En qué pensar cuando piensas en custodiar tu bitcoin

Nota: Esto no es un tutorial. Es un artículo sobre cómo pensar la custodia de tu bitcoin. Si te llama alguna ruta en concreto, le pides a tu IA que te haga tutorial o te busque en Youtube.

El 30 de julio salió a la luz un error de configuración de compilación introducido en el firmware 4.0.1 de Coldcard, allá por marzo de 2021, donde quedó desactivado el generador de números aleatorios por hardware, y la librería que se encargaba de pedirle esa aleatoriedad, libngu, no comprobaba si estaba activado: solo comprobaba si existía.

Ajá. Así que fue eso. Tenía que haberlo sabido.

Detrás de estas explicaciones tan poco coherentes para el lector medio del Marca, asoma una simple realidad.

Los monederos de Coldcard no estaban ofreciendo la entropía necesaria.

¿Y por qué necesitas entropía? ¿Y qué es la entropía?

La entropía es una cuestión que me ha apasionado desde que la conozco, y es que me resulta muy intuitiva la idea de que las cosas tienden al caos.

Lo vemos si dejas un café con un dibujo de nata encima y este se va deshaciendo. Lo vemos cuando se deja de atender un jardín. Lo vemos cuando se deja de prestar atención a una relación.

El caos vence siempre, y nuestra lucha diaria es una lucha precisamente contra esa fuerza. Contra la entropía.

Y esta entropía es la que buscamos cuando creamos monederos de Bitcoin.

Cuanta más entropía mejor, porque dentro del caos es muy difícil buscar. Es un poco como cuando entras en una habitación que no ha sido ordenada en mucho tiempo: está todo ahí, pero es dificilísimo encontrarlo. Cuando las cosas siguen un orden, cuando se lucha contra la entropía, es más fácil encontrarlas. Es más fácil encontrar tu semilla. Es más fácil acceder a tu bitcoin.

Digamos por tanto que los monederos de Coldcard eran monederos demasiado ordenados.

Pero si la entropía es muy fácil de conseguir, ¿por qué es tan difícil crear nuestra propia entropía?

Idealmente no debería ser difícil que pudiésemos crear un monedero totalmente caótico. Que mirásemos dentro de nuestra cabeza y dijésemos: voy a hacer cosas completamente aleatorias y voy a crear una semilla con eso, siguiendo las reglas de Bitcoin. Que aunque parezcan pocas, haberlas haylas.

Lo curioso es que por mucho que quieras no conseguimos crear buena entropía.

Hay muchos experimentos que lo demuestran.

Por ejemplo, el clásico cara o cruz. Si pides a alguien que escriba 100 lanzamientos imaginarios de moneda y los comparas con 100 lanzamientos reales, se detecta a simple vista: los humanos alternan demasiado y evitan las rachas. La probabilidad de que en 100 lanzamientos reales aparezca una racha de 6 o más resultados iguales ronda el 80 %, y casi nadie escribe una racha de más de 4. Creemos que aleatorio significa bien repartido, y es justo lo contrario.

Tampoco se nos da bien crear caos eligiendo números. Tenemos un sesgo sistemático hacia los números impares, hacia el 7, hacia el 3. Y es un sesgo tan marcado, tan conocido, que hace que ese supuesto caos que estamos creando no sea realmente tan caótico cuando le pides a una máquina que lo descifre.

También se nos da mal escapar a las dependencias. Generalmente, cuando estamos tratando de crear aleatoriedad, nos volvemos muy dependientes del último elemento escogido.

Y finalmente, el mayor problema de todos: somos incapaces de valorar la aleatoriedad. Si nos ponen delante dos conjuntos de palabras, uno realmente aleatorio y otro no, nos parecen igual de aleatorios. No sabemos distinguirlos.

Es por esto que crear nuestro propio caos, nuestras propias semillas, y confiar en esa aleatoriedad, no funciona.

