Wallets hot, cold y multisignature

Hot, cold y multisignature forman parte del vocabulario cotidiano de la custodia en un exchange, pero responden a dos preguntas distintas y se confunden con facilidad. Hot y cold describen dónde se sitúan las claves de un wallet respecto de la red; la multisignature describe cuántas aprobaciones independientes exige un movimiento de activos. Tratarlos como una sola escala —como si «más multisignature» fuera sencillamente «más frío»— produce diseños que parecen protegidos sobre el papel pero dejan en pie un único punto de control.

Este artículo separa los dos ejes —conectividad y control— y explica qué logra cada uno y dónde se detiene, de modo que el modelo de custodia de una plataforma pueda evaluarse por sí mismo. La perspectiva es arquitectónica: el propósito es ayudar a quien decide a evaluar un diseño y a interpelar a un proveedor, no prescribir cómo se configura un componente. Se refiere a la capa de wallet dentro de un software de exchange de criptomonedas más amplio, donde la custodia es la decisión más sensible en materia de seguridad que toma un operador.

Dos preguntas: conectividad y control

El diseño de la custodia gira en torno a dos preguntas independientes. La primera es la conectividad: ¿la clave que autoriza un movimiento es accesible desde la red o se mantiene apartada de ella? Es el espectro de hot a cold, y determina cuán expuesta está una clave a un compromiso remoto. La segunda es el control: ¿cuántas aprobaciones separadas e independientes deben reunirse antes de que un activo llegue a moverse? A eso responde la multisignature, y determina si un único titular —persona, servidor o dispositivo— puede actuar solo.

Ambos ejes son ortogonales. Un wallet puede estar en línea y aun así exigir varias aprobaciones independientes; un wallet puede estar fuera de línea y aun así estar controlado por una única clave cuya pérdida o robo resultaría catastrófico. Una custodia sólida surge de fijar ambos ejes de forma deliberada, en lugar de suponer que uno implica el otro.

Los hot wallets y el coste de la disponibilidad

Un hot wallet es aquel cuya clave de firma reside en un sistema conectado a Internet, de modo que las transacciones pueden generarse de forma automática y sin intervención humana. Es lo que permite que los retiros habituales se liquiden con prontitud: una solicitud se valida y se firma en el curso ordinario de la operación. El precio de esa disponibilidad es la exposición: una clave que un sistema en red puede alcanzar es una clave que un atacante remoto podría alcanzar, ya sea a través de la aplicación, sus dependencias o la infraestructura subyacente.

Por esa exposición, un hot wallet se explota como un saldo operativo, no como una caja fuerte. Solo retiene el saldo necesario para atender los retiros previstos durante un período dado, de modo que el compromiso de cualquier sistema en línea alcance una fracción acotada de los fondos y no su totalidad. La disciplina consiste en mantener ese saldo tan reducido como el servicio al cliente lo permita, monitorizarlo de forma continua y reponerlo desde niveles más fríos bajo un control más estricto.

Los cold wallets y la disciplina del aislamiento

Un cold wallet guarda sus claves en un sistema mantenido por completo fuera de la red: hardware aislado (air-gapped), dispositivos de firma sin conexión o soportes que nunca tocan una máquina conectada a Internet. El aislamiento es el control: una clave que ningún sistema en línea puede alcanzar no puede ser sustraída por un atacante remoto, sea cual sea el estado del software de la plataforma. La mayor parte de los activos de un exchange se guarda así, tras esa barrera sin conexión, precisamente porque esos activos no necesitan moverse minuto a minuto.

El coste del aislamiento es la latencia y el esfuerzo. Sacar fondos del cold storage es un procedimiento deliberado y atendido por personas, no un acto automático, y así está pensado: esa fricción hace que los movimientos grandes no puedan ocurrir sin intervención humana y revisión. La protección de un cold wallet depende de que ese aislamiento sea real, y de que la copia de seguridad y la recuperación de sus claves se traten con el mismo rigor, pues una clave a salvo del robo pero perdida para su titular no está, en la práctica, mejor protegida.

El nivel templado y el movimiento entre niveles

Entre el saldo en línea y la reserva sin conexión, muchos operadores mantienen un nivel templado: claves sujetas a una restricción más estricta que la de un hot wallet, pero más accesibles que el cold storage profundo, empleadas para reponer el saldo hot sin recurrir cada vez de forma directa a las reservas más frías. El nivel templado absorbe el trabajo rutinario de reposición, de modo que la reserva fría solo se toca a una cadencia meditada y el saldo en línea permanece reducido.

Lo que importa a lo largo de los niveles es el movimiento entre ellos. Cada frontera —de cold a templado, de templado a hot— es un evento controlado con su propia autorización, y la cadencia y el tamaño de esos movimientos se calibran según los patrones de retiro reales de la plataforma, en lugar de fijarse una vez y olvidarse. Acertar con las proporciones —suficiente liquidez en línea para atender a los clientes y la menor posible expuesta para contener el riesgo— es una disciplina operativa continua. La estratificación solo es tan fuerte como los controles sobre las transferencias que la conectan.

