Tu plan de custodia

Has dejado una pieza en papel en cada unidad. Ahora se juntan en un plan que otra persona, o tú dentro de cinco años, pueda seguir sin ayuda. No hace falta que sea largo. Hace falta que cada línea sirva para algo.

Ordénalo así: el escenario y su tabla de amenazas (unidad 1); la seed, su ficha y la lista de copias con el descriptor (unidades 2 y 3); el aparato y la rutina de firma (unidad 4); dónde va cada copia y si hay passphrase (unidad 5); el quórum, si tu plan es multifirma (unidad 6); la herencia (unidad 7); y la operación: cobro, etiquetas y simulacro (esta unidad).

En «Modelo de amenazas para tu custodia» relee «Punto único de fallo: la prueba rápida» y «Qué significa esto para ti». En «Herencia y planificación de bitcoin», «El dilema fundamental», «Consideraciones legales» y «Recomendaciones prácticas». «Autocustodia» es corta: léela entera, como recordatorio de para qué haces todo esto.

Con el plan escrito, pásale esta rúbrica. Cada criterio se cumple o no se cumple, sin medio punto. Si falla alguno, el plan no está listo: vuelve a la unidad que lo trata.

1. Cada medida corta una amenaza. Junto a cada medida está la fila de tu tabla que corta, y las tres amenazas de arriba tienen al menos una medida.
2. Cada medida tiene su prueba. Al lado de cada medida pone cómo se comprueba y cuándo se hizo o se hará.
3. No quedan puntos únicos de fallo sin decidir. Cada pieza (aparato, cada copia, passphrase, descriptor, PIN, instrucciones y la persona que sabe hacerlo) ha pasado las dos preguntas. Cada «todo» está corregido o escrito como riesgo aceptado, con su motivo.
4. La lista de recuperación está completa. Nombra cada pieza y dónde está, nunca su contenido: las palabras y su estándar, la passphrase si la hay, el descriptor (en multifirma, con cada clave), la huella y la primera dirección.
5. Ninguna copia delata a otra. Si hay passphrase, la huella, la primera dirección y el descriptor de esa billetera no están junto a las palabras. En multifirma, ningún sitio guarda por sí solo tantas claves como pide el umbral.
6. Probar y recuperar van por separado. Hay un guion para probar la copia y otro para recuperar tras pérdida, rotura o robo. Ningún paso borra la única billetera con fondos ni teclea la seed en una web.
7. La operación está escrita. Dónde se genera y se comprueba cada dirección de cobro, quién etiqueta, qué no se mezcla nunca y dónde van el fichero de etiquetas cifrado y su contraseña.
8. Otra persona puede ejecutarlo. Las instrucciones de herencia dicen quién actúa, dónde está cada pieza y qué hacer. No llevan palabras ni passphrase, se guardan aparte y se han ensayado con una billetera de prueba, nunca con la seed real.
9. Tiene fecha de revisión. El plan fija cuándo se repiten la prueba de la copia y la de puntos únicos de fallo, y qué cambios obligan a rehacer la tabla. Si hay una rama con timelock, el plan fija también cuándo se refresca y qué pasa si tú no puedes hacerlo.
10. No lleva datos reales. Ni palabras, ni passphrase, ni xpub, ni direcciones de una billetera tuya: solo marcadores o vectores de prueba señalados como tales.

La rúbrica se queda en esta página. No hay formulario ni casilla que se envíe, y tu plan no se guarda en el servidor. Es a propósito: un plan de custodia dice qué tienes, dónde está y quién sabe abrirlo. Es justo el tipo de dato que no queremos tener.