Después del incidente de Coldcard, se ha planteado nuevamente una pregunta: si los monederos de hardware también pueden cometer errores, e incluso pueden dejar peligros ocultos desde el momento en que se generan las claves, ¿por qué deberíamos seguir custodiando nuestros propios activos?
Nuestra evaluación es: la autocustodia sigue siendo importante. Permite a los usuarios tener la autorización final para las operaciones en cadena y conserva la posibilidad de migrar de forma independiente cuando las plataformas o los servicios fallan. Coldcard no ha cambiado este valor, pero nos ha hecho reexaminar "cómo poseer el control de forma segura".
La seguridad no puede juzgarse con una sola etiqueta
Según el anuncio oficial de Coldcard y el análisis técnico de Block, un error de integración del firmware provocó que algunos dispositivos no utilizaran números aleatorios de hardware como se esperaba, sino que recurrieran a una ruta de números aleatorios de software predecible. Las frases mnemotécnicas aparentemente normales pueden no haber alcanzado el nivel de seguridad esperado desde la etapa de generación de claves.
En muchos casos públicos, los usuarios no hicieron clic en enlaces de phishing ni filtraron sus frases mnemotécnicas; simplemente crearon monederos siguiendo el proceso predeterminado del producto. El problema ocurrió en el origen de la generación de claves, y no importa cuán cuidadosamente almacenaran las claves después, la brecha no podía llenarse.
Este incidente rompió un atajo cognitivo común: el hardware, el modo fuera de línea o el código abierto pueden mejorar la seguridad, pero ninguna etiqueta por sí sola puede constituir una conclusión de seguridad. Los usuarios comunes no pueden auditar el firmware línea por línea. Hacer que la ruta predeterminada sea confiable es la responsabilidad que los productos de seguridad deben asumir.
Después del incidente, OKX dijo que la plataforma vio una gran afluencia de fondos. CZ posteriormente citó un conjunto de datos históricos, sugiriendo que "estadísticamente, mantener los activos en los exchanges es más seguro que la autocustodia". No es sorprendente que esta declaración haya obtenido aprobación.
Las instituciones de custodia maduras pueden invertir más recursos para establecer sistemas profesionales de seguridad y recuperación. Para aquellos que carecen de experiencia en la gestión de claves, que las instituciones asuman esta parte del trabajo puede efectivamente reducir la dificultad y el riesgo de que los individuos gestionen las claves por sí solos. Reconocer esto no debilita el valor de la autocustodia; más bien, trae la discusión de vuelta a la situación real del usuario.
Pero las cifras históricas de pérdidas son difíciles de proporcionar directamente la respuesta de hoy. La investigación de River citada por CZ también muestra que los datos tempranos de pérdida permanente de BTC son difíciles de atribuir con precisión, con la gran mayoría ocurriendo antes de 2020; las pérdidas de los exchanges también son imposibles de contar por completo, y algunas compensaciones no se han deducido. Estas cifras acumuladas no se han ajustado por el tamaño de los activos y el tiempo de tenencia. Muestran que ambos métodos han sufrido grandes pérdidas, pero son insuficientes para medir el riesgo real de hoy.
Más importante aún, tales comparaciones generalmente solo cuentan "si los activos se perdieron", pero rara vez responden "si se pueden retirar cuando sea necesario" y "si uno puede irse después de un problema en la plataforma". La custodia puede reducir la presión de la gestión personal de claves, pero también hace que los usuarios dependan de la operación continua de la institución, el cumplimiento de las obligaciones de reembolso y la provisión de acceso a la cuenta.
La autocustodia preserva otro camino
La autocustodia es esencialmente un arreglo de control. Para las cuentas de autocustodia comunes, los usuarios poseen las claves privadas o las condiciones de clave necesarias para completar las firmas, y los desarrolladores de monederos y otros proveedores de servicios no pueden completar unilateralmente una autorización válida.
Mientras los usuarios aún posean claves válidas o copias de seguridad, incluso si el monedero original deja de funcionar, generalmente pueden recuperar la cuenta a través de herramientas compatibles; cuando los usuarios necesitan transferir activos o usar aplicaciones en cadena, no tienen que esperar a que una plataforma abra primero los retiros.
Este camino independiente es el valor más importante de la autocustodia.
Ciertamente tiene límites. Las reglas de red y de contrato pueden seguir afectando el uso de los activos. Lo que la autocustodia preserva es que la autorización final para las operaciones en cadena no tiene que depender por completo de una sola institución, no el control absoluto sobre todas las condiciones externas.
Este valor no es evidente cuando la plataforma funciona con normalidad. Es un poco como una copia de seguridad: no hace que las operaciones diarias sean más rápidas, pero cuando la ruta original falla, determina si los usuarios aún tienen opciones.
Por lo tanto, no hay una respuesta única para todos entre custodia y autocustodia. Para aquellos que temporalmente no pueden gestionar claves de forma segura, elegir un servicio de custodia cuidadosamente evaluado es razonable; para aquellos que quieren reducir la dependencia de una sola institución, establecer una ruta que pueda recuperarse y migrarse de forma independiente es igualmente importante. La clave no es de qué lado estás, sino tener claro qué riesgos has entregado y qué capacidades has conservado.
El control no debería ser una carga solo para los usuarios
Que los usuarios controlen las claves privadas no significa que los proveedores de productos puedan asumir menos responsabilidad de seguridad. Los usuarios comunes no pueden verificar todo el proceso desde la generación de claves hasta la construcción del firmware de un dispositivo. Los productos necesitan verificar rutas críticas, exponer anomalías de manera oportuna y responder de manera transparente después de que ocurran problemas. La seguridad debe provenir de un diseño predeterminado confiable, no depender de que los usuarios descubran riesgos técnicos ocultos.
Los usuarios también necesitan confirmar que las copias de seguridad realmente se pueden restaurar, entender qué están autorizando antes de firmar, y saber de antemano cómo migrar si las herramientas principales fallan. Pero estas capacidades se pueden construir gradualmente. La autocustodia no debería ser un examen de calificación que requiera que todos transfieran inmediatamente todos sus activos, ni debería requerir que todos se conviertan en expertos en criptografía.
Para imToken, apoyar la autocustodia comienza por hacer que esta elección sea más confiable. Los usuarios deben poder entender lo que están autorizando, saber cómo recuperar, y poder migrar a herramientas compatibles cuando sea necesario. Solo entonces el control puede ser más que un eslogan.
El incidente de Coldcard no ha hecho que la autocustodia sea menos importante; al contrario, ha hecho que las responsabilidades de seguridad sean más concretas. La siguiente fase del problema a resolver es cómo hacer que la seguridad, la recuperación y la experiencia del usuario sean más confiables mientras se conserva el control del usuario.
Los usuarios pueden elegir la custodia, y pueden dejarla cuando sea necesario; pueden tener control, y no tienen que soportar toda la complejidad solos. Este es el significado de rediscutir la autocustodia después de Coldcard.
