El trilema de la custodia

Si la empresa que creó tu billetera desapareciera esta noche, con los servidores apagados, la app retirada de la tienda y el equipo imposible de contactar, ¿podrías seguir moviendo tu dinero mañana por la mañana?

La mayoría de la gente no sabe responder esta pregunta sobre su billetera, lo cual es extraño, porque es la única pregunta que importa. Todo lo demás (los swaps, el gráfico del portafolio, las curvas de rendimiento) es solo decoración encima de una única promesa: que el dinero es de verdad tuyo.

Una palabra que ya no significa nada

Casi todas las billeteras que puedes descargar hoy se llaman a sí mismas «de autocustodia».

Casi todas las extensiones de billetera y las apps de exchange han adoptado este término. Incluso productos que guardan una parte de tu material de claves en sus servidores han empezado a usarlo.

Para entender mejor lo que significa, primero hay que hacer una distinción importante.

Hay una diferencia entre «autocustodia» (self-custodial) y «sin custodia» (non-custodial), aunque en la industria estos términos se usen como si fueran intercambiables:

• La autocustodia se define como una billetera o cuenta en la que todas las claves privadas las gestiona el usuario, y ningún proveedor de servicios externo tiene la capacidad de censurar ni impedir las transacciones del usuario en ningún momento.
• Sin custodia se define como una billetera o cuenta en la que las claves privadas se reparten entre el usuario y un proveedor de servicios externo, y ese proveedor conserva alguna forma de control sobre la cuenta.

La primera describe propiedad. La segunda describe una sociedad.

Como la etiqueta no es realmente confiable, necesitamos una prueba que la ignore por completo. Una prueba que no pregunte cómo se llama a sí misma una billetera, sino qué queda de tu dinero una vez que su creador ya no está. Diseñar esa prueba exige primero saber qué se supone que debe hacer una billetera. Así que empecemos por ahí, por las tres cosas que de verdad quieres de ella.

Lo que de verdad quieres

En esencia, quieres tres cosas del software de una billetera.

Primero, que nadie pueda tomar tu dinero. Ni un ladrón, ni el congelamiento de un servicio, ni siquiera la empresa cuyo logo está en la app. Los usuarios de Celsius creían que ganaban rendimiento sobre sus propias monedas, hasta que en junio de 2022 los retiros se detuvieron. El tribunal de quiebras luego lo hizo oficial: según los términos de uso que todos habían aceptado con un clic, las monedas de esas cuentas de interés siempre habían sido de Celsius. Los usuarios no eran dueños, eran «acreedores no garantizados». El eslogan de la empresa era «Unbank yourself» (líbrate del banco).^[1]

Segundo, que no puedas perderlo por ser humano. Las personas pierden el teléfono todo el tiempo. Olvidan contraseñas. Anotan doce palabras en un papel y después cambian de departamento, de ciudad y de país. Una parte importante de todo el bitcoin, según algunas estimaciones una quinta parte, está en direcciones a las que ya nadie puede acceder.^[2] Un sistema que castiga las circunstancias normales de la vida con una pérdida total y permanente no es un sistema para gente normal.

Tercero, que no necesites volverte experto. Existe un documento llamado «Glacier Protocol» que describe un procedimiento meticuloso para guardar Bitcoin con la máxima seguridad.^[3] Es un trabajo excelente, y casi nadie en el planeta lo ha completado. La seguridad que depende de hacer la tarea solo protege a quienes hacen la tarea.

Llamemos a estas tres propiedades soberanía, resiliencia y usabilidad.

Elige dos

Durante casi toda la historia de las cripto, solo podías tener dos de las tres.

Una billetera de hardware con un buen esquema de respaldo te da soberanía y resiliencia. Sin embargo, la puesta en marcha es todo un proyecto: dispositivos, frases semilla, quizás un multifirma repartido en varios lugares. Cada día siguiente es un ritual: tienes que encontrar el dispositivo, conectarlo, verificar la dirección en una pantalla del tamaño de una estampilla, firmar, y repetir por cada clave. Nadie puede tomar el dinero y ningún error aislado lo destruye, pero así no vas a pagar un café. Ni siquiera vas a revisar tu saldo sin abrir un cajón.

Una billetera caliente con frase semilla te da soberanía y casi toda la usabilidad. En unos minutos ya está lista y envías con un toque. Muy pronto empiezas a ver por dónde se escapa esa «fluidez». La puesta en marcha arranca con una ceremonia: copiar doce palabras en un papel como un escriba medieval y luego aprobar un examen que demuestre que lo hiciste. La recuperación es donde la interfaz desaparece por completo. En la autocustodia no existe el «olvidé mi contraseña»; está la frase semilla, o está el cero. Estás a una captura de pantalla, un sitio de phishing o una aprobación equivocada de ese cero, para siempre.

