Tener varias copias de recuperación de una wallet de Bitcoin no garantiza una recuperación realmente redundante. Si todas dependen del mismo lugar, de la misma persona o del mismo procedimiento, un único incidente puede afectar a todas a la vez.
Cuando alguien piensa en mejorar la recuperación de una wallet de Bitcoin, una reacción bastante natural es hacer más copias.
Una copia en casa. Otra en una caja. Quizá otra en una ubicación diferente.
La idea parece sencilla: si una desaparece, queda otra.
Pero la pregunta importante no es solo cuántas copias existen. También importa qué riesgos comparten.
Dos copias guardadas en el mismo edificio pueden desaparecer en el mismo incendio. Dos copias accesibles por la misma persona pueden quedar expuestas por el mismo robo. Tres copias creadas con el mismo procedimiento defectuoso pueden fallar exactamente de la misma manera.
Redundancia no significa simplemente duplicar
En ingeniería, una copia aporta redundancia cuando puede seguir cumpliendo su función aunque falle otra parte del sistema.
Eso exige cierto grado de independencia.
Imagina dos copias de una seed:
- las dos están en cajones distintos de la misma vivienda;
- las dos están escritas en papel;
- las dos son conocidas por la misma persona;
- las dos dependen de que recuerdes la misma passphrase.
Hay dos copias físicas, pero muchas de sus dependencias son exactamente las mismas.
Un incendio, una inundación importante, un acceso no autorizado a la vivienda o la pérdida de la passphrase podría afectar a todo el sistema.
Por eso conviene diferenciar entre duplicación y redundancia real.
Crear más de una copia del mismo material.
Evitar que un mismo incidente pueda destruir o comprometer todas las vías de recuperación.
Primero define qué necesita realmente tu sistema para recuperarse
Antes de decidir dónde guardar nada, necesitas saber qué información hace falta para reconstruir la capacidad de gastar.
En una configuración sencilla puede bastar con la información necesaria para regenerar las claves de una wallet.
En otras arquitecturas puede ser necesario conservar además:
- una passphrase;
- varias semillas o claves;
- la política de un multisig;
- un descriptor o información equivalente sobre la wallet;
- datos de derivación;
- instrucciones para una persona que no conoce el sistema;
- información necesaria para utilizar otra aplicación compatible.
Hacer tres copias perfectas de una seed sirve de poco si después descubres que también necesitabas otra pieza que solo existía en tu ordenador.
Los fallos pueden estar correlacionados
Dos elementos están expuestos a un fallo correlacionado cuando el mismo evento puede afectar a ambos.
En custodia de Bitcoin esto aparece de muchas formas.
Riesgo físico compartido
Dos copias en el mismo domicilio pueden compartir riesgo de incendio, inundación, registro, robo o pérdida del inmueble.
Riesgo de acceso compartido
Dos ubicaciones distintas pueden seguir dependiendo de una misma persona con acceso a ambas.
Riesgo tecnológico compartido
Dos copias digitales almacenadas en servicios conectados a la misma cuenta pueden depender de una única contraseña, dispositivo o proceso de recuperación.
Riesgo de procedimiento compartido
Varias copias pueden haberse creado correctamente y, aun así, resultar inútiles si nadie sabe qué hacer con ellas o si las instrucciones contienen el mismo error.
Riesgo de conocimiento compartido
Una arquitectura puede depender de una única persona que entiende cómo reconstruirla. Si esa persona no está disponible, las copias físicas pueden seguir intactas y el sistema continuar siendo irrecuperable.
Una recuperación robusta separa varias capas
No se trata solo del soporte físico. Material, ubicación, conocimiento y prueba forman parte del mismo sistema.
Más copias también pueden aumentar la superficie de exposición
La redundancia tiene un coste.
Si una copia completa permite reconstruir una wallet, cada nueva copia añade otra ubicación en la que un tercero podría encontrar información sensible. Y cada una puede leerse, fotografiarse, robarse o destruirse.
Por eso no existe una regla universal del tipo «cuantas más copias, mejor».
El equilibrio real es:
suficientes vías de recuperación para tolerar pérdidas, pero no tantas exposiciones como para convertir la redundancia en un nuevo riesgo.
Ese equilibrio depende del modelo de amenazas, de la arquitectura y de quién necesita poder recuperar.
También influyen el impacto que tendría perder el acceso y tu capacidad real de revisar esas ubicaciones durante años. Una copia que nadie comprueba puede desaparecer o deteriorarse sin que nadie se entere.
Separar ubicaciones puede reducir algunos riesgos
Guardar todo el material crítico en un único punto simplifica la operativa, pero concentra el riesgo.
Separar ubicaciones puede ayudar frente a determinados escenarios físicos, siempre que la separación tenga sentido.
Por ejemplo, dos copias en viviendas diferentes pueden no compartir el mismo riesgo de incendio.
Pero la distribución geográfica introduce otras preguntas:
- ¿quién puede acceder a cada lugar?;
- ¿cómo sabrás si una copia desaparece?;
- ¿puedes acceder a ella durante una emergencia?;
- ¿está suficientemente protegida frente a lectura no autorizada?;
- ¿las ubicaciones dependen en realidad de la misma persona o institución?;
- ¿puedes revisar periódicamente que la copia sigue disponible y legible?
La ubicación por sí sola no convierte una copia en segura.
Papel y metal resuelven problemas distintos de la arquitectura
Un soporte resistente puede reducir determinados riesgos físicos.
El metal, por ejemplo, puede soportar mejor calor, agua o degradación que una hoja de papel.
