El 16 de mayo, Ledger —fabricante de las billeteras de hardware más vendidas— anunció Recover: una suscripción opcional que respalda tu seed phrase cifrándola dentro del dispositivo, dividiéndola en tres fragmentos y enviando esos fragmentos a tres custodios. En cuestión de horas, el anuncio se había convertido en la polémica de Ledger Recover, una de las reacciones más duras que ha provocado la autocustodia en años, con tuits borrados, entrevistas organizadas a toda prisa y, finalmente, un lanzamiento en pausa. Tres semanas después, con los ánimos algo más calmados, conviene preguntarse qué demostró realmente el episodio.
Nuestra respuesta, por adelantado: la disputa nunca fue realmente sobre un servicio opcional. Fue sobre el derrumbe público de una suposición —que las claves privadas no podían salir físicamente del elemento seguro de una billetera de hardware— que resultó ser una política, y no una ley de la naturaleza. La seguridad que no puedes verificar es una promesa, y una promesa puede cambiar con una actualización de firmware.
Qué hace realmente Ledger Recover
Si dejamos de lado la indignación, la mecánica es fácil de explicar. Ledger Recover es un servicio de suscripción opcional, con un precio de unos 10 dólares al mes, que cifra la seed phrase de una billetera dentro del dispositivo, divide el material cifrado en tres fragmentos y los reparte entre tres empresas distintas: la propia Ledger, Coincover y EscrowTech. Ningún custodio por sí solo posee información suficiente para reconstruir la seed. Para restaurar, el usuario verifica su identidad con un documento oficial; dos de los tres custodios liberan entonces sus fragmentos a un dispositivo nuevo, donde la seed se vuelve a ensamblar.
El servicio llegó junto con una actualización de firmware para el Nano X y exige una inscripción explícita: no se respalda nada a menos que el propietario se suscriba, lo confirme en el dispositivo y supere la verificación de identidad. Ledger ha sido coherente en ese punto todo el tiempo, y ninguna evidencia pública lo contradice.
Por qué la reacción fue tan feroz
Si el servicio es opcional, ¿a qué viene tanta furia? Porque el anuncio reveló una capacidad, no solo un producto. Para que Recover exista siquiera, el firmware de Ledger tiene que ser capaz de sacar material de la seed —cifrado y fragmentado, pero material de la seed al fin y al cabo— del elemento seguro y fuera del dispositivo. Una gran parte de los clientes de Ledger creía, de buena fe, que esto era imposible por diseño, y el propio marketing de la empresa había alentado esa creencia: una publicación de hacía meses, de una cuenta oficial, que afirmaba que las claves privadas nunca salen del elemento seguro resurgió en cuestión de horas y se compartió sin descanso.
El momento decisivo de la polémica de Ledger Recover llegó cuando una de las cuentas oficiales de Ledger reconoció que siempre había sido técnicamente posible escribir un firmware que facilite la extracción de claves. La publicación se borró pronto, pero las capturas estaban por todas partes, y la afirmación era exacta. Eso es precisamente lo que dolió: no una puerta trasera oculta, sino la constatación de que la barrera entre las claves de un usuario y el mundo exterior siempre había sido una cuestión de lo que un firmware firmado decide hacer.
Otras dos preocupaciones amplificaron la reacción. Primera, la identidad: Recover vincula un documento oficial verificado a una billetera de hardware, un emparejamiento incómodo para quienes eligieron la autocustodia en parte por privacidad. Segunda, la concentración: tres empresas identificadas que custodian fragmentos son tres objetivos de citación judicial, tres superficies de brecha y tres lugares donde un futuro cambio de política podría importar.
Siempre estuviste confiando en el firmware
Aquí viene la parte incómoda, y va mucho más allá de un solo fabricante. Un elemento seguro protege las claves frente a la extracción física y la manipulación; no decide qué se le permite pedir al firmware del dispositivo. Cualquier dispositivo cerrado que genere y guarde tus claves te pide que confíes en las claves de firma de código de su fabricante, en su proceso de publicación, en sus empleados y en su resistencia a la presión legal, durante cada año que el dispositivo siga en uso.
La autocustodia no es binaria; es una pila de suposiciones de confianza —hardware, firmware, software y proceso— y la pregunta útil es qué capas puedes verificar de forma independiente. Nada de lo ocurrido en mayo cambió esa pila. Lo que cambió es que un público muy amplio la vio con claridad por primera vez.
Deberíamos ser claros sobre nuestra propia posición en esa pila. La app de Ownbit es de código cerrado, como la mayoría de las apps de billetera. La respuesta honesta a esa realidad no es fingir que la confianza desaparece, sino reducir lo que debe abarcar, y así está construido nuestro modelo de seguridad: los contratos multisig son de código abierto, cada clave de una multisig de Ownbit es una seed phrase BIP39 estándar y los fondos siguen siendo recuperables sin los servidores de Ownbit siguiendo las guías de autorrecuperación publicadas. La medida de una billetera no es si confías en el fabricante —confías, en algún punto—, sino qué tan poco debe abarcar esa confianza y qué parte de ella puedes comprobar.
El problema que Recover quiere resolver es real
Sería fácil, en pleno linchamiento colectivo, olvidar que Ledger apunta a un modo de fallo genuino. Estimaciones muy difundidas llevan tiempo sugiriendo que algo así como una quinta parte de todo el bitcoin permanece varado en billeteras cuyas claves se han perdido. Una seed phrase en una sola hoja de papel es un único punto de fallo en ambos sentidos: cualquiera que la encuentre puede llevarse todo y, si se quema, se inunda o simplemente se olvida, todo desaparece con ella. Los exchanges resolvieron esto con cuentas y servicios de atención al cliente, a costa de la custodia, un intercambio del que la industria ha tenido motivos para arrepentirse una y otra vez.
