Custodia compartida familiar o empresarial: roles, quorum y continuidad

Cuando los fondos pertenecen a una familia, sociedad, asociación o empresa, la pregunta deja de ser únicamente «¿cómo protejo mi clave?» y pasa a ser «¿qué personas pueden autorizar, qué ocurre si una falta y cómo se cambia el sistema sin perder continuidad?».

Qué intenta resolver

Evita que una única persona concentre el control y permite formalizar aprobaciones. Puede utilizar multisig u otros mecanismos, pero la característica central es la gobernanza: roles, quorum, sustituciones y documentación.

Qué debe quedar definido

• quiénes son los firmantes y qué rol tiene cada uno;
• cuántas aprobaciones hacen falta;
• qué ocurre ante vacaciones, incapacidad o salida de una persona;
• cómo se incorpora un sustituto;
• qué registros y verificaciones necesita la organización;
• quién puede iniciar una operación y quién puede aprobarla.

El riesgo de confundir personas con claves

Una persona puede cambiar de función y una clave puede necesitar rotación. La arquitectura debe permitir sustituir participantes sin convertir cada cambio organizativo en una emergencia técnica.

Recuperación y continuidad

La documentación debe ser comprensible por quienes puedan asumir los roles, pero no debe concentrar todos los secretos necesarios para gastar. Conviene separar el plano de la arquitectura de los secretos y definir ejercicios controlados.

Cuándo encaja

Tesorerías compartidas, patrimonio familiar que exige varias autorizaciones o cualquier situación donde el control individual sea un riesgo de gobernanza.

Idea clave: en custodia compartida, la seguridad técnica y la gobernanza deben diseñarse juntas.

Cómo funciona: capacidad técnica y acuerdo entre personas

Una familia o un equipo puede utilizar una multisig 2 de 3 para que ninguna clave baste por sí sola. Pero Bitcoin solo comprueba firmas: no sabe si hubo una reunión, si una factura es correcta o si los firmantes respetaron un acuerdo. El procedimiento de aprobación debe acompañar a la configuración técnica.

Ventajas y límites

La distribución puede evitar que una ausencia paralice todos los pagos y permite exigir colaboración para gastar. No impide que un quorum suficiente se coordine para actuar contra lo acordado. Tampoco garantiza separación de poderes si una misma persona conserva suficientes claves o sus copias para firmar sola.

Un procedimiento cotidiano comprensible

1. Una persona prepara el pago e identifica su finalidad y destinatario.
2. Los responsables previstos revisan importe, dirección y comisión por canales acordados.
3. Cada firmante comprueba la transacción antes de autorizarla.
4. Se conserva un registro operativo adecuado, sin incluir seeds ni otros secretos de firma.

Define también qué hacer ante urgencias y desacuerdos. Evita que un mensaje inesperado o una supuesta emergencia sustituya las verificaciones habituales.

Recuperación, sustituciones y mantenimiento

Ensayad con un sistema de prueba la ausencia de una persona y la pérdida de un dispositivo. Conservad la configuración completa de la wallet y un inventario de responsabilidades, con acceso limitado. Comprobad que las personas designadas entienden las instrucciones sin depender siempre de quien montó el sistema.

La salida de un participante requiere revisar qué claves y copias pudo conservar. Cambiar su nombre en un documento no revoca una clave capaz de firmar. La sustitución puede exigir crear una wallet nueva y trasladar los fondos mediante el quorum vigente.

Cuándo puede ser inadecuada

No basta con repartir dispositivos si no existe un acuerdo claro o si nadie quiere asumir el mantenimiento. La continuidad también necesita resolver acceso a información, comunicación entre responsables y actuación ante conflictos. Empieza por esas decisiones antes de elegir el hardware.

Entradas relacionadas y siguientes pasos

• Single-sig fría sencilla: una clave y recuperación clara
• Autocustodia caliente para fondos de uso frecuente
• Todas las guías de PajaritoBTC

⌕