Entiende qué es una seed phrase, por qué es crítica, y los errores más comunes que debes evitar.
🎯 Objetivo de la lección
Entender qué es realmente una frase de recuperación: de dónde salen esas palabras, por qué doce bastan, qué relación tienen con tus direcciones, qué hace la palabra adicional y —sobre todo— por qué hay sitios donde no puede estar nunca.
🎲 De dónde salen las palabras
Una frase de recuperación no es una contraseña que alguien eligió. Es un número aleatorio muy grande, escrito de forma que una persona pueda copiarlo sin equivocarse.
El proceso, simplificado:
El dispositivo genera entropía: bits aleatorios, idealmente a partir de una fuente física de ruido.
Esos bits se trocean en grupos, y cada grupo se traduce a una palabra de una lista fija de 2.048. Esa lista es pública y está estandarizada.
Al final se añade un pequeño resumen de verificación, el checksum, que forma parte de la última palabra.
Las palabras de la lista están elegidas con cuidado: las cuatro primeras letras identifican unívocamente cada palabra, y se evitaron pares que se confundan al leerlos o al escribirlos. Por eso muchos dispositivos aceptan que escribas solo las cuatro primeras letras.
Dos consecuencias prácticas de esto:
No puedes inventarte las palabras. Elegir doce palabras bonitas de la lista produce una frase válida en formato pero ridículamente predecible. La aleatoriedad es el producto, no las palabras.
La mayoría de los errores al copiar se detectan. Si te equivocas al anotar, el checksum suele fallar y el dispositivo te avisa de que la frase no es válida. Conviene conocer su límite exacto: en una frase de doce palabras el checksum son solo cuatro bits, así que aproximadamente uno de cada dieciséis errores al azar pasa desapercibido y produce una frase válida pero distinta, que abre una cartera vacía. Es una red de seguridad muy útil, no una garantía. Y no detecta en absoluto el orden cambiado.
⚠️ La entropía es el cimiento
Todo lo que veremos después —el PIN, el metal, las ubicaciones separadas— descansa sobre una única premisa: que nadie pueda adivinar tu número. Si la generación de la semilla no es realmente aleatoria, ninguna de esas capas sirve de nada, y no hay forma de compensarlo después.
Ese fallo tiene además una propiedad incómoda: es invisible. Una frase generada con poca entropía tiene exactamente el mismo aspecto que una buena. Doce palabras de la misma lista, checksum válido, el dispositivo la acepta sin rechistar. No hay ninguna señal de que algo vaya mal.
Y la diferencia no es de grado. En el caso que viene ahora, el aparato siguió eligiendo entre un conjunto de posibilidades, pero mucho más pequeño: unos 40 bits de espacio de búsqueda efectivo en los modelos antiguos y unos 72 en los recientes, donde debían ser 128.
Un caso real
El 30 de julio de 2026 se vaciaron cientos de carteras Coldcard de firma única en cuestión de minutos, en un barrido coordinado. Las estimaciones publicadas del total sustraído no coinciden entre sí y el fabricante no ha dado ninguna, así que aquí no se reproduce una cifra.
La causa no fue un ataque a los dispositivos. Fue un defecto en la compilación del firmware que, desde 2021, desactivó en silencio el generador de números aleatorios por hardware y dejó que la semilla se derivara de un generador por software mucho más débil. Los aparatos siguieron funcionando con normalidad durante más de cuatro años.
Conocida esa debilidad, los atacantes pudieron reconstruir las semillas sin conexión, calculando fuera de la red. En ningún momento accedieron a los dispositivos a distancia: no hacía falta.
La lección práctica vale más que el caso concreto: una semilla puede estar comprometida desde que nace, aunque el dispositivo no haya tocado internet jamás. El cold storage protege de lo que pueda pasarle a tu clave después de generarla; no protege de un mal nacimiento.
Conviene no sacar la conclusión equivocada. El defecto se detectó, se publicó y se corrigió, y otros fabricantes declararon no estar afectados. Generar la semilla en un equipo de propósito general tiene modos de fallo peores y menos visibles. Lo que el caso demuestra no es que estos dispositivos sean mala idea, sino que la generación de la semilla es un punto único de fallo que conviene no dar por resuelto.
Si te afecta
Los modelos alcanzados son Mk2, Mk3, Mk4, Mk5 y Q. Quedaron fuera TAPSIGNER, OPENDIME y SATSCARD, que usan otra base de código. Las versiones afectadas son la 4.0.1 a la 4.1.9 en Mk2 y Mk3, y en Mk4, Mk5 y Q cualquiera anterior al parche del 31 de julio de 2026.