Cuando creamos un monedero de Bitcoin, por lo general, nos vemos por tanto obligados a usar uno de dos sistemas: crear la entropía haciendo uso del azar, o aceptar la que nos sirve un dispositivo.

La entropía física funciona bastante bien. Todo lo que sea azar nos puede servir para generar nuestra propia entropía. Monedas, dados, cartas: todos estos elementos nos permiten crear entropía y hacerlo de verdad. La única clave aquí es que hagamos suficientes tiradas o saquemos suficientes cartas. Literal.

Por ejemplo, una moneda tiene dos resultados posibles: cara o cruz. Eso, exactamente, es un bit. La tiras una vez y ya has generado un bit de entropía. La tiras 128 veces y tienes 128 bits. La verdad es que es bastante sencillo.

¿Y si quieres 256 bits, que es acceder a un número tan enorme que se acerca a la cantidad de átomos que hay en el universo observable? Pues la tiras 256 veces y ya está.

Si es un dado de seis caras, con 50 tiradas tienes los 128 bits y con 100 tienes los 256. Si son cartas, te llegan 25 cartas de una baraja para los 128 bits, aunque con una sola baraja no alcanzas los 256 ni sacándolas todas.

Si te quieres poner espléndido puedes usar la desintegración del isótopo radiactivo de partículas alfa y rayos gamma de un detector de humo para generar números aleatorios para tu semilla.

¿Necesitas experimentos rollo Bruce Banner para hacerte un monedero? No.¿Necesitas que el dado sea perfecto, que sea uno de casino? No. ¿Necesitas que la moneda sea perfecta? Tampoco. Hay suficiente entropía si haces suficientes lanzamientos. Y casi en todos los casos hay suficiente entropía si le das el trabajo a otro.

Satoshi usó un portátil de hace 15 años y el código de una librería open source para su semilla, no se puso a destripar cuervos y medir la velocidad del viento.

A donde voy es que hay maneras (muchas) de crear aleatoriedad y tutoriales para todas. Y muy malo tienes que ser para hacerlo peor con una moneda o unos dados que inventándote tu propia semilla. A nosotros no se nos da bien crear caos.

Pero igual que puedes obtener tu semilla de dados, cartas y radioactividad, podrías importar aleatoriedad desde un monedero.

Llevo tiempo trabajando con la empresa que fabrica las BitBox, monederos fríos de bitcoin, y en relación a este suceso publicaron un artículo donde explican de dónde consiguen sus dispositivos la aleatoriedad. Y es un tema importante en el que, te prometo, no me había parado a pensar.

Porque claro, ¿cómo crea la aleatoriedad un dispositivo? El dispositivo tiene un código. Un código que sigue. Entonces, ¿cómo puede crear caos a partir de un código? ¿No será siempre determinista?

Para solucionar este problema -hablo por la BitBox, pero los demás usan sistemas parecidos, también la Coldcard, aunque es como si no estuviera activado- lo que hacen es unir varios modos de entropía y juntarlos todos.

Usan el chip seguro para generar entropía. Usan el microcontrolador para generar entropía. Usan un valor aleatorio único que está grabado en fábrica sobre cada dispositivo. Usan la aleatoriedad del ordenador anfitrión a través de la aplicación de BitBox. Y usan un hash derivado de la contraseña que elige el usuario.

¿Y por qué todo esto?

Porque si tú tienes una sola manera de crear caos, muy probablemente tu caos no sea lo suficientemente caótico como para no ser atacable.

Y es de esta manera, usando varios modos de crear aleatoriedad, con varios números de los que no se puede saber si están ahí, si no están, o en qué orden aparecen, que al juntarlos consigues suficiente aleatoriedad.

Una cosa buena que tiene el caos es que, si tienes cuatro cosas muy ordenadas pero metes una quinta que desordena, ya consigues suficiente aleatoriedad. Es decir: incluso si cuatro de esos cinco sistemas de crear aleatoriedad se descubren no suficientemente aleatorios, si el quinto lo es, ya lo tienes.

