Un monedero multisig no es un capricho paranoico del equipo de seguridad: es la diferencia entre perder el portátil de un firmante y perder toda la reserva en una sola mala noche. Cualquier exchanger en funcionamiento tiene en todo momento decenas o cientos de miles de dólares en cripto, y la pregunta nunca fue si alguien intentará algún día atacar el monedero caliente. La pregunta es cuánto perderás cuando lo intenten, y si la reserva tiene un plan B.
Tres tipos de monedero — y por qué le importan a un exchanger
Un monedero caliente está conectado a internet y paga al instante. Uno frío permanece offline, fuera del alcance de un hackeo remoto. El multisig no es realmente un "lugar" aparte, sino una regla: una transferencia solo se ejecuta si varias claves la firman juntas, no un solo empleado con una sola contraseña.
Para alguien que solo tiene cripto como ahorro, esto es cuestión de gusto. Para un exchanger, es cuestión de cómo está montada la caja. Piense en una casa de cambio física: parte del efectivo está en el cajón para atender clientes al momento, el grueso está en una caja fuerte que nadie puede abrir solo. La infraestructura cripto sigue la misma lógica — solo que la caja fuerte se llama multisig.
El monedero caliente: el caballo de batalla que nunca deja de ser un blanco
Sin monedero caliente, un exchanger no puede liquidar en tiempo real — el cliente espera segundos, no horas para una confirmación desde almacenamiento offline. Pero esa misma conexión que da velocidad convierte al monedero en un blanco: un empleado phisheado, un portátil comprometido, un fallo de software, y los fondos se van en una sola transacción.
Una regla práctica que usan muchos operadores: mantener en el monedero caliente el equivalente a uno o dos días de volumen, no más de lo que se podría asumir sin mayor drama en el peor escenario. Todo lo que supere ese umbral debería moverse a almacenamiento frío según un calendario fijo, no una vez al trimestre cuando alguien se acuerda.
Almacenamiento frío y multisig: una reserva que nadie roba en solitario
Un monedero frío elimina el riesgo de hackeo remoto, pero crea otro distinto: si la única persona que conoce la frase semilla enferma, renuncia o pierde el portátil con la clave, la reserva puede acabar tan bloqueada como protegida. El multisig está pensado justo para resolver eso.
El esquema estándar es "2 de 3" o "3 de 5": las claves viven con personas distintas o en ubicaciones físicas distintas, y firmar una transacción exige alcanzar el quórum. Perder una clave no es una catástrofe — el esquema sigue funcionando. Y robar los fondos en solitario tampoco es posible, aunque se comprometa a uno de los titulares.
- Las claves están físicamente repartidas — no en una sola oficina ni una sola cuenta en la nube
- Ningún empleado por sí solo reúne el quórum de claves
- El umbral de firma (M de N) queda documentado por escrito y no se cambia sobre la marcha
Cómo construir un esquema de custodia por niveles
Un modelo que funciona suele tener tres niveles, no dos. El primero es el monedero caliente para liquidaciones en curso. El segundo es un colchón "tibio" con acceso algo más restringido, donde aterriza el excedente del día al cierre de operaciones. El tercero es la reserva fría en multisig, que se toca poco y siempre con el mismo procedimiento.
El detalle que muchos equipos pasan por alto: mover fondos entre niveles debería seguir un calendario, no el ánimo de quien esté de turno ese día. Un exchanger que barre el excedente hacia almacenamiento frío cada noche con una checklist pierde algo de comodidad, pero gana previsibilidad — y esa previsibilidad es justo lo que evita el pánico en medio de un incidente.
Errores comunes al pasarse a multisig
La palabra "multisig" por sí sola no protege de un proceso mal organizado. El error más común: la misma persona termina con dos de las tres claves "por comodidad", y un esquema 2 de 3 se convierte, en silencio, en un monedero de un solo dueño.
- Todas las claves guardadas en una sola oficina o un solo dispositivo
- El procedimiento de recuperación nunca se ha probado de verdad
- No existe un protocolo escrito para una clave perdida o un empleado que se va
- Los umbrales de custodia no se han revisado pese al crecimiento del volumen
Cada uno de estos fallos, por separado, parece menor. Juntos convierten el multisig en teatro de seguridad: convincente en un diagrama, inútil en un incidente real.
Conclusión
No existe una proporción universal entre caliente, tibio y frío — depende del volumen, del número de operadores y del apetito de riesgo de cada negocio. Pero el principio de fondo, separación y control distribuido de claves, funciona casi siempre, y vale la pena el esfuerzo de montarlo. Puede lanzar su propio exchanger con un monedero propio integrado, sin comisión de intermediario y con control sobre el esquema de custodia desde el primer día, con iEXWallet.
