Estrategias de copia de la seed

¿Más copias de la seed son más seguridad?

Depende de lo que haga cada copia. Con una billetera (wallet) de firma simple, cada copia completa de la seed phrase es, por sí sola, acceso completo a los fondos. Una copia más protege contra la pérdida y, a la vez, añade un sitio donde te pueden robar. Hacer copias no es acumularlas: es decidir en qué sitio puede vivir cada una y qué pasa si alguien entra en él.

Esta entrada trata de esa decisión. De los materiales y de cómo fabricar una placa se ocupa backup en metal. De los pasos para restaurar, recuperar una billetera.

Dos preguntas para cada sitio

Para cada lugar donde pienses dejar una copia, hazte dos preguntas.

• ¿Sobrevive el plan si este sitio desaparece? Incendio, inundación, mudanza o cierre del banco.
• ¿Qué consigue quien entre en este sitio? Un ladrón, un familiar, un empleado o una autoridad.

Con eso se repasan las amenazas de una en una. Contra el fuego y el agua sirve el metal en lugar del papel y, al menos, dos sitios separados físicamente. Contra el robo, que ningún lugar fácil de registrar tenga acceso completo, y que la seed no esté junto al aparato. Para la herencia, que alguien pueda encontrar y usar las copias, tema de herencia en Bitcoin. Y está el acceso de terceros: en una caja de seguridad bancaria o en casa de un familiar, otras personas pueden entrar, o pueden bloquearte a ti la entrada. La entrada modelo de amenazas ayuda a ordenar cuáles te afectan de verdad.

Sobre el fuego, las pruebas de Jameson Lopp dan una referencia: soplete de propano a 1.093 °C (2.000 °F, algo más que un incendio doméstico según su texto) durante 10 minutos o hasta que la placa falla; ácido muriático al 16 % durante 12 horas o hasta que deja de burbujear; prensa hidráulica de 20 toneladas (metodología con pie de 2025, consultada el 2026-10-07). Al elegir placa, en la portada de sus reseñas recomienda las sencillas: cuantas más piezas tiene la placa, más cosas pueden fallar, y la mejor relación calidad-precio la dan las placas de una sola pieza con rejilla para marcar puntos con granete. Ya en 2022 avisaba de que da igual que la placa sobreviva si no sabes leer lo que guardaste. Los resultados por modelo cambian: si los usas, mira la fecha de la reseña.

La regla práctica está en errores de autocustodia: al menos dos copias, en ubicaciones distintas que controles tú. Una caja bancaria no la cumple del todo, porque el banco puede abrirla o cerrarte el paso. Para lo que tenga que quedar fuera de tu control hacen falta esquemas en los que una pieza sola no dé acceso. Se ven más abajo.

La passphrase no resuelve la seed en casa ajena

Es tentador pensar: dejo la seed en casa de un familiar y la protejo con una passphrase. Funciona solo si la passphrase es fuerte, si se guarda aparte y bien, y si no se pierde. Si se pierde, se pierden los fondos, y sin ella nadie puede ayudarte. Además, la copia de la passphrase es otro secreto que hay que custodiar y que alguien debe poder encontrar el día que haga falta. La passphrase no es un candado barato para un sitio inseguro: es una segunda pieza con sus propios riesgos. Cómo funciona y qué cuidados pide se explica en su entrada.

Por qué no partir la seed a mano

Una idea habitual es cortar las 12 palabras en dos mitades de 6 y guardar cada una en un sitio. Parece multifirma casera, pero hace dos cosas malas.