Actualizar el firmware corrige las semillas futuras, no la que ya tienes. Si generaste tu frase en uno de esos modelos con una versión anterior, el camino es: instalar la versión vigente, generar una frase nueva, comprobar su copia, verificar en la pantalla del dispositivo una dirección de recepción, enviar una cantidad pequeña de prueba y confirmar que llega, y solo entonces mover el resto. Conserva la copia antigua hasta que la migración esté terminada y comprobada.
No damos aquí el número de versión a propósito: desde el parche inicial ha habido dos revisiones más, cada una con la suya. La lista vigente por modelo está en la página de actualización del fabricante y el procedimiento completo, en su aviso de seguridad. Es la única fuente que conviene seguir para esto.
No depender de un solo generador
Varios dispositivos permiten aportar entropía propia al generar la frase: tiradas de dados, una secuencia que introduces tú, o una combinación con la aleatoriedad del aparato. La ventaja no es que tus dados sean mejores que un chip: es que el resultado deja de depender de una sola fuente. Si una falla, la otra sigue aportando incertidumbre.
En el caso de julio de 2026 eso tuvo un efecto medible: las semillas generadas aportando al menos 50 tiradas de dados físicos, independientes y no registradas, no quedaron comprometidas, porque su aleatoriedad no provenía del generador defectuoso.
Con la palabra adicional el matiz importa: una passphrase robusta añade una barrera independiente, pero no repara la semilla. El fabricante recomienda migrar igualmente a quien la use. No es lo mismo estar fuera del problema que tener una puerta más.
No es una práctica necesaria para todo el mundo, y hacerla mal —con pocas tiradas o con un dado sesgado— es peor que no hacerla. Pero si tu dispositivo lo ofrece y manejas cantidades que lo justifiquen, es una forma barata de no poner todo el peso en una sola pieza.
🔢 Doce o veinticuatro
La diferencia es la cantidad de entropía: doce palabras codifican 128 bits, veinticuatro codifican 256.
La pregunta razonable es si 128 bits bastan. La respuesta corta es que sí: ningún adversario concebible con la tecnología actual va a recorrer ese espacio por fuerza bruta. La diferencia entre 128 y 256 bits no es «el doble de seguro»; ambos están muy por encima del umbral de lo que se puede atacar así.
Donde sí hay diferencia es en lo práctico: veinticuatro palabras son el doble de cosas que copiar, grabar, verificar y volver a leer dentro de diez años. Y, como vimos en la 1.1, el error humano es el adversario principal. Hay un argumento sólido para que menos palabras sean más seguras en la práctica.
Muchos dispositivos no te dejan elegir. Si el tuyo lo hace, la decisión tiene más que ver con tu procedimiento de copia que con la criptografía.
🌳 De una frase salen todas tus direcciones
Aquí está la idea que cambia la forma de pensar en esto: la frase no corresponde a una dirección, sino a un árbol infinito de ellas.
De la semilla se deriva una clave maestra, y de ella, siguiendo un camino de números, se derivan claves hijas, nietas y así sucesivamente. Ese camino se llama ruta de derivación y tiene un aspecto parecido a m/84'/0'/0'/0/0.
De ahí salen varias cosas que conviene tener claras:
Tu cartera genera una dirección nueva en cada cobro, y todas se recuperan de la misma frase. No hay que respaldar nada cada vez que recibes.
Existe una clave pública extendida, la xpub, que permite generar todas tus direcciones de recepción sin poder gastar. Es lo que usa una cartera de solo lectura.
Que la xpub no permita gastar no significa que sea inocua. Quien la tenga ve todo tu historial y todo tu saldo, presente y futuro. Es un problema de privacidad serio, no de custodia. Trátala como información sensible.
Rutas distintas dan direcciones distintas. Esto explica el susto más común de todos: restauras la frase correcta en otra cartera y aparece un saldo de cero. No has perdido nada; la cartera está mirando una rama distinta del árbol. Lo tratamos a fondo en la lección 2.3.
🚫 Qué no es la frase
Tres confusiones frecuentes, y las tres tienen consecuencias:
No está en la cadena de bloques. Si la pierdes, no hay nada que consultar. Los fondos siguen ahí, visibles para todo el mundo, y nadie —tú incluido— puede moverlos jamás.
Ningún fabricante la tiene. No hay un «recuperar mi cuenta». Cualquier soporte técnico que te la pida es una estafa, sin excepciones y sin matices.
