Carteras multisig: cómo funcionan y quién las necesita

Una cartera multisig (multifirma) requiere M de N claves para aprobar una transacción — por ejemplo, 2 de 3 cualesquiera. Ninguna clave por sí sola puede mover los fondos, así que perder o filtrar una clave no significa perder el dinero. Cambias algo de comodidad por mucha resiliencia.

Esa es la respuesta corta. El resto de esta página explica cómo funciona el M-de-N, las configuraciones habituales, los límites reales y a quién le conviene de verdad.

---

Qué significa realmente M de N

En una cartera multisig, los fondos están controlados por un conjunto de N claves, y una transacción solo es válida cuando M de ellas la firman. M es el umbral; N es el número total de claves. Una cartera 2-de-3 tiene tres claves y necesita dos cualesquiera para mover los fondos.

Esto cambia el modelo de seguridad en un aspecto importante: no hay un punto único de fallo. Una sola clave robada, una sola copia de seguridad perdida o un solo dispositivo comprometido no bastan para vaciar la cartera — y, en la mayoría de las configuraciones, tampoco bastan para dejarte fuera. Ese es todo el sentido.

La contrapartida es que ahora cada transacción requiere coordinación. La comodidad baja; la resiliencia sube.

---

Configuraciones habituales

Los M y N adecuados dependen de quién posee las claves y de qué proteges.

• 2-de-3 para particulares. Tres claves en tres dispositivos o ubicaciones — por ejemplo, una cartera de hardware en casa, una en casa de un familiar y una en una caja de seguridad bancaria. Dos cualesquiera firman. Sobrevives a la pérdida de cualquier clave y aun así no pueden vaciarte con un solo robo.
• Umbrales más altos para tesorerías y DAO. Una empresa o DAO puede usar 3-de-5 o 4-de-7, con las claves en manos de distintas personas o departamentos. Ninguna persona por sí sola puede mover fondos, y la organización sobrevive a la marcha o compromiso de una minoría de firmantes.

También existen dos variantes técnicas:

• Multisig por contrato inteligente, como Safe (antes Gnosis Safe) en Ethereum y otras cadenas EVM. Las reglas viven en un contrato inteligente, lo que las hace flexibles — puedes cambiar firmantes o el umbral más adelante, añadir políticas de gasto e integrarte con aplicaciones.
• Multisig nativo, como el multisig integrado de Bitcoin (P2SH / P2WSH). Las reglas las aplica el protocolo base, no un contrato. Es más simple y no hay contrato que auditar, pero es menos flexible y más difícil de reconfigurar tras la instalación.

---

Clave única frente a multisig, cara a cara

El patrón: más claves y un umbral más alto eliminan los puntos únicos de fallo, pero cada paso añade claves que gestionar, respaldar y coordinar.

---

Quién la necesita de verdad

El multisig no es para todo el mundo, pero es casi imprescindible en algunos casos:

• Tesorerías de DAO y empresas. Los fondos compartidos nunca deberían depender de la clave o la honestidad de una sola persona. Un umbral reparte el control y crea un rastro de auditoría.
• Autocustodia de alto valor. Si un solo dispositivo robado o una copia de seguridad filtrada fuera catastrófico, el 2-de-3 elimina ese punto único de fallo.
• Planificación de herencia. Puedes distribuir las claves para que los herederos, junto con un abogado o un segundo familiar, puedan alcanzar el umbral — sin que ninguna parte pueda actuar sola mientras vives.
• Protección frente a un solo dispositivo comprometido. Aunque un malware tome el control de un dispositivo de firma, no puede alcanzar el umbral por sí solo.

Si tienes una cantidad modesta y gastas a menudo, una sola cartera de hardware suele bastar. El multisig justifica su complejidad por encima de cierto valor.

---

Los límites honestos

El multisig es potente, no mágico. Los costes reales:

• Más que gestionar y respaldar. N claves significan N copias de seguridad, cada una guardada de forma segura y por separado. Más claves significa más cosas que perder.
• Riesgo de contrato en el multisig por contrato inteligente. Una cartera tipo Safe depende de un contrato inteligente. Un fallo o una mala actualización es un riesgo que las carteras nativas de clave única no tienen. Usa implementaciones bien auditadas y de amplio uso.
• Los errores de configuración pueden bloquear los fondos para siempre. Si pierdes suficientes claves como para no poder alcanzar M, los fondos quedan congelados para siempre. Un 2-de-3 en el que pierdes dos claves es irrecuperable. El umbral que te protege también puede atraparte.
• La colusión sigue siendo posible. El multisig protege frente a un solo actor malicioso, no frente a la colusión de suficientes firmantes. En un 2-de-3, dos personas actuando juntas pueden moverlo todo. Elige a los firmantes en consecuencia.

---

Configuración práctica

1. Distribuye firmantes y claves geográficamente. Claves en el mismo cajón anulan el propósito — un incendio o un robo nunca debería alcanzar el umbral.
2. Documenta el procedimiento de recuperación. Anota qué claves existen, dónde están y exactamente cómo firmar y alcanzar el umbral. Un multisig cuyo funcionamiento nadie recuerda es una trampa.
3. Prueba primero con cantidades pequeñas. Financia la cartera con una cantidad simbólica y luego ensaya una ronda de firma completa con los firmantes previstos antes de mover algo serio.
4. Mantén el umbral alcanzable pero seguro. El 2-de-3 tolera una clave perdida. Pasar a 3-de-3 elimina el margen de seguridad — una clave perdida lo bloquea todo.

El arrepentimiento más común es una configuración que nunca se probó. Un multisig con el que no has firmado es una suposición, no un plan. Para las copias de seguridad de las claves subyacentes se aplican las mismas reglas que en la seguridad de la frase semilla.

---

FAQ

¿Qué significa un multisig 2-de-3? Significa que la cartera tiene tres claves y dos cualesquiera de ellas deben firmar para aprobar una transacción. Una clave por sí sola no puede hacer nada, y puedes perder cualquier clave sin perder el acceso a los fondos.

¿Es un multisig más seguro que una cartera de hardware? Para saldos grandes, normalmente sí, porque elimina el punto único de fallo que tiene una cartera de hardware aislada. Pero el multisig suele usar carteras de hardware como sus claves de firma — son complementarias, no rivales. El multisig añade coordinación y, en las configuraciones por contrato inteligente, cierto riesgo de contrato.

¿Puedo perder fondos si pierdo una clave multisig? En una configuración con margen de seguridad, no. En 2-de-3 puedes perder una clave y aun así firmar con las otras dos. Solo pierdes fondos si pierdes suficientes claves como para no poder alcanzar el umbral — por eso el umbral y las copias de seguridad deben elegirse con cuidado.

¿Necesito un multisig como usuario normal? Normalmente no. Para saldos modestos y gasto diario, una sola cartera de hardware bien respaldada basta. El multisig empieza a compensar en la autocustodia de alto valor, las tesorerías compartidas y la planificación de herencia.

---

El multisig es una forma de eliminar los puntos únicos de fallo. Otras incluyen las carteras de recuperación social para particulares y, en el otro extremo, la custodia institucional para organizaciones que necesitan una gestión delegada.