Debilita la seed. Según la tabla de BIP-39, 12 palabras son 132 bits: 128 de entropía y 4 de checksum, a 11 bits por palabra. Cada mitad son 66 de esos 132 bits. A quien encuentre la primera mitad le faltan 62 bits, porque los 4 de checksum se calculan. A quien encuentre la segunda le faltan 66. Se pasa de 128 bits a entre 62 y 66 por adivinar, aunque en los dos casos el trabajo caro ronda 2⁶² intentos: quien tiene la segunda mitad conoce el checksum, y con un cálculo barato descarta 15 de cada 16 candidatos antes de pasarlos por el PBKDF2 de BIP-39 (cálculo sobre la tabla de BIP-39). Cuánto cuesta romperlos depende del equipo del atacante, pero cada bit que el atacante ya conoce divide su trabajo entre dos. Como referencia, Coinkite consideró insuficientes los cerca de 72 bits de las seeds generadas por las Coldcard Mk4, Mk5 y Q con firmware afectado y pidió migrar, según se cuenta en fallo de entropía en Coldcard.

Multiplica los puntos de fallo. Es un 2 de 2: si pierdes una mitad, pierdes todo.

La variante casera de «2 de 3» tampoco arregla el problema. Aguanta perder un trozo, pero debilita la seed igual. Con 24 palabras en tres trozos de 16, a cada uno le falta un tercio distinto: quien tenga un trozo solo debe adivinar 8 palabras, entre 80 y 88 bits en lugar de 256. Por la misma cuenta del checksum, el trabajo caro ronda 2⁸⁰ intentos sea cual sea el trozo. Y ninguna billetera sabe recomponer una seed partida a mano. El heredero depende de unas instrucciones que alguien tiene que haber guardado y entender.

Qué hacen bien SLIP-39 y la multifirma

SLIP-39 (Shamir, estado Final en el repositorio de SatoshiLabs, consultado el 2026-10-07) reparte un secreto en partes con dos niveles: hasta 16 grupos de hasta 16 partes cada uno, con un umbral de grupos y otro dentro de cada grupo. Eso es lo que permite el estándar. En Trezor Suite solo hay un nivel, de hasta 16 partes. Los grupos se configuran con trezorctl, la herramienta de línea de órdenes de Trezor, y el propio fabricante lo reserva para quien entiende muy bien lo que hace (Trezor, «SLIP39 FAQs», consultado el 2026-10-07).

Con menos partes que el umbral no se obtiene información sobre el secreto, con un matiz que da el propio estándar: con una parte menos que el umbral, un atacante puede reducir la entropía en 32 bits. Por eso exige un secreto de al menos 128 bits. Si pierdes partes y siguen quedando las del umbral, no pasa nada. Cada parte lleva su identificador, los umbrales y su índice, y un checksum RS1024 de 3 palabras. Usa una lista de 1.024 palabras y cada parte tiene 20 palabras para un secreto de 128 bits y 33 para uno de 256.

Ojo con el umbral. En un esquema de un solo nivel, como los de Trezor Suite, una parte solo es inútil por sí sola si el umbral es 2 o más. Con umbral 1, cada parte es la seed entera. Es el caso de la copia que Trezor crea por defecto desde junio de 2024: una sola parte de 20 palabras que, según Trezor, controla por completo los fondos. Se reconoce porque la palabra «academic» aparece dos veces, en las posiciones 3 y 4 (Trezor, «SLIP39 FAQs», consultado el 2026-10-07).

SLIP-39 tiene además un límite claro: sigue siendo una sola clave en la cadena. Al recuperar, el secreto se recompone entero en un aparato, y también existió entero en el aparato que lo creó. Shamir elimina el punto único de fallo en las copias, no en el momento de usar la clave.

La multifirma (por ejemplo, 2 de 3) funciona distinto: cada clave suele ser una seed BIP-39 completa e independiente, aunque también puede ser una copia SLIP-39 u otra, y las claves nunca se juntan. Lo que se combinan son firmas. Admite aparatos de marcas distintas, de modo que el fallo de un fabricante expone una sola clave. El precio es más complejidad, transacciones algo más caras y la obligación de guardar el descriptor, que incluye las xpub de todas las claves, el umbral y el tipo de script. Los detalles están en billetera multifirma y en descriptores de salida.