Una cuenta de exchange te da resiliencia y usabilidad por completo. Registro con correo, restablecimiento de contraseña, una bandeja de soporte, nada de gas del que preocuparse, nada de direcciones de cuarenta caracteres. Se siente como cualquier otra app de tu teléfono porque es como cualquier otra app de tu teléfono: una cuenta a la que accedes, no una propiedad que controlas. La recuperación es fluida porque el exchange puede restablecer tu acceso. El truco es que ese mismo poder le permite dejarte afuera.

Por qué no puedes tener las tres

Esto no es una casualidad de mal diseño, sino la estructura misma del problema.

Una clave privada es un único secreto. Para protegerte de perderla, tienes que copiarla o dividirla; no hay una tercera opción. Cada copia es una nueva forma de que te roben. Cada persona o servidor que guarda una parte es alguien nuevo en quien confiar, y cada resguardo que agregas es fricción que paga el usuario, ya sea al configurar o cada día después. No puedes hacer que la confianza desaparezca, pero puedes moverla de lugar: al papel, al hardware o a servidores de terceros.

La autocustodia es responsabilidad. Quien carga con el peso de las claves tiene la custodia. Ese peso no se puede eliminar, solo trasladar a otro lugar o a otra persona, junto con la propiedad.

Cómo lo «resolvieron» los demás

Antes de construir nada, miramos cómo había resuelto el resto de la industria esta tensión. Rápidamente nos dimos cuenta de que el trilema no estaba resuelto, solo disfrazado.

La versión moderna de la «custodia» se ve así:

Descargas una billetera y te registras con Google. Sin ceremonia de frase semilla, sin examen, solo una pantalla de OAuth conocida y ya estás dentro. Se siente como una cuenta de exchange, y el sitio web dice autocustodia.

Detrás de esa pantalla amigable hay una concesión que nunca te muestran: tus claves ahora viven, en todo o en parte, en una infraestructura que no controlas.

Con el inicio de sesión social de MetaMask (construido sobre Web3Auth), tu frase de recuperación se cifra y se divide en una red de nueve nodos, de los cuales cinco deben cooperar.^[4] Recuperarla requiere su red de fragmentos, tu cuenta de Google o Apple, y una contraseña. En la configuración predeterminada de Privy, tu clave se divide en tres fragmentos: uno en tu dispositivo y dos (el fragmento de inicio de sesión y el depósito de recuperación) del lado de Privy.^[5] Con Turnkey, la clave nunca toca tu dispositivo. Vive y firma dentro de los enclaves seguros de Turnkey.^[6] Magic hace lo mismo con una caja distinta: genera la clave en tu dispositivo y luego la sella dentro de un HSM de un tercero.^[7]

Esa última parte suena tranquilizadora, y ahí está justamente el truco. El hardware garantiza que la clave no se pueda robar. No garantiza que solo tú puedas usarla. El enclave firma para quien sea que pase el inicio de sesión de la app, y ese inicio de sesión es lo que haya construido el desarrollador: un código OTP por SMS, un enlace por correo o un token de sesión. La clave puede estar perfectamente segura mientras vacían tu dinero. Un solo restablecimiento débil de contraseña, y el enclave firma para el atacante, tal como fue diseñado.

Las billeteras MPC suelen presentarse como la salida a este problema. No lo son. Dividir la clave en fragmentos cambia la mecánica de la firma, no la cuestión de la custodia, y la pregunta vuelve de inmediato: ¿quién guarda los fragmentos?, ¿quién puede activar la firma?, ¿quién controla la recuperación cuando tu teléfono ya no está? En la mayoría de las billeteras de consumo la respuesta es la misma: un fragmento para ti y el resto para el proveedor. Puede que ese proveedor no mueva tu dinero por sí solo, pero aun así se le puede exigir que firme, que recupere, que aplique políticas o que decida si tu cuenta funciona o no.

Según nuestras dos definiciones, estas billeteras son sin custodia, no de autocustodia. La pregunta decisiva es simple: ¿quién más tiene que cooperar antes de que puedas mover o recuperar tus fondos?

Las apps no te están mintiendo, exactamente. Suele haber un botón de exportar enterrado en algún lugar de la configuración. El problema es que el usuario promedio nunca lo encuentra, nunca sabe que importa, y descubre qué era en realidad su billetera el día en que la empresa tiene un incidente, una caída, o una opinión sobre su cuenta.