Lo cual es genial. Todo bien.

Pero entonces te haces la siguiente pregunta, que es la que hay que hacerse: la máquina lo hace mejor que tú, y en principio no se equivoca haciendo estas cosas. Salvo que se equivoque, claro, que es exactamente lo que acabamos de ver con Coldcard. ¿Y cómo lo compruebas?

Porque es muy fácil comprobar que has tirado la moneda 128 veces. Pero ¿cómo compruebas que todas esas cosas que se supone que están pasando dentro del monedero están ocurriendo realmente?

Tranquilo. Hay instrucciones y son las siguientes.

Instalas Docker. Te descargas el repositorio del firmware desde GitHub. Lo compilas tú mismo en tu ordenador. Sacas el hash SHA-256 del binario que acabas de compilar. Lo comparas con el hash que publica BitBox junto a sus binarios. Y lo comparas también con el hash que el propio dispositivo te enseña por pantalla cuando lo conectas. Si los tres coinciden, sabes que el firmware que corre tu monedero es exactamente el código fuente que cualquiera puede leer.

¿Ves? Tan simple que igual has entendido tres o cuatro palabras seguidas.

Obviamente, no he comprobado jamás que la Bitbox esté generando la entropía suficiente.

Muy probablemente, tú tampoco lo vas a hacer, y ese es el problema con estas cosas. Lo de las tiradas con lápiz y papel parece complejo, y comprobar que tu monedero está haciendo lo que tiene que hacer, más todavía.

Por suerte hay muchas más opciones.

Por ejemplo, un seguidor del canal ha desarrollado algo llamado SeedMate. Un dispositivo a pilas, 100 % offline y compatible con cualquier monedero BIP39, que genera las palabras semilla a partir de entropía del mundo real —dados, monedas, cartas—, permite ofuscar la semilla con alteraciones reversibles, partirla en trozos y combinar dos semillas. ¿Cómo? Pues ni idea, la verdad, pero si te interesa tiene prototipos ya y puedes ver un vídeo con su operativa.

Como este hay varios más pero igual, todos parecen un poco demasiado complejos.

Sin embargo, hay un tipo de monedero que, aun siendo complejo, para mí resuelve más problemas de los que crea.

Y estos serían los monederos multifirma, en los que hay varios dispositivos que necesitas para firmar.

¿Cómo funcionan estos?

Funcionan como esa caja fuerte de banco que necesita dos llaves girando a la vez. Tú no tienes una semilla: tienes varias, cada una viviendo en un dispositivo distinto, y para mover un solo satoshi hace falta que firmen unas cuantas. Lo habitual es un 2 de 3, tres llaves repartidas y dos suficientes para gastar. Y aquí está lo que nos importa para todo lo que veníamos hablando: si cada llave nace en un dispositivo distinto, de un fabricante distinto, con su propia entropía generada en su propio momento, entonces el fallo de un fabricante te deja con una llave comprometida de tres. El atacante tiene una y necesita dos. Estás a salvo.

Dicho lo cual, los monederos multifirma también tienen sus complicaciones.

Cuando creas uno de ellos tienes que crear el camino para poder recuperarlo, y ese camino no está dentro de ninguno de ellos. Es un archivo aparte -¡el descriptor!- que dice cuántas firmas hacen falta, de qué claves y por qué rutas. Si tienes acceso a uno de los dispositivos, eso no quiere decir que puedas recuperar el monedero. Tienes que tener el camino por ahí, accesible.

La buena noticia es que ese camino no es peligroso: con él solo, nadie puede gastar nada. Lo más que puede pasar es que alguien vea tu monedero, tu saldo y tu historial. No es el fin del mundo, pero tampoco es ideal.

Relacionado con esto está la cuestión de la comprobación. Cómo comprobar que realmente puedes recuperar tu monedero usando ese camino y tus dispositivos.