La multisignature y la distribución del control

La multisignature no cambia dónde reside una clave, sino cuántas claves hacen falta para actuar. En un esquema de multisignature, un movimiento exige las aprobaciones de varias claves independientes dentro de un conjunto definido —un esquema m-de-n, por ejemplo tres aprobaciones de entre cinco titulares—, de modo que ninguna clave y, por tanto, ninguna persona, servidor o dispositivo pueda mover activos en solitario. El control se reparte entre partes que guardan sus claves por separado, y una transacción solo es válida cuando ha firmado el número requerido de ellas.

El propósito es eliminar los puntos de control únicos. Un wallet de clave única, por muy cuidadosamente protegido que esté, concentra la autoridad en un solo lugar: quien tiene esa clave puede mover los activos, y quien la sustrae, también. Repartir la autoridad de firma implica que comprometer a un solo titular no basta, y hace que una separación de funciones sea exigible en el protocolo y no solo en la política: quienes inician un movimiento pueden mantenerse distintos de quienes lo aprueban. Técnicas afines reparten la firma de una única clave entre varias partes en lugar de exigir varias firmas on-chain; la idea rectora es la misma: la autoridad para mover activos nunca debería residir en un solo lugar.

Combinar los niveles de almacenamiento con multisignature

Como la conectividad y el control son independientes, se combinan en lugar de elegir entre ellos. Una reserva fría bajo multisignature queda protegida en ambos ejes a la vez: sus claves están sin conexión y, aun alcanzándolas, no otorgan capacidad de actuar sin las demás aprobaciones requeridas. Un saldo hot también puede situarse bajo multisignature, de modo que incluso la firma automática en línea necesite más de una parte o dispositivo independiente, lo que acota la exposición que crea la conectividad. Los diseños más sólidos aplican un control repartido a lo largo de los niveles de almacenamiento, no el aislamiento por sí solo ni las aprobaciones por sí solas.

Para un operador que evalúa una plataforma, la pregunta útil no es qué término aislado destaca un proveedor, sino cómo se fijan juntos los dos ejes y cómo se controlan los movimientos entre niveles. El enfoque de Grumpio en la tecnología de exchange trata la estratificación del almacenamiento y el control repartido como un único diseño de custodia, no como funciones separadas. La tabla siguiente expone qué aporta cada elemento.

Obligaciones de custodia y titularidad

Cómo se almacenan los activos también viene determinado por lo que un operador debe poder demostrar. En el marco de MiCA, un proveedor que mantiene criptoactivos por cuenta de clientes debe conservar esos fondos separados de los propios y custodiarlos en nombre del cliente. El período de transición de MiCA ha finalizado. Todo nuevo proyecto de criptoactivos en la UE debe diseñarse desde el principio para un modelo operativo de CASP autorizado. En el Reino Unido, la custodia de las claves criptográficas empleadas para mantener los activos de clientes queda comprendida en el régimen entrante; las exigencias de salvaguarda se reforzaron durante 2026, y el registro conforme a las normas contra el blanqueo no equivale por sí mismo a una autorización para operar. Un diseño construido en torno a la preparación regulatoria mantiene los fondos de los clientes identificables y demostrados, en lugar de presuponerlos.

La última consideración es la titularidad. Un modelo de custodia solo es tan controlable como el dominio del operador sobre sus propias claves e infraestructura; por eso el modelo de despliegue —incluidas las modalidades on-premises o dedicadas que dejan la custodia de claves en manos del operador— pertenece a la misma evaluación que la combinación de hot, cold y multisignature. Dónde debe situarse el equilibrio entre construir, comprar y recibir la entrega es una cuestión que se beneficia de una mirada independiente, objeto de la asesoría en arquitectura fintech.

Resumen y próximos pasos

Hot, cold y multisignature no son tres puntos de una misma escala, sino dos controles independientes. Hot y cold describen cuán expuesta está una clave a la red; la multisignature describe cuántas aprobaciones independientes exige un movimiento. Un exchange mantiene un pequeño saldo en línea en hot wallets para retiros rápidos, guarda la mayor parte de los activos en cold storage aislado, une ambos mediante un nivel templado controlado y coloca los movimientos bajo multisignature para que ninguna clave ni ninguna parte pueda actuar sola. El aislamiento del almacenamiento y el control repartido se refuerzan mutuamente; ninguno sustituye al otro.

El siguiente paso práctico es describir los activos, las cadenas y los patrones de retiro que una plataforma manejará realmente, y evaluar cualquier modelo de custodia frente a esa descripción: cuán reducido se mantiene el saldo en línea, cuán realmente aislada está la reserva fría, cómo se autorizan los movimientos entre niveles y cómo se reparte y recupera la autoridad de firma. Planteado así, un operador puede juzgar un diseño de wallet por su capacidad de contener el riesgo y mantener el control trazable, en lugar de por el término que anuncia.