Hay un tercer esquema que se confunde con Shamir. Seed XOR, de Coldcard, reparte una seed BIP-39 en N partes que son seeds BIP-39 válidas, pero hacen falta todas: es N de N (seedxor.com, consultado el 2026-10-07). Si pierdes una, pierdes todo. Coinkite avisa además de que partir una seed no añade entropía ni borra su historial de exposición, ni arregla una seed afectada por el fallo de entropía de Coldcard (coldcard.com/docs/seedxor, actualizada el 2026-10-01 y consultada el 2026-10-07).

Y existe codex32 (BIP-93, estado Draft el 2026-10-07). Guarda la seed BIP32 en caracteres del alfabeto bech32, no en palabras, y permite repartirla con un umbral de 2 a 9, aunque también puede guardarla sin repartir. El checksum, el reparto y la recuperación se pueden calcular a mano, con papel. Desde BIP-39 solo se pasa en un sentido, y sus autores recomiendan crear una seed nueva y mover los fondos.

SLIP-39 no es BIP-39 con más palabras

Los dos estándares dan billeteras distintas aunque partan de la misma entropía. En BIP-39, la seed BIP32 sale de pasar las palabras por PBKDF2, y no hay vuelta atrás. En SLIP-39 las partes guardan el secreto maestro cifrado con la passphrase, aunque esté vacía. Al descifrarlo sale el secreto maestro, que se usa tal cual como seed BIP32, y el camino se puede recorrer en los dos sentidos. El propio estándar dice que, en su mayor parte, ambos no son compatibles. Pasar de SLIP-39 a BIP-39 es imposible. De BIP-39 a SLIP-39 se puede, pero salen partes de 59 palabras. Trezor Suite no lo permite; se puede con trezorctl, pero Trezor lo desaconseja y recomienda crear una billetera SLIP-39 nueva y mover los fondos (Trezor, «SLIP39 FAQs», consultado el 2026-10-07).

	BIP-39	SLIP-39
Palabras en la lista	2.048	1.024
Longitud	De 12 a 24, de 3 en 3 (lo habitual, 12 o 24)	20 o 33 por parte
Checksum	Parte de la última palabra (4 bits con 12 palabras: una combinación al azar de cada 16 lo pasa)	3 palabras, RS1024
Seed BIP32	Sale de pasar las palabras por PBKDF2	Es el secreto maestro, que las partes guardan cifrado
Reparto	Ninguno	Grupos y umbrales

Consecuencia práctica: una billetera solo BIP-39 no puede restaurar partes SLIP-39, y «20 palabras» no es una seed BIP-39 con palabras de menos. Deja escrito qué estándar es cada copia.

Según Trezor, restauran SLIP-39 sus Safe 7, Safe 5 y Safe 3 y el Model T. Las copias de varias partes que crea hoy piden firmware 2.7.2 o posterior: uno anterior no puede restaurarlas. Fuera de sus aparatos, Trezor cita la hardware wallet Keystone y las aplicaciones Electrum, Sparrow, BlueWallet y Wasabi. Para las copias de varias partes que se crean partiendo de una copia de una sola parte solo nombra Electrum, Sparrow y BlueWallet (trezor.io, consultado el 2026-10-07). Es información del fabricante. Antes de confiar en que un programa concreto restaura tu tipo de copia SLIP-39, pruébalo con un juego de partes de prueba creado para eso y sin fondos, nunca con las partes reales.

Sobre la copia de una sola parte: Trezor la usa por defecto en la familia Safe desde junio de 2024, y también se puede crear en el Model T. Se puede pasar después a una copia de varias partes, con las mismas cuentas y direcciones. Es una copia nueva: la de una sola parte no se combina con sus partes y sigue siendo válida por su cuenta (Trezor, «Single-share Backup» y «SLIP39 FAQs», consultados el 2026-10-07). Hasta que la destruyas, cuenta como la seed completa. Trezor admite guardarla como respaldo, pero avisa de que resta parte de la seguridad del reparto. Destrúyela de forma segura solo cuando todas las partes nuevas estén probadas.

