Multisig autogestionado: claves y recuperación

En un multisig autogestionado, varias claves participan en una política de gasto y el usuario controla todas las piezas necesarias para alcanzar el quorum. Una configuración 2-de-3, por ejemplo, puede tolerar la pérdida de una clave sin entregar el control a una empresa.

Qué intenta resolver

Distribuye el riesgo: una única clave robada no basta para gastar y una única clave perdida no destruye la recuperación. También permite separar físicamente firmantes y copias en varias ubicaciones.

Lo que aparece al añadir varias claves

La recuperación ya no depende únicamente de las seeds. Debes conservar la configuración de la wallet: quorum, claves públicas, derivaciones, tipo de script, descriptor u otro formato interoperable. Sin esa información, reconstruir correctamente el sistema puede ser mucho más difícil.

Qué exige de verdad

ubicaciones realmente independientes;
identificación clara de cada firmante;
copias de la configuración pública;
un coordinador principal y, preferiblemente, otro probado;
procedimientos de sustitución de claves;
simulacros periódicos.

Diversidad frente a simplicidad

Usar firmantes distintos puede reducir un fallo sistémico de fabricante o firmware, pero también introduce interfaces y flujos diferentes. La diversidad solo suma si el usuario puede operar y recuperar ambos con seguridad.

Cuándo no compensa

Si todas las claves acaban en la misma ubicación, si nadie puede mantener la documentación o si el usuario nunca va a ensayar la recuperación, el multisig puede añadir más riesgo humano del que elimina.

Idea clave: el quorum es la parte fácil de describir; la seguridad real está en mantener durante años las claves, la configuración y los procedimientos.

Cómo funciona un quorum 2 de 3

Piensa en una caja con tres llaves distintas que exige dos para abrirse. En una multisig 2 de 3, dos claves diferentes deben autorizar el gasto. La pérdida de una clave no impide necesariamente recuperar los fondos, siempre que conserves dos claves utilizables y la configuración de la wallet. Perder dos sí deja ese quorum sin capacidad de firma.

Ventajas y límites

Distribuir claves entre ubicaciones reduce la dependencia de un único dispositivo o lugar. A cambio, recibir, verificar, firmar y recuperar requieren más coordinación. Tres dispositivos guardados juntos siguen compartiendo el riesgo de incendio o robo; tres copias de una misma seed tampoco constituyen tres claves independientes.

Qué debes conservar para recuperar

Las seeds no son toda la copia. Conserva también la configuración completa de la multisig: quorum, claves públicas extendidas de todos los participantes y los datos necesarios para reconstruir sus direcciones, habitualmente mediante un descriptor o exportación compatible. El aviso de copia de seguridad de Sparrow insiste en guardar todas las xpubs además de las seeds necesarias para firmar.

Un descriptor público no permite gastar por sí solo, pero puede revelar direcciones y actividad. Protégelo también por privacidad y verifica que la exportación que compartes no incluya claves privadas.

Un simulacro que aporta información

Crea un sistema de prueba con claves distintas de las que protegen tus fondos.
Reconstruye la wallet en el coordinador previsto usando la configuración guardada.
Comprueba las direcciones en los dispositivos y realiza un gasto pequeño con el quorum necesario.
Repite la prueba prescindiendo de un firmante para comprobar el escenario de pérdida que pretendes tolerar.

Mantenimiento y cuándo descartarla

Revisa accesos a ubicaciones, copias de configuración e instrucciones después de cualquier cambio. Si una clave se pierde o se expone, diseña la sustitución y el traslado a una nueva wallet antes de improvisar. Puede resultar excesiva si no puedes mantener separadas las claves o si nadie sabría reconstruirla: un esquema complejo sin pruebas puede añadir más riesgo operativo del que elimina.