Eso puede ser útil, pero no resuelve por sí mismo:
- un acceso no autorizado;
- una passphrase olvidada;
- una política multisig mal documentada;
- una copia guardada en una ubicación inaccesible;
- un procedimiento de recuperación que nunca se ha probado.
El soporte es una capa. No es la arquitectura completa.
No repartas palabras de una seed de forma improvisada
Una idea que aparece con frecuencia consiste en dividir manualmente las palabras de una seed entre varias ubicaciones.
Por ejemplo: unas palabras aquí y otras allí.
Eso puede crear una sensación de seguridad, pero es fácil diseñar un esquema difícil de recuperar, con combinaciones inesperadas o con una tolerancia a fallos que nadie ha calculado correctamente.
Si una arquitectura necesita repartir secretos, debería hacerlo utilizando un método conocido y comprendido, con propiedades de recuperación explícitas y probado antes de depositar fondos importantes.
Inventar un sistema casero de partición de semillas suele añadir complejidad sin proporcionar garantías claras.
Una passphrase cambia lo que significa “tener una copia”
Si utilizas una passphrase BIP39, conservar correctamente la seed ya no basta necesariamente para recuperar los fondos esperados.
La passphrase se convierte en otra pieza crítica.
Eso puede separar determinados riesgos: encontrar la seed no equivale automáticamente a obtener la wallet protegida por esa passphrase.
Pero también crea otro escenario de pérdida:
seed disponible + passphrase perdida = recuperación imposible de esa wallet.
Por eso la distribución de copias no puede diseñarse ignorando las dependencias adicionales de la arquitectura.
En multisig, las copias no son solo “varias seeds”
Una configuración multisig introduce otra clase de redundancia: varias claves participan en una política común.
Eso puede reducir la dependencia de una única clave, pero aumenta la información que debe conservarse correctamente.
Además de un número suficiente de claves, puede ser necesario recuperar la descripción de la política de la wallet y la información que permite reconstruir las direcciones correctas.
Por eso una buena copia de recuperación de un multisig no se diseña pensando únicamente en semillas aisladas.
La mejor copia es la que has demostrado que funciona
Una estrategia de recuperación existe realmente cuando ha sido probada.
Que una copia parezca legible no basta para darla por válida. Solo puedes considerarla comprobada cuando la has utilizado en una restauración controlada y la wallet resultante muestra el fingerprint esperado (la huella de la clave maestra) o una dirección conocida que habías anotado antes.
No hace falta esperar a una emergencia.
Puedes construir primero el sistema con fondos inexistentes o con una cantidad pequeña destinada a pruebas y verificar que eres capaz de:
- identificar todo el material necesario;
- reconstruir la wallet con el procedimiento previsto;
- obtener las direcciones esperadas;
- verificar que puedes firmar una transacción;
- hacerlo sin depender de una aplicación concreta si la interoperabilidad forma parte de tu objetivo.
Después puedes documentar qué salió mal y corregirlo.
Una recuperación ensayada produce información que ninguna lista teórica puede sustituir.
Piensa también en la recuperación de otra persona
Una arquitectura puede ser perfectamente comprensible para quien la diseñó y completamente opaca para sus familiares.
Si quieres que otra persona pueda recuperar en caso de incapacidad o fallecimiento, la pregunta deja de ser únicamente «¿dónde están las copias?».
También necesitas pensar:
- qué debe saber esa persona;
- qué puede aprender antes sin comprometer los fondos;
- cómo localizará las piezas necesarias;
- cómo distinguirá una copia válida de información obsoleta;
- qué instrucciones seguiría si una aplicación o proveedor ya no existe.
La documentación puede indicar dónde está cada pieza, qué papel cumple y qué procedimiento seguir. Lo que no necesita es reunir todos los secretos en un único documento: unas instrucciones que incluyen también la seed y la passphrase dejan de ser una guía y se convierten en otra llave completa. Si quieres un punto de partida, puedes preparar una ficha física de recuperación sin reunir secretos.
La continuidad forma parte de la recuperación.
Una forma práctica de revisar tus copias
Sin revelar ningún secreto, puedes revisar tu arquitectura con preguntas como estas:
- ¿Qué información exacta necesito para recuperar?
- ¿Existe más de una vía real de recuperación?
- ¿Qué incidentes podrían afectar a varias copias simultáneamente?
- ¿Cada copia adicional aumenta mucho la exposición?
- ¿Dependo de una passphrase, descriptor u otra información separada?
- ¿Podría recuperar sin la aplicación original?
- ¿He probado el procedimiento completo?
- ¿Sabría otra persona qué hacer si fuera necesario?
Qué debes llevarte de este artículo
- Varias copias no equivalen automáticamente a redundancia.
- Una buena distribución intenta evitar fallos correlacionados entre ubicaciones, personas, soportes y procedimientos.
- Más copias pueden mejorar disponibilidad, pero también aumentar la superficie de exposición.
- Antes de distribuir nada, identifica toda la información necesaria para reconstruir la arquitectura.
- Una passphrase o un multisig cambian qué piezas deben conservarse.
- El soporte físico resuelve solo una parte del problema.
- No conviene inventar esquemas caseros para dividir secretos.
- Una recuperación no está validada hasta que se ha ensayado.
Diseña la recuperación como parte de la custodia
Las copias no son un añadido posterior. Forman parte de la arquitectura desde el principio: claves, ubicaciones, información de recuperación, interoperabilidad y pruebas deben encajar como un único sistema.
Si todavía no lo sabes, empieza por la guía que compara arquitecturas. Si ya quieres estudiarlo en detalle, abre su guía de construcción.