Las criptomonedas (Bitcóin, Ethereum, etc…) no se guardan en un lugar físico, sino en la cadena de bloques (blockchain). Lo que realmente se custodia son las claves privadas mediante carteras digitales (wallets) o a través de terceros institucionales regulados bajo normativas como el marco europeo MiCA supervisado por la CNMV.
En el caso de España las tres formas de custodia más habituales son los bancos tradicionales como, por ejemplo, BBVA, Openbak, Renta 4, Cecabank o Kutxabank que ofrecen servicios directos de compraventa de los criptoactivos. También los propios mercados y las plataformas donde se negocian hacen esta labor de custodios. En nuestro país, destacan Bit2Me, como mercado regulado y las plataformas de eToro, Binance y Coinbase. Y por último, Prosegur Crypto que es la división de custodia institucional de activos digitales de seguridad de Prosegur Cash. Este llamado criptobúnker va dirigido exclusivamente a clientes corporativos, entidades financieras, fondos de inversión, organismos públicos y family offices. Según recoge la propia compañía, utiliza un sistema patentado de almacenamiento en frío, es decir sin conexión a Internet y las transacciones de criptomonedas se generan y firman de forma 100% offline, por lo que las claves privadas nunca tocan la red.
Los inversores pueden hacer su propia autocustodia: posee el control total y exclusivo de las claves privadas de sus criptomonedas, eliminando por completo a intermediarios como mercados o bancos. El propietario asume la responsabilidad absoluta de la seguridad, el almacenamiento y la gestión de sus fondos bajo el lema técnico "not your keys, not your coins" (si no son tus claves, no son tus monedas). Tal vez, resultaría más interesante que sea un intermediario como un gran banco el custodio de esas claves. En caso de cualquier ciberataque sería el banco el que respondería. Además, la custodia de las criptomonedas no suele tener coste. El intermediario cobra solo por las comisiones en las operaciones de compraventa. La contraseña del particular donde recoge en su monedero sus inversiones en criptoactivos se acompaña de una secuencia de 12 o 24 palabras aleatorias que genera el monedero y que sirve como copia de seguridad única para recuperar los fondos si el dispositivo físico se rompe o se pierde.
Sigue en directo la cotización de Bitcoin cash
Caliente o frío...
Hay dos formas genéricas de custodia que tienen distintos riesgos y van encaminadas a inversores diferentes. Custodia en Caliente (Hot Wallets) donde las claves privadas se almacenan en un dispositivo o servidor web conectado directamente a Internet. Permite que el acceso a esas moneda sea inmediato para comprar, vender o transferir activos en segundos, por lo que la hace especialmente atractiva para el trading. Eso sí, al estar expuestas a la red, son el objetivo principal de ataques de phishing, troyanos o hackeos informáticos.
La otra modalidad es la custodia en Frío (Cold Wallets) que se realiza en un entorno físico, aislado de cualquier red digital. Al no tocar internet, un atacante remoto no puede robar los fondos ya que se requiere un acceso físico obligatorio al dispositivo para autorizar operaciones. Los formatos más habituales son los monederos de hardware (Ledger o Trezor), carteras de papel impresas (paper wallets) o sistemas industriales bunkerizados como en el que hemos visto de Prosegur Cash. El inconveniente a cambio de esta mayor seguridad es que exige realizar una transferencia y conectar el hadware y firmar la operación manualmente. Esto hace más lento el proceso de compraventa, en unos mercados muy volátiles. La custodia en frío interesa sobre todo a los inversores de largo plazo en criptomonedas.
... pero el frío falló
Es habitual conocer informaciones sobre hackeos a criptomonedas cuando no la pérdida de las claves que declara algún inversor que ha visto esfumarse su inversión. Aunque la teoría, como hemos visto, apunta a que la máxima seguridad se consigue estando fuera de la red, este mismo verano se ha conocido un desfalco de unos 115 millones de dólares (1.816 Bitcoins) practicado en los monederos fríos de Coldcard, fabricados por la empresa canadiense Coinkite. Un robo que ahora se explica por un fallo crítico de firmware -código que dicta las reglas matemáticas exactas para generar y firmar las claves criptográficas sin tocar Internet- que redujo drásticamente la aleatoriedad al generar las frases semilla (seed phrases).
Los atacantes pudieron reconstruir matemáticamente las claves privadas desde sus propios ordenadores debido a la facilidad para predecir el software. Coinkite señaló que el descubrimiento y explotación de este error fue posible por herramientas de IA capaces de auditar código a velocidades masivas, superando la capacidad de revisión de los expertos humanos.
El robo no afectó a aquellos inversores que configuraron su Coldcard introduciendo frases o palabras propias.