¿Qué es una billetera de hardware?
Una billetera de hardware es un dispositivo físico especializado que almacena o deriva claves privadas y firma solicitudes separado de una computadora o teléfono de propósito general. Cuando el diseño y la implementación funcionan como se espera, la aplicación conectada recibe una firma sin recibir la clave privada.
El dispositivo no contiene activos blockchain como archivos. Los saldos e historial siguen siendo parte del estado de la red. El hardware controla material de firma capaz de autorizar actividad conforme a las reglas aplicables.
Cómo se separan la preparación y la firma
Un flujo típico tiene dos lados:
- Una aplicación anfitriona lee datos y prepara una transacción sin firmar o solicitud.
- El dispositivo analiza la solicitud, aplica controles y muestra los detalles disponibles.
- Tras la confirmación, firma internamente.
- El anfitrión recibe la firma o transacción firmada y la difunde.
La especificación PSBT de Bitcoin ofrece una forma estandarizada de intercambiar información entre creadores, firmantes y finalizadores sin que todos tengan todas las claves. También define datos de salida que ayudan a identificar destinatarios y cambio. Otras redes usan formatos diferentes, por lo que el dispositivo debe admitir la cadena y el tipo de transacción aplicables, no limitarse a aceptar bytes arbitrarios. BIP-174
NIST describe estos dispositivos como hardware protegido que conserva claves y firma sin exponerlas a aplicaciones. “Hardware protegido” es una meta de diseño y una categoría, no prueba de que todos los productos, firmwares o configuraciones tengan propiedades idénticas. NISTIR 8301
La pantalla forma parte del límite de autorización
El aislamiento responde si el anfitrión puede copiar directamente los secretos. No responde si la solicitud coincide con la intención. Un equipo comprometido puede intentar sustituir una dirección, modificar un monto o presentar otra interacción de contrato.
El dispositivo solo reduce este riesgo si interpreta y muestra de forma independiente detalles significativos. Ledger llama clear signing a la presentación legible y la distingue de blind signing, cuando no puede interpretar todo el payload. Es terminología de proveedor, pero el límite es general: aprobar un hash opaco permite menos verificación independiente que comprobar el destino y la acción en una pantalla confiable. Documentación de Ledger: clear signing
El tamaño de pantalla, los campos admitidos y la decodificación varían. Incluso una dirección correcta puede ser difícil de comparar, y algunas operaciones contienen permisos o llamadas anidadas que un solo monto no resume. Un botón de confirmación solo sirve para los detalles que el dispositivo presenta correctamente y que la persona realmente revisa.
Hardware, frío y sin custodia describen propiedades distintas
- Billetera de hardware identifica un dispositivo físico de firma.
- Billetera fría identifica un flujo de autorización fuera de línea.
- Billetera sin custodia identifica quién controla la autorización.
Una billetera de hardware puede participar en un flujo frío, pero también comunicarse con un anfitrión en línea. Suele usarse sin custodia, aunque puede ser un firmante en una política multifirma o parte de un acuerdo administrado. Un solo dispositivo quizá no baste para autorizar una cuenta si se exige otro firmante o condición.
La conectividad puede usar USB, Bluetooth, NFC, códigos QR o medios extraíbles. Cada método crea rutas de datos distintas; ninguno determina por sí solo la custodia ni prueba que una solicitud sea válida. La documentación de Trezor también describe la separación de claves y la necesidad de verificar detalles en el dispositivo. Trezor: ¿qué es una billetera de hardware?
PIN, frase de recuperación y passphrase no son intercambiables
El PIN suele restringir acceso local al dispositivo. No cambia automáticamente las claves subyacentes. Muchas billeteras derivan claves desde material seed respaldable como frase de recuperación; implementaciones compatibles con BIP-39 pueden aceptar un passphrase adicional que cambia la seed y la billetera resultante. BIP-39
El material de recuperación es una ruta paralela hacia las claves. Quien tenga frase, passphrase y ajustes compatibles puede reconstruirlas en otro dispositivo o aplicación. A la inversa, perder el dispositivo y la información suficiente puede impedir el acceso.
No todas usan BIP-39, y una frase puede no restaurar claves importadas, políticas multifirma, descriptores, etiquetas o ajustes de cuentas inteligentes. La recuperación debe evaluarse según la arquitectura concreta, no inferirse de la presencia de una frase.
Modos de falla más allá de la extracción remota
La separación física puede reducir el acceso directo desde el anfitrión. No elimina:
- defectos de firmware, actualizaciones maliciosas o análisis no admitido;
- manipulación antes de la entrega, durante la inicialización o por acceso físico;
- interfaces engañosas y pantallas incompletas;
- exposición de la frase, errores de transcripción o restauración incompatible;
- firma de una aprobación, mensaje u operación no prevista; ni
- pérdida de otras claves o datos de política en sistemas multifirma o inteligentes.
Las comprobaciones de autenticidad, procedencia del firmware e inicialización son específicas del producto. No deben reemplazarse por la afirmación general de que estas billeteras son automáticamente seguras. Ethereum también las trata como una medida, manteniendo riesgos de phishing, secretos y solicitudes maliciosas. Seguridad de Ethereum
Preguntas frecuentes
¿Perder el dispositivo significa perder los activos?
No necesariamente. Un método compatible puede reconstruir el acceso si siguen disponibles todos los datos y ajustes necesarios. Si el respaldo falta, es incorrecto o incompleto para el diseño, el dispositivo no puede aportar lo que nunca se conservó.
¿El malware del anfitrión puede gastar sin obtener la clave privada?
No puede crear por sí solo una firma válida si la clave permanece aislada y la cuenta la exige. Aun así, puede presentar una solicitud maliciosa y convencer a la persona para autorizarla. Aislamiento y verificación son controles distintos.
Más información
Para una descripción más extensa, consulta Hardware Wallet Guide, en inglés. Las comparaciones y recomendaciones son material complementario; la definición técnica se basa en especificaciones y documentación oficial.
Conceptos relacionados
Explora billeteras frías, billeteras sin custodia, claves privadas y frases de recuperación, o vuelve al Glosario de cripto.
Fuentes
- NISTIR 8301: Blockchain Networks — Token Design and Management Overview — diseño, almacenamiento protegido y límites de firma.
- BIP-174: Partially Signed Bitcoin Transaction Format — roles e información para firmantes.
- Bitcoin Developer Guide: billeteras — separación entre funciones de red y dispositivos de firma.
- BIP-39: Mnemonic code for generating deterministic keys — proceso de mnemónico a seed y passphrases opcionales.
- Documentación de Ledger: clear signing — verificación legible y límites de blind signing.
- Trezor: ¿qué es una billetera de hardware? — aislamiento de claves y confirmación.
- Ethereum: seguridad — secretos de recuperación, phishing y firma maliciosa.
© 2025 OKX. Este artículo puede reproducirse o distribuirse en su totalidad, o pueden utilizarse fragmentos de 100 palabras o menos de este artículo, siempre que dicho uso no sea comercial. Cualquier reproducción o distribución del artículo completo debe indicar también claramente lo siguiente: "Este artículo es © 2025 OKX y se utiliza con permiso". Los fragmentos permitidos deben citar el nombre del artículo e incluir su atribución, por ejemplo "Nombre del artículo, [nombre del autor, en su caso], © 2025 OKX". Algunos contenidos pueden generarse o ayudarse a partir de herramientas de inteligencia artificial (IA). No se permiten obras derivadas ni otros usos de este artículo.
