Verificar firmware y direcciones en la pantalla

Antes de confiar tus ahorros al aparato hay tres comprobaciones. La primera se hace una vez, la segunda en cada actualización y la tercera cada vez que cobras.

La compra. Al fabricante o a un distribuidor oficial. Nada de segunda mano ni de webs de anuncios: un reseteo no arregla un hardware manipulado, y un precinto intacto no prueba nada. La Trezor falsa que analizó Kaspersky en 2023 llegó con las pegatinas holográficas en su sitio. Si el aparato trae una seed escrita o viene «ya configurado», es una estafa. Al recibirlo, que genere la seed delante de ti.

El firmware. En muchos aparatos llega por la app del fabricante, así que lo primero es esa app, bajada solo del dominio oficial. En los que se actualizan con un fichero, lo bajas del dominio oficial y compruebas su hash y su firma. Nunca actualices desde un enlace que te llega por correo. Y ten presente el fallo de Coldcard de 2026: verificar el firmware te dice que el binario es el del fabricante, no que esté libre de errores. Si tu seed salió de una versión afectada, actualizar no la arregla. Lo que cuenta es con qué versión la creaste. Si es tu caso, crea una seed nueva con el firmware corregido, comprueba su copia y su huella, haz un envío de prueba y mueve el resto. No destruyas la copia vieja hasta que todo el saldo haya llegado y esté confirmado. Los pasos están en «Qué hacer si tu seed phrase salió de una Coldcard afectada».

La dirección. Para cobrar, la billetera vigía te enseña una dirección y le pides al aparato que la muestre en su pantalla. Tienen que coincidir enteras. Mirar solo los extremos no basta: igualar los cuatro caracteres que siguen a bc1q y los cuatro últimos son 40 bits, y a la velocidad de una tarjeta gráfica modesta de un ejemplo de 2020 eso es poco más de una hora de cálculo. Cada carácter más que compares multiplica ese trabajo por 32. La suma de verificación no te salva aquí, porque detecta erratas, no direcciones válidas puestas en lugar de la tuya. En multifirma, el aparato solo puede confirmar que la dirección es tuya si tiene registrada la política de la billetera.

En «Hardware wallets» lee «Verificar el firmware», «Verificar direcciones» y «Comprar sin trampas». De «El fallo de entropía de Coldcard», el aviso del principio, «Qué falló» y «Qué hacer si tu seed phrase salió de una Coldcard afectada». El analizador de abajo no consulta la red.