Tecnologías de gestión de claves

Todo modelo de custodia se reduce a una pregunta: ¿cómo se produce una firma válida y quién puede producirla? Cuatro familias de tecnologías dominan la gestión institucional de claves, y la mayoría de los custodios las combinan. Cada una implica distintas concesiones entre transparencia, flexibilidad, cobertura de cadenas y dependencia de un proveedor; los profesionales deben poder explicar esas concesiones a un comité de riesgos.

Módulos de seguridad de hardware

Un módulo de seguridad de hardware (HSM) es un dispositivo resistente a la manipulación que genera, almacena y utiliza claves para que el material de clave privada nunca salga de él en texto sin cifrar. Las aplicaciones envían al HSM un mensaje para que lo firme y reciben una firma. Los bancos llevan décadas usando HSM para tarjetas de pago y PKI, y la mayoría de los custodios institucionales de criptomonedas los utilizan en alguna parte de su infraestructura.

Los HSM se validan conforme a FIPS 140-3, la norma estadounidense y canadiense para módulos criptográficos, administrada por el Programa de Validación de Módulos Criptográficos (CMVP) del NIST. FIPS 140-3 entró en vigor el 22 de septiembre de 2019 y está alineada con ISO/IEC 19790:2012 (requisitos) e ISO/IEC 24759 (métodos de prueba). Define cuatro niveles de seguridad:

La custodia institucional suele apuntar al Nivel 3. La norma anterior, FIPS 140-2, dejó de aceptar nuevas solicitudes para pruebas en septiembre de 2021. El 21 de septiembre de 2026, todos los certificados FIPS 140-2 restantes pasaron a la Lista histórica del CMVP. Las agencias federales de Estados Unidos no deberían comprar módulos de esa lista para sistemas nuevos, y la mayoría de los compradores institucionales aplica la misma regla. Por lo tanto, una compra nueva de un HSM debería incluir un certificado FIPS 140-3 vigente.

Un certificado cubre un módulo, en una versión específica de firmware y en un modo específico. No certifica todo el sistema de custodia. Al revisar un HSM, comprueba el número de certificado, el nivel, la versión del firmware y si admite los algoritmos que necesita la empresa: secp256k1 para Bitcoin y Ethereum, Ed25519 para cadenas como Solana. Un HSM convencional que almacena una sola clave también constituye un punto único de control. Cualquiera que pueda iniciar sesión en el HSM y enviar mensajes puede obtener firmas, así que las políticas que lo rodean importan tanto como el hardware.

Monederos multifirma

Un monedero multifirma (multisig) necesita firmas de m de n claves independientes; por ejemplo, 3 de 5. La propia cadena de bloques hace cumplir la regla:

• En Bitcoin, mediante scripts nativos (P2WSH o scripts Taproot desde la actualización de 2021).
• En Ethereum y otras cadenas EVM, mediante un contrato inteligente. El más utilizado es Safe (antes Gnosis Safe).

La multifirma tiene ventajas claras. La política es visible en la cadena, por lo que un auditor puede confirmar que se requieren 3 de 5 firmas. Las claves pueden estar en distintos dispositivos, con distintos proveedores y en distintos países, de modo que ningún compromiso individual es suficiente. Las desventajas son igual de concretas. Cada cadena necesita su propia implementación y algunas cadenas no admiten multifirma en absoluto. Las transacciones son más grandes y las comisiones, más altas. En Bitcoin, cambiar a un firmante implica mover los fondos a una dirección nueva. En las cadenas EVM, el contrato del monedero y su interfaz de usuario pasan a formar parte de la superficie de ataque. El robo de Bybit en febrero de 2025 afectó a una multifirma de Safe a través de su interfaz, no de su criptografía (consulta la lección Amenazas y controles de seguridad operativa).

MPC y firmas de umbral

Un esquema de firma de umbral (TSS) utiliza computación multipartita (MPC) para dividir la capacidad de firmar entre varias partes. Durante la generación distribuida de claves (DKG), cada parte crea su propia parte de clave, y la clave privada completa nunca existe en ningún lugar, ni siquiera por un instante. Para firmar, cualquier t de n partes ejecuta un protocolo que genera una firma convencional. En la cadena, tiene exactamente el aspecto de una transacción con una sola clave.

Entre los protocolos más comunes están GG18, GG20 y CGGMP para ECDSA (el esquema de firma de Bitcoin y Ethereum), y FROST para firmas Schnorr y EdDSA. La IETF publicó FROST como RFC 9591 en junio de 2024.

MPC ofrece ventajas reales:

• Independiente de la cadena: funciona con cualquier cadena que utilice una curva compatible, sin necesidad de que la cadena admita multifirma.
• Comisiones más bajas y mayor privacidad: la transacción lleva una sola firma.
• Renovación de partes: las partes se pueden rotar o se puede cambiar el quórum sin mover los fondos ni cambiar la dirección.