La prueba de la desaparición

Esta es la prueba a la que nos sometimos a nosotros mismos. Dos preguntas, y una trampa.

Material de claves

¿Puedes reconstruir tus claves a partir de cosas que solo tú tienes, como un dispositivo y una contraseña?

¿O recuperarlas significa pasar por los servidores de otra persona, por su red de fragmentos, por lo que sea que decidan aprobar?

Operaciones

Si la app muriera mañana, ¿existe una forma pública y documentada de mover tu dinero sin nosotros? ¿Podría alguien que sabe lo que hace seguirla solo con la documentación?

La trampa

Supongamos que tu billetera aprueba ambas. Quizás solo aprueba porque se suponía que debías hacer algo primero, como exportar una clave o guardar un respaldo. ¿De verdad lo hiciste?

Dónde queda cada billetera

Una billetera de hardware como una Trezor o una Ledger, con la frase semilla grabada en acero, tiene soberanía y resiliencia, y aprueba las dos mitades de la prueba de la desaparición. El formato de la clave es un estándar abierto, así que una decena de herramientas distintas pueden restaurar tu respaldo aunque la empresa haya desaparecido hace tiempo. El precio es la usabilidad. Nadie configura a su madre en un multifirma.

Una billetera clásica con frase semilla tiene soberanía y usabilidad, y hay que reconocerlo, aprueba la prueba sin problemas. La frase es portable, y cualquier billetera de la competencia la restaura mañana por la mañana. Su problema nunca fue la custodia oculta. Es que toda la esquina de la resiliencia es un papel escrito con tu letra.

Una cuenta de exchange tiene resiliencia y usabilidad. La prueba de la desaparición no la reprueba tanto como resulta inaplicable: nunca hubo claves que pudieras perder. Tu saldo es una fila en su base de datos, y la prueba para las bases de datos es el tribunal de quiebras.

Queda el medio, donde viven las billeteras de la sección anterior: el inicio de sesión social de MetaMask y las billeteras embebidas dentro de las apps impulsadas por Privy, Turnkey o Magic. Estas son las únicas billeteras que promocionan las tres esquinas a la vez, y la prueba es lo que expone la que solo aparentan tener. Todas reprueban la mitad del material de claves por defecto: los fragmentos que importan están en una infraestructura que no controlas y que, en su mayoría, ni siquiera puedes nombrar.

La recuperación en la nube de Argent guarda un kit de recuperación cifrado en tu iCloud o Google Drive, pero la clave necesaria para descifrarlo vive en la infraestructura de Argent. Su cuenta de Ethereum, además, viene con Argent como guardián de recuperación por defecto, verificado por correo y teléfono.^[8] Puedes reemplazar esa configuración, pero la ruta de recuperación por defecto sigue pasando por la empresa.

¿Naturaleza o diseño?

Una pregunta justa a esta altura: ¿es el trilema una ley de la naturaleza, o solo un vestigio de tecnología vieja?

Resulta que es en parte ambas cosas.

Una mitad es una ley real: el peso de las claves no se puede destruir, solo mover, así que en algún lado siempre queda una concesión. La otra mitad es un accidente de la historia. El trilema tal como lo conocimos daba por sentado un único secreto que lo hace todo. La clave que gasta tu dinero es la clave que debes respaldar es la clave cuya pérdida es fatal.

En 2013, cuando una billetera era un archivo en una laptop y un respaldo era un papel, esa suposición era simplemente cierta. Ya no lo es. Los teléfonos vienen con hardware seguro dedicado. Las blockchains ejecutan cuentas programables. El único secreto todopoderoso es ahora una decisión de diseño, y puedes decidir distinto.

Todavía no puedes hacer que la concesión desaparezca, pero puedes decidir dónde cae, y ya no tienes que atar el gasto, el respaldo y la pérdida catastrófica a un solo secreto frágil.

Lo que construimos

Una cuenta de MozaikPay es una cuenta inteligente on-chain, controlada por dos claves distintas.

La primera es una clave de gasto, generada en tu teléfono en el momento en que te registras. Vive en el hardware seguro del dispositivo, el Secure Enclave en iOS o el Keystore en Android. Nunca sale de tu teléfono. No se respalda, ni se sincroniza, ni se envía a nuestros servidores, y no podemos recuperarla si tu teléfono ya no está. Puede hacer exactamente una sola cosa: mover tus fondos.

La segunda es una clave de recuperación, generada en el mismo teléfono en el mismo momento, y de inmediato cifrada con una contraseña que solo tú conoces y defines. El bloque cifrado es lo que se respalda: en tu iCloud, tu Google Drive, un archivo que te envías por correo, donde quieras. La contraseña nunca se envía a ningún lado. Nunca la vemos, y nunca vemos la clave que protege. El único poder del firmante de recuperación es la rotación: puede reemplazar al firmante de gasto, y puede reemplazarse a sí mismo. Nunca puede mover dinero.

