Bitcoin: punto único de fallo y punto único de confianza

Una buena custodia no consiste en acumular dispositivos. Consiste en identificar qué pieza, persona o empresa podría causar por sí sola una pérdida, un robo o un bloqueo definitivo (un punto único de fallo o de confianza), y decidir si merece la pena reducir ese riesgo.

Una buena custodia no consiste en acumular dispositivos, copias y contraseñas. Consiste en identificar qué elemento podría provocar por sí solo una pérdida, un robo o un bloqueo definitivo, y decidir si merece la pena eliminar ese riesgo.

Punto único de fallo

Existe cuando el fallo de una sola pieza basta para destruir la disponibilidad o la seguridad del sistema. Puede ser una única copia, un único dispositivo, una única ubicación o una única persona que conoce un procedimiento esencial.

Ejemplos:

• la única copia de recuperación está en la misma vivienda que el firmante;
• una passphrase solo existe en la memoria del titular;
• un multisig depende de un descriptor guardado en un único ordenador;
• toda la documentación está cifrada con una contraseña que nadie más puede recuperar.

Punto único de confianza

Existe cuando una empresa o persona puede impedir la recuperación, cambiar las condiciones o convertirse en una dependencia permanente. Puede que técnicamente existan varias claves, pero si solo una aplicación conoce la configuración o solo un proveedor permite reconstruirla, la salida puede no ser realmente independiente.

No todos los puntos únicos tienen la misma importancia

Eliminar un fallo puede añadir otros. Un multisig puede reducir el riesgo de perder una clave, pero exige más ubicaciones, más documentación y más pruebas. Una passphrase puede separar el backup físico de la wallet real, pero también crear una nueva causa de pérdida. La pregunta no es «¿puedo añadir otra capa?», sino «¿qué riesgo material elimina y qué riesgo nuevo introduce?».

Separar fallo, robo y bloqueo

Un diseño debe analizar al menos tres consecuencias:

• pérdida: una pieza desaparece o deja de funcionar;
• robo: una pieza cae en manos de un atacante;
• bloqueo: una empresa, persona o procedimiento deja de estar disponible.

La misma redundancia no resuelve los tres problemas. Dos copias juntas reducen el riesgo de deterioro de una, pero no el de incendio. Dos dispositivos idénticos facilitan la sustitución, pero comparten fabricante y posibles fallos sistémicos.

Complejidad proporcional

Para cantidades operativas pequeñas, una arquitectura sencilla puede ser la decisión más segura. Para patrimonio crítico, puede justificarse distribuir claves y roles. La complejidad solo debe aceptarse cuando elimina un riesgo que realmente importa al usuario.

Regla de Pajarito: ningún componente debería poder causar por sí solo una catástrofe, pero tampoco debemos construir un nido tan complicado que nadie sepa repararlo.