El almacenamiento en frío se presenta, correctamente, como la forma más segura de mantener cantidades significativas de criptomonedas, porque saca los fondos de cualquier sistema conectado a internet al que un atacante pudiera acceder remotamente. Lo que ese planteamiento suele omitir es que el almacenamiento en frío introduce una categoría de riesgo completamente distinta, una que no tiene absolutamente nada que ver con hackeos. Una proporción significativa de los fondos permanentemente inaccesibles que revisamos nunca fueron tocados por un atacante. La frase semilla, simplemente, no sobrevivió.
El papel no es un material duradero
Una frase semilla escrita en papel y guardada en un cajón o una caja fuerte está expuesta a todos los peligros ordinarios que dañan el papel: fuego, inundación, una tubería rota, un almacenamiento húmedo que hace que la tinta se desvanezca o el papel se desintegre con los años, y el simple descarte accidental por parte de alguien que no reconoció lo que tenía frente a sí. Ninguno de estos casos requiere sofisticación alguna por parte de un atacante, porque no hay ningún atacante involucrado. La falla es completamente física, y con frecuencia se descubre solo cuando los fondos realmente se necesitan, momento en el cual ya no queda nada a partir de lo cual reconstruir.
Los errores de escritura y de la lista de palabras son más comunes de lo esperado
Una cantidad sorprendente de las billeteras inaccesibles que vemos se remontan a una frase semilla que se registró incorrectamente en el momento en que más importaba, la configuración original. Una palabra escrita apresuradamente que resulta ambigua después, una palabra de apariencia similar de la lista estándar BIP-39 sustituida por la correcta, o una palabra faltante que nunca se verificó contra la pantalla, son errores comunes. Dado que la frase de recuperación normalmente se usa una sola vez, en la configuración, y luego no se vuelve a tocar durante meses o años, rara vez existe una oportunidad temprana de detectar un error de transcripción antes de que se vuelva permanente.
Inmediatamente después de generar una nueva frase semilla, antes de depositar en la billetera cualquier monto significativo, borre deliberadamente el dispositivo y restáurelo únicamente a partir del respaldo escrito. Este único paso detecta los errores de transcripción mientras todavía son corregibles, en lugar de después de que los fondos ya están comprometidos.
Una sola copia es un único punto de falla
Incluso un respaldo perfectamente registrado y físicamente duradero sigue siendo un único punto de falla si solo existe una copia en un solo lugar. Un incendio en la casa, un robo, o simplemente perder de vista dónde se guardó, destruye en un solo evento la única vía de regreso a los fondos. El instinto de mantener un respaldo lo más privado y singular posible es comprensible, pero cambia un riesgo de seguridad por un riesgo de disponibilidad, y una billetera inaccesible es funcionalmente idéntica a una robada desde el punto de vista de su propietario.
Qué soluciona estos modos de falla
- Placas metálicas de respaldo de la frase semilla, estampadas o grabadas en lugar de escritas, que sobreviven al fuego, al agua y a años de almacenamiento de una manera que el papel no puede.
- Varias copias de respaldo guardadas en ubicaciones físicas genuinamente separadas, no solo habitaciones distintas del mismo edificio, de modo que un único evento localizado no pueda destruir todas las copias a la vez.
- Un esquema de fraccionamiento, como el Reparto de Secretos de Shamir o una simple frase de contraseña dividida en varias partes distribuidas entre ubicaciones, de modo que ninguna copia robada o destruida sea suficiente por sí sola para reconstruir la billetera.
- Un proceso de recuperación documentado y probado que una segunda parte de confianza pueda seguir si el titular principal no estuviera disponible, sin que esa parte tenga acceso permanente a los fondos en el presente.
Nada de esto se trata de añadir complejidad por sí misma. Se trata de reconocer que el almacenamiento en frío desplaza el riesgo en lugar de eliminarlo, de un atacante digital que tiene que vencer el cifrado y la seguridad de la red, a un mundo físico de fuego, agua, corrosión y simple error humano, igualmente capaz de dejar los fondos permanentemente inalcanzables, y considerablemente más difícil de ver venir.