También tiene desventajas reales. El quórum es invisible en la cadena, por lo que los auditores deben confiar en la documentación del proveedor y en los informes de aseguramiento. La criptografía es compleja y algunas implementaciones han fallado. En agosto de 2023, investigadores de Fireblocks revelaron las vulnerabilidades «BitForge» en implementaciones de GG18 y GG20 de varios proveedores de monederos (una se registró como CVE-2023-33241); en algunos casos, un atacante podía extraer la clave completa. La mayoría de las soluciones son propietarias, lo que genera dependencia del proveedor. Un custodio necesita una forma probada de recuperar los activos si el proveedor desaparece.

No confundas MPC con el esquema de compartición de secretos de Shamir (SSS). SSS divide una clave ya creada en partes para hacer copias de seguridad, pero para firmar hay que reconstruir la clave en un solo lugar. MPC nunca la reconstruye. Una idea relacionada en Bitcoin, MuSig2 (BIP 327), permite que n firmantes combinen sus claves para que un gasto Taproot de n de n parezca llevar una sola firma.

Monederos de contratos inteligentes y abstracción de cuentas

En Ethereum, una cuenta de contrato inteligente es un monedero cuyas reglas están definidas mediante código. Puede hacer cumplir límites de gasto, permisos por rol, claves de sesión con derechos limitados, mecanismos de recuperación sociales o institucionales y el pago del gas por parte de terceros. Hay dos estándares importantes:

• ERC-4337, disponible en la red principal de Ethereum desde 2023, ofrece abstracción de cuentas sin cambiar el protocolo. Los usuarios envían «operaciones de usuario», que los empaquetadores agrupan en transacciones a través de un contrato EntryPoint compartido. Los patrocinadores de gas opcionales pueden pagar el gas.
• EIP-7702, activada con la actualización Pectra el 7 de mayo de 2025, permite que una cuenta de propiedad externa (EOA) convencional apunte a código de contrato. La cuenta obtiene funciones de cuenta inteligente y conserva su dirección.

La contrapartida es el riesgo del contrato. Un error en el código del monedero, o una función de actualización mal controlada, puede provocar la pérdida de todo. Con EIP-7702, una sola firma de autorización maliciosa puede entregar el control de una cuenta al código de un atacante, y las campañas de phishing ya han explotado esta posibilidad. La lección Evaluación del riesgo de DeFi aborda las preguntas sobre la capacidad de actualización y las claves de administrador.

Generación de claves y ceremonias de claves

La confiabilidad de una clave depende de cómo se creó. Los custodios institucionales generan claves de alto valor mediante una ceremonia de claves: un procedimiento programado, presenciado y documentado.

En MPC, la ceremonia de DKG debería ejecutar cada parte en una infraestructura separada, bajo el control de personas distintas, de modo que ningún equipo tenga nunca por sí solo un número de partes que alcance el umbral.

Selección y combinación

Los grandes custodios rara vez dependen de una sola tecnología. Un patrón común es usar MPC para monederos calientes y templados, donde importan la velocidad y la cobertura de cadenas. El almacenamiento en frío se mantiene en claves protegidas por HSM o en una multifirma con firmantes distribuidos geográficamente. Las reglas de contratos inteligentes añaden límites en la cadena cuando esta los admite. Al evaluar a un proveedor, haz cuatro preguntas:

1. ¿Llega a existir una clave privada completa y, de ser así, dónde y durante cuánto tiempo?
2. ¿Puede alguien externo verificar la política de firma o solo leer la descripción que hace de ella el proveedor?
3. ¿Qué ocurre si falla el proveedor de la tecnología y se ha probado la recuperación sin él?
4. ¿Qué componentes cubren las certificaciones (un certificado FIPS 140-3 para el HSM, un informe de aseguramiento para el sistema general)?

Enfoque del examen: qué hace un HSM y cuáles son los cuatro niveles de seguridad de FIPS 140-3 (el Nivel 3 es habitual en custodia); por qué un HSM nuevo debería contar ahora con un certificado FIPS 140-3, dado que los certificados FIPS 140-2 están en la Lista histórica; cómo la multifirma hace cumplir m de n en la cadena y cuáles son sus contrapartidas (política visible, específica para cada cadena, comisiones más altas); cómo funciona MPC/TSS (DKG, la clave nunca existe, una firma convencional en la cadena) y cuáles son sus contrapartidas (política invisible, riesgo de implementación como BitForge, dependencia del proveedor); la diferencia entre MPC y el esquema de compartición de secretos de Shamir; ERC-4337 y EIP-7702 (Pectra, mayo de 2025) y el riesgo de sus contratos; los pasos y la evidencia de una ceremonia de claves.