aprovació, fins i tot si es fa servir un moneder físic. Llegeix cada sol·licitud abans d’aprovar-la i revoca periòdicament els permisos que ja no necessites.

Hàbits que et protegeixen

1. Guarda la frase llavor fora de línia, en paper i en un lloc segur; mai en una foto, un xat o una nota al núvol.
2. Segueix la llista de l’FCAC: guarda els moneders i les còpies de seguretat en un lloc segur, no comparteixis la clau privada amb ningú i fes servir una contrasenya robusta.
3. Activa l’autenticació de doble factor a tot arreu; l’SPF suggereix una aplicació d’autenticació en lloc de la verificació per SMS, que és més fàcil d’interceptar.
4. Mantén actualitzats el telèfon, l’ordinador i les aplicacions de moneder, i evita iniciar sessió des de xarxes wifi públiques o no segures, com aconsellen les autoritats de supervisió de la UE.
5. Abans d’enviar, comprova l’adreça i la xarxa; una transferència a la blockchain no es pot fer enrere.
6. Pensa en la teva família. L’FCAC et demana que pensis què passarà si emmalalteixes o mors i ningú no pot accedir als teus moneders, perquè, si ningú no sap on són els moneders ni quines contrasenyes tenen, ningú no podrà recuperar els fons.

Les criptomonedes són arriscades, les tinguis com les tinguis, i les normes per tenir-ne varien segons el país; les nostres pàgines «És legal la cripto?» citen el que diuen els reguladors de cada país.