Así que la ambición merece ser tratada con justicia. Las billeteras de hardware, los servicios de MPC y los custodios regulados sirven cada uno a usuarios reales con necesidades reales, y un servicio de recuperación asegurado encajará de verdad con algunos de ellos. La objeción en el corazón de la polémica de Ledger Recover es más acotada: el servicio reescribió sin hacer ruido el modelo de confianza de un dispositivo que la gente ya había comprado, y esa reescritura no puede auditarse de forma independiente mientras el firmware siga cerrado.
Dividir un secreto no es dividir el control
El diseño de tres fragmentos y dos para restaurar de Recover se parece superficialmente a la multisig. La diferencia lo es todo. La fragmentación de la seed divide un único secreto que en algún momento debe volver a ensamblarse: en el momento de la recuperación, la clave completa existe de nuevo en un solo lugar, y todo depende de las partes y el proceso que realizan ese ensamblado. La multisig divide el control en sí. Dos o tres seed phrases independientes, generadas en dispositivos distintos por personas distintas, no se combinan nunca en ningún sitio; una billetera 2-of-3 necesita dos firmas on-chain, y no hay ninguna ceremonia en la que una máquina retenga brevemente todo.
Esa distinción es la razón por la que la MultiSig ha sido el diseño central de Ownbit desde 2017. Cada participante conserva una seed phrase BIP39 estándar, las reglas de firma las impone la cadena de bloques en lugar de la palabra de una empresa, y los servidores de Ownbit coordinan las firmas sin llegar a poseer nunca una clave. Perder una clave es superable, robar una clave es inútil, y ningún custodio —nosotros incluidos— almacena nada que pueda mover fondos.
Qué conclusiones sacar, a junio de 2023
Primero: no hay motivo para el pánico. Nada en estas tres semanas demostró un exploit, un robo o un dispositivo comprometido, y un Ledger no inscrito afronta los mismos riesgos prácticos que afrontaba en abril. Si tienes uno, las respuestas sensatas son las tranquilas: aplica las actualizaciones de firmware de forma deliberada y vuelve a examinar en qué estás confiando en lugar de reaccionar a lo que te dicen.
Segundo: haz inventario de tus suposiciones de confianza mientras la lección está fresca. ¿Qué partes de tu configuración son promesas y cuáles son verificables? Un ejercicio útil es preguntarse, por cada billetera que usas, qué podría hacer su fabricante —no qué haría, sino qué podría hacer— y si te enterarías en caso de que lo hiciera.
Tercero: para los saldos que importan, deja de depender de una sola clave o de una sola empresa. Repartir el control mediante una multisig 2-of-3 elimina el único punto de fallo al que apunta Recover, sin entregar a ningún custodio una copia reconstruible de tu seed. Al momento de escribir esto, Ledger ha puesto en pausa el despliegue de Recover y se ha comprometido a abrir el código de una parte mayor de su software antes del lanzamiento: la dirección correcta, y una que debería juzgarse como debería juzgarse todo en esta industria: por lo que es verificable cuando se publica. La lección duradera de la polémica de Ledger Recover es que la distancia entre «no puede» y «no lo hará» es el tema completo de la autocustodia, y los usuarios tienen derecho a saber cuál de las dos compraron.
Preguntas frecuentes
¿Qué es Ledger Recover?
Ledger Recover es un servicio de suscripción opcional, anunciado por Ledger el 16 de mayo de 2023, que respalda la seed phrase de una billetera de hardware. El dispositivo cifra la seed, la divide en tres fragmentos y los reparte entre tres custodios: Ledger, Coincover y EscrowTech. Restaurar requiere la verificación de un documento oficial y los fragmentos de dos de los tres custodios.
¿Es Ledger Recover una puerta trasera?
No en el sentido habitual: es opcional y requiere inscripción, una suscripción y una confirmación física en el dispositivo. La polémica surgió porque la función demostró que el firmware de Ledger puede exportar, siquiera, material cifrado de la seed desde el elemento seguro, lo que significa que la protección que muchos usuarios daban por física es en realidad una política de firmware.
¿Siguen siendo seguras las billeteras de hardware de Ledger?
No se demostró ningún exploit, robo ni vulnerabilidad durante el episodio, y un dispositivo que nunca se inscribe en Recover se comporta como lo hacía antes. Lo que cambió es el modelo de confianza que los usuarios deberían asumir: un dispositivo de firmware cerrado es exactamente tan fiable como el código y los procesos de su fabricante. Muchos poseedores lo considerarán aceptable; otros repartirán su riesgo con multisig.
¿Cuál es la alternativa de autocustodia a los servicios de recuperación de la seed?
La principal alternativa es la multisig. Una billetera multisig 2-of-3 reparte el control entre tres seed phrases independientes guardadas en dispositivos distintos, de modo que perder una clave no pierde los fondos y ninguna empresa llega a poseer una copia reconstruible de la seed. Aborda el mismo problema de recuperación ante accidentes sin un custodio ni verificación de identidad.
Si las últimas semanas te han hecho revisar dónde está concentrada tu propia confianza, el siguiente paso práctico es dejar de depender de una sola clave, o de una sola empresa. Ownbit MultiSig te permite repartir el control entre seed phrases estándar que tú mismo custodias, con contratos de código abierto y un modelo de seguridad diseñado para que los fondos sigan siendo recuperables incluso sin nuestros servidores. Es un lugar más tranquilo desde el que ver la próxima polémica.