Yo jamás hice esto.

Yo me fui directamente al monedero más complicado: multifirma con Specter usando diferentes tipos de dispositivos, diferentes tipos de entropía, y gestionado a través de un servicio que actualizaba con suerte cada seis meses.

Hoy es más fácil hacerte uno. Puedes usar servicios como Liana o Nunchuk y montarte tu propio monedero multifirma con bastante flexibilidad, y con muchas instrucciones sobre cómo hacer el respaldo y cómo recuperarlo. Cada día es más sencillo tanto montarlo como verificarlo.

Pero de nuevo, esto no quiere decir que yo haya empezado a comprobar. Más bien al contrario.

Por suerte, no todo el mundo necesita un multifirma loco de estos con timelocks y demás pijadas. Yo uso ese porque me gusta y porque mis circunstancias me lo permiten, ya que tengo acceso a diferentes localizaciones. Porque tener un monedero multifirma con todas tus firmas en casa, francamente, es estúpido.

Lo bueno es que todo esto de los monederos hoy puede parecer muy arriesgado, pero es simplemente porque acabamos de sufrir este problema con Coldcard. Realmente no es una cosa difícil.

Lo de la passphrase, que no lo he mencionado, es supersencillo. Creas un monedero, le montas una passphrase y ya estás bastante seguro. Eso sí: una sola palabra no vale, porque una palabra suelta se prueba en cuestión de minutos. Tiene que ser una frase suficientemente larga, o varias palabras elegidas al azar. No te protege de todo, pero sí te protege de muchas cosas. Y sobre todo te asegura que, si la entropía del dispositivo no era suficiente, tú estás cubierto de todas formas. De hecho, en el caso de Coldcard, quien tenía una passphrase normalita se libró.

Obviamente también puedes montarte un monedero de estos con lápiz y papel. O una Bitbox, Jade, o cualquiera sin más, que también es seguro en el 99,9% de los casos. Hay muchísimos monederos que no tienen passphrase y que no son accesibles: encontrar una clave o una frase semilla, si cuando se creó el monedero se hizo con suficiente entropía, es directamente imposible.

Lo que quieras hacer depende más de cuál sea tu situación y de cuál sea tu disponibilidad este fin de semana. Pero no es complicado. Yo hice esto. Técnicamente no entiendo un carajo. Las instrucciones están ahí, las sigues y ya está.

Un buen ejemplo de esto es algo que escuché en un vídeo que vi estos días, precisamente preparando lo de Coldcard. En él, un youtuber hacía un análisis de un montón de monederos, y me hizo gracia una frase que soltaba al final, que me pareció ridícula pero que tiene todo el sentido del mundo. Decía que lo primero que tienes que tener en consideración cuando te compras un monedero es que soporte las monedas que quieres guardar -su canal no es bitcoin only.

Cuando lo escuché pensé: vaya chorrada, obviamente no vas a comprarte un monedero bitcoin only si quieres guardar ethereum.

Pero aunque parezca una perogrullada, arroja una verdad que conviene tener en mente. Al final, lo primero que tienes que hacer no es mirar cómo de seguro es el monedero, sino qué monedero te viene bien a ti.

Todos son seguros. Lo que no son todos es seguros frente a todas las cosas en todos los momentos. Pero son muy seguros.

Ya sé que hoy no lo parece, pero esto de la custodia es muy seguro. Es muy difícil hacerlo tan mal como lo hicieron los de Coldcard. El caos, como decía al comienzo, nos viene fácil.

Y para cerrar, solo quería abordar la cuestión de: vale, pero ¿qué guardas dentro de tu monedero frío?

Esta parte la voy a poner detrás del paywall. No porque la mayoría de vosotros me caigáis mal, sino porque esto va más del caso personal mío. Creo que va mejor aquí detrás, pero es una chorrada: si no estás suscrito, no te suscribas para ver lo que viene a continuación.

Read more