No es el PIN. El PIN protege el dispositivo físico. La frase es el acceso a los fondos. Quien tenga la frase no necesita ni el dispositivo ni el PIN.
🗝️ La palabra adicional
El estándar permite añadir una palabra o frase extra de tu elección, que se combina con las doce o veinticuatro para derivar una semilla distinta. Se la suele llamar «la palabra 25» o passphrase.
Lo importante es entender qué hace exactamente:
No protege la frase: crea otra cartera. La misma frase con palabra adicional y sin ella dan dos carteras completamente separadas, cada una con sus direcciones y su saldo.
Por eso permite el esquema de la cartera señuelo: la frase sola lleva a una cartera con una cantidad pequeña y creíble; con la palabra adicional se abre la de verdad. Es la única defensa parcial frente a la coacción, y conviene decir «parcial»: quien te coacciona puede saber que esto existe.
No tiene checksum. Esta es la parte peligrosa. Un espacio de más, una mayúscula distinta, una tilde: cualquier variación produce una cartera diferente y perfectamente válida, vacía, sin ningún aviso de error. No hay red de seguridad.
Olvidarla es perderlo todo, igual que perder la frase. Y es mucho más fácil de olvidar que doce palabras escritas en metal, porque suele vivir solo en la cabeza.
Recomendación honesta: si la usas, escríbela y guárdala, en un sitio distinto de la frase. Guardarla solo en la memoria es una apuesta contra tu yo de dentro de diez años, y esa apuesta se pierde a menudo. Y si no tienes una razón concreta para usarla —una que hayas escrito en tu modelo de amenazas—, probablemente no la necesitas: añade un punto de fallo a cambio de protegerte de un escenario que quizá no es el tuyo.
📵 Dónde no puede estar nunca
Sea cual sea el dispositivo que uses y decidas o no añadir una palabra adicional, hay soportes en los que la frase no puede acabar. Ni una vez, ni «temporalmente mientras la paso a metal»:
Una foto. El teléfono la sincroniza con la nube en cuestión de segundos, y a partir de ahí escapa a tu control.
Cualquier servicio de almacenamiento en la nube, aunque el archivo esté en una carpeta llamada «recetas».
Correo electrónico, incluido enviártelo a ti mismo. El correo es el archivo permanente que un atacante busca primero.
Aplicaciones de mensajería, aunque el mensaje se borre después.
Gestores de contraseñas sincronizados. Es el caso más discutido, porque parece razonable. El problema es que concentra en un solo sitio la clave de tu vida digital y la de tus fondos: quien entre, se lleva las dos.
Un archivo de texto en el equipo, aunque tenga contraseña.
Cualquier cosa que pase por una impresora, que casi siempre guarda copia del trabajo.
Y una que no es digital pero falla igual: en el mismo sitio que el dispositivo. Un robo corriente se lleva la caja entera.
📌 En resumen
La frase es un número aleatorio traducido a palabras de una lista pública de 2.048. La aleatoriedad es el producto; elegir las palabras la destruye.
El checksum detecta la mayoría de los errores de transcripción, no todos: en doce palabras son cuatro bits, uno de cada dieciséis errores pasa. Y no detecta el orden cambiado.
La entropía es el cimiento: una semilla mal generada es indistinguible de una buena y puede reconstruirse sin tocar el dispositivo. El caso de 2026 dejó el espacio de búsqueda en unos 40 bits en los modelos antiguos y 72 en los recientes, donde debían ser 128.
Actualizar el firmware arregla las semillas futuras, no la que ya existe: si te afecta, hay que generar una nueva, probarla con una cantidad pequeña y mover los fondos. Una passphrase robusta añade una barrera, pero no repara la semilla.
Aportar entropía propia, con dados por ejemplo, evita depender de un único generador.
Doce palabras bastan de sobra. Veinticuatro duplican el trabajo de copia, y el error humano es el adversario principal.
De una frase sale un árbol infinito de direcciones. La xpub no gasta, pero revela todo tu historial: trátala como información sensible.
La frase no está en la cadena y ningún fabricante la tiene. Quien te la pida está robándote.
La palabra adicional no protege la frase: crea otra cartera. No tiene checksum y olvidarla es perderlo todo. Si la usas, escríbela aparte.
Con esto cierra el módulo de fundamentos. En la lección 2.1 pasamos a la práctica: comprar un dispositivo sin caer en un aparato manipulado, reconocer las estafas que van a por tu frase, configurarlo verificando cada paso y hacer la primera transacción de prueba.