Una noche cualquiera, un exchanger pierde el acceso a su wallet caliente: phishing, una API key comprometida, da igual la causa exacta. Solo importa una pregunta: ¿cuánto dinero había ahí? Si la respuesta es “casi todo el capital de trabajo”, el negocio se acaba. Si es “el límite de un día”, es un mal trago, pero se sobrevive. El equilibrio entre la wallet caliente y la wallet fría no es un detalle técnico: es la principal línea de defensa de un exchanger.
Por qué separar las wallets
La wallet caliente está conectada a internet y atiende a los clientes de forma automática: es la caja registradora del mostrador, de la que el cajero saca el cambio sin ir hasta la caja fuerte. La wallet fría no está conectada a ninguna red: las claves viven en un dispositivo o en un esquema multisig donde la firma se arma a mano. Es la caja fuerte del almacén, a la que hay que ir caminando.
Un exchanger necesita las dos. Sin wallet caliente, un retiro que debería tardar minutos se convierte en horas y las solicitudes se acumulan. Sin wallet fría, todo el capital queda en un lugar al que, en teoría, puede llegar cualquiera que vulnere el perímetro del servidor.
Cuánto mantener en la wallet caliente
No existe un porcentaje universal, pero sí una referencia práctica: el saldo caliente debe cubrir los retiros de las 24-48 horas pico, no la facturación de todo el mes. Un exchanger con un volumen de $50,000 diarios y picos ocasionales puede mantener entre $5,000 y $10,000 en la wallet caliente; el resto va a la fría.
Vigila tres cifras: el tamaño medio de un retiro, el máximo de solicitudes en la hora pico y la rapidez con la que puedes recargar la wallet caliente desde la fría si hay una avalancha de pedidos. Si la recarga toma 15 minutos con un operador disponible, puedes mantener menos en caliente. Si la ceremonia de firma se lleva medio día, tendrás que guardar más ahí, y eso también es un riesgo que hay que asumir de forma consciente.
Cómo funciona en la práctica el almacenamiento frío
En la práctica no suele ser una sola caja fuerte, sino una wallet multisig que requiere 2 de 3 o 3 de 5 firmas de claves distintas, custodiadas físicamente por personas distintas. Así ningún empleado, ni siquiera uno con acceso total al servidor, puede sacar la reserva por su cuenta.
Las hardware wallets suman otra barrera: la clave privada nunca sale del dispositivo, aunque el ordenador al que está conectado esté infectado. Para un exchanger que mueve varios cientos de miles de dólares al mes, el multisig sobre claves hardware ya no es un lujo, sino higiene básica.
Cuándo toca revisar el equilibrio
- El volumen se duplicó o triplicó en un trimestre y los límites de la wallet caliente siguen igual;
- los clientes empiezan a quejarse de retrasos en los retiros durante las horas pico;
- no existe un registro de quién movió fondos entre wallets ni cuándo;
- la ceremonia de firma de la wallet fría la sigue haciendo una sola persona, no dos o tres;
- no se ha probado la recuperación de acceso a la wallet fría ni una sola vez en el último año.
Si coinciden al menos dos de estos puntos, es momento de rediseñar el esquema de almacenamiento, no de esperar a que ocurra un incidente.
Errores frecuentes
El más común es mantener “de más” en la wallet caliente para no pensar en recargarla. Así, una reserva pensada para dos días se convierte, sin que nadie lo note, en una reserva de dos semanas, hasta que ya es tarde.
El segundo es un almacenamiento frío con un único responsable de la clave. Formalmente eso ya no es una “wallet fría”, sino simplemente una wallet sin conexión: si a esa persona le pasa algo, o se va de vacaciones sin cobertura, el acceso a la reserva desaparece con ella.
Conclusión
Dividir los fondos entre caliente y fría solo funciona si los límites se revisan a medida que crece el volumen, en lugar de fijarse una vez y olvidarse. Los exchangers que quieran su propia infraestructura de almacenamiento sin pagar comisión a un intermediario deberían revisar iEXWallet, una wallet cripto ya lista, pensada para operadores de exchangers.
