Custodia Bitcoin compartida: familia y empresa

Cuando los fondos pertenecen a una familia, sociedad, asociación o empresa, hablamos de custodia Bitcoin compartida: la pregunta deja de ser únicamente «¿cómo protejo mi clave?» y pasa a ser «¿qué personas pueden autorizar, qué ocurre si una falta y cómo se cambia el sistema sin perder continuidad?».

Qué intenta resolver

Evita que una única persona concentre el control y permite formalizar aprobaciones. Puede utilizar multisig u otros mecanismos, pero la característica central es la gobernanza: roles, quorum, sustituciones y documentación.

Qué debe quedar definido

quiénes son los firmantes y qué rol tiene cada uno;
cuántas aprobaciones hacen falta;
qué ocurre ante vacaciones, incapacidad o salida de una persona;
cómo se incorpora un sustituto;
qué registros y verificaciones necesita la organización;
quién puede iniciar una operación y quién puede aprobarla.

El riesgo de confundir personas con claves

Una persona puede cambiar de función y una clave puede necesitar rotación. La arquitectura debe permitir sustituir participantes sin convertir cada cambio organizativo en una emergencia técnica.

Recuperación y continuidad

La documentación debe ser comprensible por quienes puedan asumir los roles, pero no debe concentrar todos los secretos necesarios para gastar. Conviene separar el plano de la arquitectura de los secretos y definir ejercicios controlados.

Cuándo encaja

Tesorerías compartidas, patrimonio familiar que exige varias autorizaciones o cualquier situación donde el control individual sea un riesgo de gobernanza.

Familia y empresa no tienen las mismas necesidades. En una custodia Bitcoin compartida familiar suelen pesar más la sencillez y la continuidad; una empresa suele necesitar además auditoría, separación formal de funciones y registro de cambios.

Idea clave: en custodia compartida, la seguridad técnica y la gobernanza deben diseñarse juntas.

Cómo funciona: capacidad técnica y acuerdo entre personas

Una familia o un equipo puede utilizar una multisig 2 de 3 para que ninguna clave baste por sí sola. Pero Bitcoin solo comprueba firmas: no sabe si hubo una reunión, si una factura es correcta o si los firmantes respetaron un acuerdo. El procedimiento de aprobación debe acompañar a la configuración técnica.

Ventajas y límites

La distribución puede evitar que una ausencia paralice todos los pagos y permite exigir colaboración para gastar. No impide que un quorum suficiente se coordine para actuar contra lo acordado. Tampoco garantiza separación de poderes si una misma persona conserva suficientes claves o sus copias para firmar sola.

Un procedimiento cotidiano comprensible

Una persona prepara el pago e identifica su finalidad y destinatario.
Los responsables previstos revisan importe, dirección y comisión por canales acordados.
Cada firmante comprueba la transacción antes de autorizarla.
Se conserva un registro operativo adecuado, sin incluir seeds ni otros secretos de firma.

Separar quien prepara de quien aprueba tiene un objetivo concreto: quien propone un pago no debería poder completarlo por sí solo. Esa separación reduce errores y abusos internos, sobre todo en organizaciones. Para que funcione, cada participante debe saber qué tiene que comprobar antes de firmar y también qué no debe hacer, como firmar algo que no ha podido revisar por el canal acordado.

Define también qué hacer ante urgencias y desacuerdos. Evita que un mensaje inesperado o una supuesta emergencia sustituya las verificaciones habituales.

Política ordinaria y política de emergencia

Las emergencias suelen justificar excepciones. Si esas excepciones se improvisan el día del problema, es fácil eliminar controles justo cuando hay más presión. Por eso conviene dejar escritas dos políticas antes de necesitarlas:

Ordinaria: quién propone, quién verifica y qué quorum autoriza las operaciones habituales.
De emergencia: qué condiciones concretas la activan, qué firmantes actúan si otros no están disponibles, qué plazos de respuesta se aceptan y cómo queda constancia de que se ha usado.

La política de emergencia organiza a las personas, pero no cambia lo que exige la wallet: Bitcoin seguirá pidiendo las firmas que marque su configuración. Debe ser una ruta alternativa controlada, no una autorización para saltarse el sistema.

Registro y auditoría

Una organización necesita poder reconstruir cada operación: qué se propuso, quién lo revisó y qué firmas la completaron. En una empresa, ese registro debería incluir también los cambios de participantes y de procedimientos. Esa trazabilidad no debería depender de un único software que no permita exportar los datos.

Recuperación, sustituciones y mantenimiento

Ensayad con un sistema de prueba la ausencia de una persona y la pérdida de un dispositivo. Conservad la configuración completa de la wallet y un inventario de responsabilidades, con acceso limitado. Comprobad que las personas designadas entienden las instrucciones sin depender siempre de quien montó el sistema.

La salida de un participante requiere revisar qué claves y copias pudo conservar. Cambiar su nombre en un documento no revoca una clave capaz de firmar. La sustitución puede exigir crear una wallet nueva y trasladar los fondos mediante el quorum vigente.

Por eso el procedimiento de relevo debe dejar escrito quién autoriza el cambio, cómo se genera y verifica la nueva clave y cómo se migran los fondos a la nueva configuración, de modo que el quorum vigente pueda completarlo sin la cooperación del participante saliente. Puedes ver el proceso con más detalle en cómo sustituir un firmante antes de una emergencia. Incluid en los ensayos la sustitución de un participante y el flujo de emergencia: suelen revelar dependencias humanas que no aparecen en la política criptográfica.

Cuándo puede ser inadecuada

No basta con repartir dispositivos si no existe un acuerdo claro o si nadie quiere asumir el mantenimiento. La continuidad también necesita resolver acceso a información, comunicación entre responsables y actuación ante conflictos. Empieza por esas decisiones antes de elegir el hardware.