Autocustodia bien hecha significa que nadie más que uno puede mover las monedas. Herencia significa que otro tiene que poder hacerlo, en un momento en el que uno no va a estar para ayudar.
Esos dos requisitos apuntan en direcciones opuestas, y la tensión entre ambos es todo el problema. Cada paso de endurecimiento, una passphrase, un lugar oculto, un arreglo que solo uno entiende, es también un paso que vuelve menos probable que la familia recupere.
Una cantidad desconocida pero seguramente grande de bitcoin es permanentemente ingastable por exactamente este motivo. No robada. Simplemente inalcanzable, porque la única persona que sabía cómo se murió.
A qué se enfrenta realmente la familia
Hay que asumir el peor caso realista: alguien de duelo, sin perfil técnico, sin idea de qué está buscando.
Puede no saber que existe. No llega ningún resumen de cuenta, ningún banco le escribe a la sucesión. Si no está anotado en algún lugar donde vayan a mirar, se pierde por defecto.
Puede encontrar las palabras y no saber qué son. Doce o veinticuatro palabras en una tarjeta no significan nada para quien nunca vio una seed phrase. Se pueden tirar junto con el resto de los papeles.
Puede no saber qué hacer con ellas. ¿Qué software de billetera? ¿Qué ruta de derivación? ¿Hay passphrase? ¿Un descriptor multisig?
Le pueden vender algo desastroso. Un desconocido ofreciéndose a "ayudar a la familia a recuperar las cripto" es una forma bien documentada de que esto termine mal.
Un abogado puede no poder ayudar. La mayoría de los abogados sucesorios no tiene ningún procedimiento para un activo al portador sin registro y sin emisor.
Cualquier plan tiene que sobrevivir a esas cinco cosas.
La semilla no va en el testamento
El instinto más común, y está mal. En muchas jurisdicciones un testamento se vuelve documento público una vez que arranca la sucesión. Además de eso, lo leen abogados, empleados judiciales y albaceas, y puede quedar en un archivo durante años antes de ejecutarse.
El testamento es el lugar correcto para dejar constancia de que el activo existe y de dónde están las instrucciones. Es el lugar equivocado para cualquier cosa que pueda gastar las monedas.
Enfoques que funcionan
La carta, guardada junto a la semilla
Lo más simple que ayuda, y lo más subestimado. Junto al respaldo, un documento escrito que asuma cero conocimiento:
- Qué es esto, en palabras llanas: "Estas 24 palabras controlan aproximadamente X bitcoin".
- Cuánto es, aproximadamente, para que quien lo encuentre entienda que importa.
- Exactamente qué software de billetera usar, y de dónde descargarlo.
- La ruta de derivación, y si existe una passphrase, y en ese caso dónde está.
- Una persona de confianza, con nombre y datos de contacto, a quien llamar por ayuda técnica.
- Una advertencia explícita: nunca escribir estas palabras en un sitio web, nunca enviárselas a nadie, nunca aceptar ayuda no solicitada.
Hay que escribirla para alguien que nunca escuchó hablar de Bitcoin, porque esa es la persona que la va a leer.
Y conviene ser honesto sobre lo que cuesta esa carta. Vuelve legible el respaldo, y la legibilidad corta para los dos lados: una tarjeta con veinticuatro palabras no significa nada para un ladrón, y esa misma tarjeta con una nota que explica qué controla significa muchísimo. Desde el momento en que la carta existe, la carta y la semilla juntas son la billetera, y hay que protegerlas como una sola cosa. Si el lugar donde se guardan no es un lugar donde uno dejaría tranquilo el mismo monto en efectivo, mejor omitir la cifra, escribir "un monto relevante" y poner el número en las instrucciones que recibe el albacea. La cifra va a estar mal dentro de un año, de todos modos.
Multisig 2-de-3, con claves distribuidas
Estructuralmente, la mejor opción, porque resuelve la sucesión y la seguridad con el mismo mecanismo.