Probar la recuperación sin exponer la seed

Una copia que nadie ha probado es una suposición. Probarla bien exige dos cosas: no perder lo que ya funciona y no enseñar la seed a nadie. El mejor momento para probar es antes de meter fondos.

1. Crea la billetera y apunta la huella (fingerprint) maestra y la primera dirección de recepción, tal como salen en la pantalla del aparato y en la billetera vigía (watch-only).
2. Restaura con tu copia en una segunda hardware wallet vacía (ver hardware wallets). Si solo tienes una, puedes borrarla y restaurar en ella, pero solo mientras ninguna billetera de esa seed tenga fondos, tampoco las que abres con passphrase. Si la seed nació en una app, pruébala en la misma app del mismo móvil u ordenador: bórrala y restáurala ahí, con la misma condición y con el teclado del sistema, no con uno de terceros. Una seed nacida en una app nunca va a una hardware wallet ni a otro programa. Si restauras en un Trezor Model One, elige la recuperación avanzada: en la estándar, las palabras se teclean en el ordenador (ver recuperar una billetera).
3. Comprueba que coinciden la huella, la primera dirección y, si quieres, la xpub.
4. Solo entonces mete fondos.

Si esa segunda hardware wallet no forma parte de tu plan, bórrala al terminar: con la seed dentro es otra copia completa. Y si algo no coincide, en este punto es fácil: busca la errata en tu copia y, si no aparece, borra, crea otra billetera y repite.

Con fondos ya dentro, el margen se reduce. Usa la recuperación de prueba del aparato si la tiene: la «Check backup» de Trezor compara las palabras que introduces con la copia guardada sin que el aparato se quede con lo introducido, y Trezor recomienda hacerla antes de borrar el aparato y antes de cada actualización de firmware (trezor.io, consultado el 2026-10-07). Otros fabricantes tienen funciones parecidas con otros nombres; búscala en el manual del tuyo. Con un Trezor Model One, elige siempre la recuperación avanzada, también en la comprobación de copia: en la estándar, las palabras se teclean en el ordenador. Si tu aparato no tiene comprobación de copia, restaura en una segunda hardware wallet vacía, compara huella y primera dirección, y bórrala al terminar si no forma parte de tu plan. La aplicación te enseñará en ella el mismo saldo; no pasa nada, la seed sigue en el aparato principal y en tu copia probada. Si la seed vive en una app, usa la comprobación de copia de la app si la trae, con el teclado del sistema. Si no la trae, no la borres: crea una billetera nueva (si es ahorro, en una hardware wallet vacía; si no, en la misma app si admite varias billeteras o en otro aparato limpio), prueba su copia antes de meter nada y mueve allí los fondos; los pasos están en recuperar una billetera, «Cuándo y cómo cambiar de billetera». Borra la antigua solo cuando el envío esté confirmado y no quede saldo en ninguna de sus cuentas, tampoco en las de passphrase.

Si la comprobación falla y no encuentras la errata en tu copia, no borres nada. El aparato es ahora lo único que da acceso, y sin una copia válida perderlo es perder los fondos para siempre. Los fondos tienen que salir antes de tocarlo. Lo recomendable es una segunda hardware wallet: crea en ella la billetera nueva, haz y prueba su copia, y mueve los fondos ahí. Antes de borrar el primer aparato, espera a que las transacciones estén confirmadas y comprueba que no queda nada en ninguna de sus cuentas, tampoco en las que abres con passphrase. Solo entonces lo borras.

