Billeteras cripto: exchange, autocustodia y frase semilla

Quién tiene las claves cuando tu cripto está en un exchange o en tu billetera, qué es la frase semilla, quién puede recuperar qué y cómo protegerla.

Claves, no monedas

Una billetera cripto no guarda monedas como un monedero guarda billetes. Tu cripto está registrada en una blockchain; la billetera guarda las claves que te permiten moverla. La Agencia de Consumo Financiero de Canadá (FCAC) describe así las dos claves: la clave pública es como una dirección de correo electrónico y sirve para recibir criptoactivos de otras personas, mientras que la clave privada es como una contraseña guardada en la billetera, que sirve para acceder a tus cuentas y enviar criptoactivos a otros.

Quien controla la clave privada controla la cripto. La pregunta práctica es, por tanto, quién la tiene: una empresa o tú.

Dos maneras de tener cripto

La FCAC resume la elección: un proveedor puede gestionar tu billetera por ti a través de una plataforma de trading cripto, o puedes guardarla y gestionarla tú mismo.

Custodia de un tercero: un exchange o una aplicación guarda las claves y te muestra un saldo. Entras con una contraseña y códigos de doble factor, y las reglas de la plataforma deciden cómo recuperas el acceso si los pierdes. El riesgo está en la empresa: si la plataforma o el proveedor de la billetera que tiene tus criptoactivos cierra o quiebra, puedes perder tu dinero. La Autoridad de Conducta Financiera del Reino Unido (FCA) da un caso real: en 2022 el prestamista cripto Celsius se declaró en quiebra debiendo 4.700 millones de dólares a sus usuarios, y muchos inversores no pudieron sacar su dinero ni recuperaron nada. Las plataformas también pueden ser hackeadas; la FCAC advierte que los atacantes pueden robar tus claves y acceder a tus billeteras y criptoactivos.
Autocustodia: tú guardas las claves en una aplicación de billetera o en un dispositivo físico. Ningún exchange puede quebrar con tus monedas dentro ni retener tu retiro (aunque el emisor de una stablecoin sí puede congelar sus propios tokens en cualquier dirección), pero tampoco ninguna empresa puede rescatarte. En palabras de la FCAC: si pierdes tu clave privada, pierdes el acceso a tus billeteras y a tus fondos. Las autoridades financieras europeas son más tajantes: perder las claves privadas supone la pérdida permanente e irreversible del acceso y de la propiedad.

Ninguna de las dos opciones está protegida como un depósito bancario. En el Reino Unido, por ejemplo, la FCA dice que es muy poco probable que te cubra su fondo de garantía, el Financial Services Compensation Scheme.

Quién puede recuperar qué

Contraseña del exchange olvidada o teléfono perdido: solo la plataforma puede devolverte el acceso, según sus propios procedimientos. Mantén al día el correo de acceso, los códigos de respaldo del doble factor y tus documentos de identidad.
El exchange deja de atender tu país o cierra: dependes de su proceso de retiro y, si falla, de un procedimiento de insolvencia. La agencia tributaria de Canadá aconseja exportar con regularidad el historial de tu actividad por si el exchange deja de operar, deja de prestar servicio en Canadá o pierdes el acceso a tu cuenta; es una buena práctica en cualquier país.
Frase semilla perdida y dispositivo roto (autocustodia): nadie puede recuperar los fondos.
Frase semilla vista por otra persona: esa persona puede vaciar la billetera desde cualquier dispositivo. La Policía de Singapur aconseja que, si una frase semilla se ha visto comprometida, transfieras de inmediato todo lo que quede a una billetera nueva y no comprometida.

La frase semilla

Muchas billeteras de autocustodia muestran una frase semilla (o frase de recuperación) al crearlas: una lista de palabras que permite reconstruir la billetera y todas sus claves en otro dispositivo. Es la billetera. La Policía de Singapur da reglas claras:

Las aplicaciones de billetera legítimas no piden tu frase semilla fuera de la configuración segura de la billetera o de su recuperación.
Con una billetera física (hardware wallet), la frase semilla solo debe escribirse directamente en el propio dispositivo, al configurarlo o al recuperar la billetera.
Guárdala en forma física, por ejemplo escrita en papel, en un lugar seguro, y no se la des a nadie.
Las plataformas reales tampoco la piden: según la policía, las plataformas cripto autorizadas en Singapur nunca solicitan credenciales de acceso, códigos de doble factor ni frases semilla o de recuperación, ni piden trasladar los activos a otra billetera por motivos de seguridad o de investigación.

Quien te pida tu frase semilla —alguien que dice ser del soporte, una página web, un nuevo amigo en internet— quiere quedarse con tu cripto.

Billeteras calientes, frías y solicitudes de firma

La FCAC lo explica: una billetera caliente está conectada a internet y una billetera fría no. La Policía de Singapur recomienda guardar la cripto en billeteras físicas siempre que sea posible, porque son menos vulnerables a ataques en línea. Y añade una advertencia: algunas billeteras físicas muestran pocos detalles de la transacción al aprobar solicitudes de firma, lo que puede llevarte a aprobar una transacción maliciosa.

Una billetera puede vaciarse sin tu frase semilla si firmas la solicitud equivocada. La policía describe estafas que llevan a aprobar una «firma de permiso» (permit), una función que autoriza por adelantado una transacción futura firmando un mensaje fuera de la cadena; después los estafadores pueden mover fondos sin más aprobación, incluso si usas una billetera física. Lee cada solicitud antes de aprobarla y revoca con regularidad los permisos que ya no necesitas.

Hábitos que te protegen

Guarda la frase semilla fuera de línea, en papel y en un lugar seguro: nunca en una foto, un chat o una nota en la nube.
Sigue la lista de la FCAC: guarda tus billeteras y copias de seguridad en un lugar seguro, no compartas tu clave privada con nadie y usa una contraseña robusta.
Activa el doble factor en todas partes; la Policía de Singapur sugiere una aplicación de autenticación en lugar de la verificación por SMS, que es más fácil de interceptar.
Mantén actualizados el teléfono, la computadora y las aplicaciones de billetera, y evita entrar en tus cuentas cripto desde redes wifi públicas o no seguras, como aconsejan las autoridades europeas.
Antes de enviar, comprueba la dirección y la red: una transferencia en la blockchain no se puede revertir.
Piensa en tu familia. La FCAC pide considerar qué pasará si enfermas o mueres y nadie puede acceder a tus billeteras, porque si nadie conoce dónde están ni sus contraseñas, nadie podrá recuperar los fondos.

Las criptomonedas son riesgosas las guardes como las guardes, y las reglas para tenerlas cambian de un país a otro; nuestras páginas «¿es legal la cripto?» citan lo que dicen los reguladores de cada país.