Uno tiene dos de las tres claves y gasta con ellas normalmente. La tercera va a un abogado, un familiar o un proveedor de custodia colaborativa, que solo con ella no puede hacer nada. Después del fallecimiento, el albacea combina esa tercera clave con una de las que quedan en la sucesión, y mueve las monedas.
Dos cosas deciden si funciona, y ninguna es criptográfica. Las dos claves propias tienen que estar en lugares que no fallen juntos, o se reconstruyó el punto único de falla que se quería eliminar y encima con dos dispositivos más. Y el tercer tenedor tiene que seguir teniendo esa clave, y seguir siendo ubicable, dentro de diez o veinte años: conviene preguntar qué pasa con ella si el estudio se vende, si el familiar se muda o si el proveedor cierra.
El detalle esencial: el descriptor de la billetera tiene que estar guardado con las instrucciones. Tres semillas sin el descriptor no reconstruyen una billetera multisig. Ahí es donde estos planes fallan más seguido.
Timelocks e interruptores de hombre muerto
Varios servicios liberan información si uno no da señales de vida durante cierto período. Algunos arreglos usan los timelocks del propio Bitcoin, de modo que un camino de recuperación se vuelve gastable recién después de una fecha.
Los timelocks aplicados por el protocolo son confiables. Los servicios que guardan los secretos y prometen liberarlos son otra cosa: se está apostando la sucesión a que una empresa sobreviva a uno y se comporte correctamente justo en el momento en que uno no puede supervisar. Históricamente eso no salió bien. Conviene usarlos como complemento, nunca como único camino.
Partir la semilla
Dividir la semilla en pedazos, sea con Shamir's Secret Sharing o simplemente dándoles las palabras 1-8, 9-16 y 17-24 a tres personas, es popular y en general es un error para sucesión.
La versión ingenua es peor de lo que parece. Una semilla de doce palabras lleva 128 bits de entropía y un checksum de cuatro bits, a razón de once bits por palabra, que es lo que especifica BIP 39. Si alguien recibe ocho de esas palabras, las otras cuatro quedan a unos 2^40 candidatos de distancia, alrededor de un billón. Eso es caro, no imposible, y es del tipo de caro que se abarata cada año. Con veinticuatro palabras la búsqueda restante es enormemente mayor y la aritmética no es el problema, pero igual se entregaron dos tercios del secreto a gente de cuya cooperación ahora se depende.
La versión de Shamir no filtra de esa forma, y su forma estándar para billeteras es SLIP-39. Aun así multiplica las maneras en que la recuperación falla: cualquier parte perdida puede ser fatal, los tenedores tienen que cooperar en un momento de tensión familiar, y pocas billeteras lo implementan, así que los herederos pueden necesitar software que no van a encontrar. Multisig llega al mismo objetivo con un diseño hecho para eso.
Probarlo en vida
Este es el paso que convierte la intención en un plan que funciona, y casi nadie lo hace.
Hacer un simulacro. Sentarse con la persona que tendría que ejecutar esto. Darle las instrucciones. Que recupere una billetera de prueba con monto chico, solo con los documentos, sin ayuda. Mirar dónde se traba.
Van a aparecer huecos. Le pasa a todo el mundo: un paso que parecía obvio, software que cambió, un término que nadie fuera de Bitcoin conoce. Mejor encontrarlos ahora.
Después, repetirlo. Al cambiar de hardware, al cambiar el arreglo, o cada un par de años igual. Las instrucciones se pudren: el software cambia, los enlaces de descarga se mueven, la gente nombrada cambia de dirección.
Un mínimo que funciona
Si no se hace nada más:
- Escribir la carta en lenguaje llano y guardarla con el respaldo.
- Contarle a una persona de confianza que el bitcoin existe y dónde están las instrucciones. No la semilla: solo que existe y dónde mirar.
- Mencionar el activo en el testamento, apuntando a las instrucciones sin reproducir nada que pueda gastarlo.
- Una vez, con otra persona haciendo el trabajo, probar la recuperación.
Eso es una tarde, y es la diferencia entre una herencia y un acertijo sin solución.
Relacionado: multisig y qué exige la autocustodia.