Si no tienes otra, no borres la que tienes mientras tenga fondos: con una copia que no vale, borrar es perderlo todo. Lo más seguro es conseguir un segundo aparato y, mientras llega, no borrar ni actualizar el que tienes. Trezor explica también una vía con un solo aparato, pero resérvala para emergencias, porque durante ese rato los fondos están en un entorno expuesto. Manda los fondos a una billetera de software y apunta su copia: mientras estén ahí, es la única llave. Espera a que las transacciones estén confirmadas y comprueba que no queda saldo en ninguna cuenta del aparato, tampoco en las que abres con passphrase. Solo entonces bórralo, crea la billetera nueva, haz y prueba su copia, y devuelve los fondos. No te deshagas de la copia de la billetera de software hasta que esa vuelta esté confirmada. Su otro método con un solo aparato, sin billetera de software, empieza por comprobar que la copia vieja es válida, así que en este caso no sirve (Trezor, «Move crypto to a wallet with a new wallet backup», consultado el 2026-10-07).

Hay tres reglas que no se rompen. Nunca se borra para probar la única billetera con fondos, ni su app ni su aparato. Para probar la copia, las palabras y las partes solo se teclean donde ya vive la seed: en su hardware wallet (o en una segunda vacía) o, si nació en una app, en la misma app del mismo móvil u ordenador, con el teclado del sistema. Nunca en otro programa ni en una web, tampoco si prometen validar el checksum: eso es exponer la seed. Y nunca se borra un aparato con fondos para restaurarlo con una copia que todavía no has comprobado.

Cada comprobación demuestra una cosa. La huella, definida en BIP-32 como los primeros 32 bits del identificador de la clave, confirma la seed, y la passphrase si la hay, porque con otra passphrase sale otra huella. No confirma el tipo de script ni la ruta de derivación. Eso lo confirma la primera dirección, así que mira las dos (ver rutas de derivación). Con multifirma, prueba también que recuperas con el descriptor guardado.

Con SLIP-39, prueba a recuperar con exactamente el número de partes del umbral y con combinaciones distintas, hasta que cada parte haya entrado al menos en una. La «Check backup» de Trezor solo prueba las partes del umbral en cada pasada; para las demás hay que repetirla. Reunir las partes en un mismo sitio para probarlas vuelve a juntar, mientras dura la prueba, el acceso completo. Si viven en sitios distintos, tu aparato quizá permita introducirlas en varias sesiones sin juntarlas: Trezor deja empezar la comprobación, desconectar el aparato y seguir más tarde.

Para ensayar el plan entero, por ejemplo que un heredero sepa recuperar siguiendo tus instrucciones, usa una billetera de prueba, nunca la real. En Bitcoinpedia Academy se practica con vectores de prueba oficiales; los vectores públicos de BIP-39, como el que empieza por «abandon» y acaba en «about», están comprometidos y no deben guardar jamás fondos reales. Y revisa de vez en cuando que las copias se leen y que sigue claro dónde está cada una.

Qué significa esto para ti

Antes de hacer más copias, decide qué pasa si cada sitio desaparece y qué consigue quien entre. Con una seed sin repartir, el mínimo son dos copias completas en dos sitios separados que controles tú y que no sean fáciles de registrar. Si usas partes SLIP-39, las copias completas sobran: destrúyelas de forma segura cuando todas las partes estén probadas.

Si hay que dejar algo en manos ajenas, que sea una pieza que no sirva sola: una parte de un esquema SLIP-39 con umbral de 2 o más, o una clave de una multifirma. La copia de 20 palabras que Trezor crea por defecto no es una parte: es la seed entera. Media seed tampoco sirve. Y una seed completa cuyo único candado sea una passphrase solo aguanta si la passphrase es fuerte, está guardada aparte y alguien sabrá encontrarla; no es la salida fácil que parece.

Una copia que no has probado no cuenta como copia. Lo mejor es probarla antes de meter fondos; si ya los tienes, pruébala ahora con la comprobación del aparato. Con el aparato apropiado en la mano (hardware wallets) y firmando sin conexión (firma sin conexión), el resto del plan se vuelve más manejable.