También puedes usar una billetera de hardware (como una Ledger o una Trezor) como firmante de recuperación de tu cuenta. Así conservas la fluidez diaria de un teléfono que gasta con un toque, mientras que la única clave cuya pérdida es fatal vive en almacenamiento en frío.

Esta separación no es una convención que imponga nuestra app.

La impone el propio contrato de la cuenta, en Solidity. El contrato verifica la acción que se invoca contra la clave que la firmó, y rechaza el emparejamiento incorrecto on-chain. Un firmante de gasto que intenta rotar claves revierte. Un firmante de recuperación que intenta enviar fondos revierte.

Esta es la reorganización que las billeteras más viejas no podían hacer: la clave que usas todos los días no es la clave cuya pérdida es fatal.

Si tu teléfono se destruye, el firmante de gasto muere con él, y no pierdes nada de lo que posees. Restauras el bloque cifrado en un teléfono nuevo, escribes tu contraseña, y el firmante de recuperación rota un firmante de gasto nuevo en su lugar, on-chain. La clave del teléfono viejo, incluso si alguien luego la saca de un basurero, no firma para nada.

Si olvidas tu contraseña y tu respaldo desaparece, el firmante de recuperación se pierde, pero tu firmante de gasto sigue en tu teléfono y tu dinero sigue disponible para gastar. Tienes tiempo de mover los fondos a una cuenta nueva mientras el dispositivo todavía funciona. La única pérdida total es perder ambos a la vez, que tiene la misma forma que perder tu teléfono y tu gestor de contraseñas el mismo día. Es el modo de falla de todas las cuentas que ya tienes.

Si en algún momento llegaras a sospechar que tu respaldo se filtró, la clave de recuperación puede rotarse a una nueva bajo una nueva contraseña, on-chain. La clave de recuperación vieja, dondequiera que haya terminado, queda al instante sin ningún valor.

La prueba de la desaparición, aplicada a nosotros

Material de claves: La clave de gasto está en tu dispositivo, en un hardware que no podemos alcanzar. La clave de recuperación está cifrada con una contraseña que nunca hemos visto, en un archivo que no alojamos. No guardamos fragmentos, ni depósitos en garantía, ni shards, ni una clave maestra. Si desaparecemos, ninguna parte de tu material de claves desaparece con nosotros.

Operaciones: La cuenta es un contrato público ERC-4337. Cualquier desarrollador competente con tu clave de recuperación y una documentación mínima puede armar una transacción que rote el firmante de gasto y enviarla a cualquier endpoint público. No hay ningún RPC propietario ni ningún servidor de MozaikPay en ninguna parte del camino.

La concesión que aceptamos

No escapamos del trilema. Lo movimos, y la esquina que cede es la comodidad.

Hoy MozaikPay patrocina cada transacción a través de un paymaster que operamos, así nunca te topas con una pantalla de «compra ETH para las comisiones» y nunca pagas por enviar. También nos encargamos de las partes que nadie disfruta hacer a mano: hacer entrar dólares digitales, y convertirlos de vuelta a moneda local a través de socios locales con licencia, con el costo total mostrado antes de que toques confirmar, no después.

Todo eso depende de que sigamos aquí. Si cerráramos mañana, tu cuenta sigue existiendo, y tus fondos siguen moviéndose; simplemente pagarías tu propio gas y buscarías tu propia rampa de salida, tal como ya lo hace cualquier otro usuario de autocustodia.

Los fondos son tuyos sin condiciones. La fluidez de moverlos gratis un martes por la tarde, y los canales con licencia que los convierten en dinero local que puedes gastar, son las partes que dependen de que sigamos aquí. La comodidad puede degradarse, pero la propiedad no debería.

Lo que queda

La propiedad no es lo que la app te deja hacer mientras el proyecto está vivo. Es lo que todavía puedes hacer después de que ya no está.

Las apps se retiran, los servidores se apagan, los equipos se disuelven. Toda billetera termina, tarde o temprano, siendo software que nadie mantiene, de una empresa que nadie recuerda. La pregunta es si tu dinero sobrevive a esa transición.

Entonces, si el creador de tu billetera desapareciera esta noche, ¿tu dinero seguiría siendo tuyo por la mañana?

Somos el equipo detrás de MozaikPay, una billetera de dólares digitales para pagar, cobrar y retirar. Únete a la lista de espera abajo.👇

https://mozaik.money