Passphrase de BIP-39: qué protege y qué riesgos añade

Si ninguna passphrase es incorrecta, ¿cómo sabes que acertaste?

La billetera no te lo dice. Ese es el rasgo que lo define todo. Escribes las palabras, tecleas una passphrase con una mayúscula de más y la billetera (wallet) se abre sin protestar. Está vacía. Otra passphrase, otra billetera vacía. Y si tecleas la buena, reaparecen los fondos. BIP-39 lo dice así: toda passphrase genera una semilla válida y solo la correcta deja disponible la billetera que buscabas (BIP-39, estado Deployed, consultado el 7 de octubre de 2026).

Esta entrada explica qué hace la passphrase por dentro, qué amenazas cubre y cuáles no, qué riesgos nuevos introduce y cómo anotarla y probarla para no perder los fondos por un error de tecleo.

Qué es y dónde entra en el cálculo

La passphrase no cifra la seed ni la modifica. Las palabras que has escrito en papel o en metal son las mismas con y sin ella. Lo que cambia es la semilla de 512 bits que sale de ellas. BIP-39 la calcula con PBKDF2: la contraseña es la frase mnemotécnica, la sal es la cadena «mnemonic» seguida de la passphrase, y se aplican 2.048 iteraciones de HMAC-SHA512. Sin passphrase se usa la cadena vacía (BIP-39, apartado «From mnemonic to seed»). El paso de las palabras a la semilla se explica en BIP-39. Aquí solo importa la sal.

Otra semilla da otra clave maestra BIP-32 y, con ella, todo el árbol cambia: otra huella, otras xpub, otras direcciones. Entre la billetera sin passphrase y la que la lleva no hay relación visible. No cambia la ruta de derivación, que sigue siendo la misma (ver rutas de derivación). Cambia el punto de partida.

Si tu copia es SLIP-39, como la que crean por defecto los Trezor Safe, el efecto es el mismo: otra passphrase abre otra billetera, sin ningún error. Por dentro funciona de otra forma.

Un ejemplo con vectores de prueba. La frase «abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon about» y la passphrase «TREZOR» son públicas, están en los vectores oficiales de BIP-39 y están comprometidas: cualquiera conoce sus claves y no deben guardar fondos jamás. Con esa frase y passphrase vacía, la huella maestra es 73c5da0a y la primera dirección de recepción de BIP-84 es bc1qcr8te4kr609gcawutmrza0j4xv80jy8z306fyu. Con la passphrase «TREZOR», la huella es b4e3f5ed y la primera dirección, bc1qv5rmq0kt9yz3pm36wvzct7p3x6mtgehjul0feu (calculadas con la librería criptográfica de Bitcoinpedia el 7 de octubre de 2026). Mismas palabras, ninguna coincidencia. Puedes comprobar cómo una mayúscula o un espacio cambian el resultado en la herramienta Passphrase Demo, que solo usa passphrases fijas y no tiene campo para escribir la tuya.

La passphrase tampoco es «la palabra 25». No tiene por qué salir de la lista de 2.048 palabras: puede ser cualquier texto. Llamarla así lleva a elegir una sola palabra corriente, que es justo lo que no protege.

Por qué ni el aparato ni el programa avisan de un error

El checksum de BIP-39 valida las palabras. La conversión de las palabras a la semilla es independiente de ese checksum, así que no hay nada contra lo que comparar la passphrase. Trezor lo dice con claridad: si la passphrase es nueva o está mal tecleada, se abre otra billetera, «most likely empty», y Trezor Suite no distingue una passphrase equivocada de una buena que resulte estar vacía (trezor.io, guías de passphrase, consultadas el 7 de octubre de 2026). Coldcard coincide: «There is no validation performed on your passphrase» (coldcard.com/docs/passphrase, actualizada el 1 de octubre de 2026).

El síntoma es un saldo cero. El diagnóstico completo del saldo cero tras restaurar está en rutas de derivación. Aquí interesa lo que se deduce: el error es silencioso y la única defensa es comparar con lo que se apuntó al crearla: la huella o la primera dirección de recepción.

Escribirla exacta: qué iguala la normalización y qué no

BIP-39 exige que la passphrase pase por la normalización Unicode NFKD y no dice más: no fija longitud, ni juego de caracteres, ni fortaleza mínima. La implementación de referencia, python-mnemonic, solo aplica NFKD: no recorta espacios, no junta espacios seguidos y no pasa a minúsculas (trezor/python-mnemonic, consultado el 7 de octubre de 2026).

NFKD funde variantes de compatibilidad. Una «é» de un solo carácter y una «e» con acento combinante dan los mismos bytes, y una ligadura «fi» se convierte en «fi» (Unicode UAX #15, versión 18.0.0 del 12 de agosto de 2026). Lo que no hace es igualar «A» con «a», quitar acentos ni recortar espacios al principio o al final. Cada una de esas diferencias abre otra billetera.

Hay un matiz según el programa. En Electrum, la seed de formato BIP-39 solo normaliza con NFKD. Pero la seed propia de Electrum pasa la passphrase por una normalización más agresiva, que pasa a minúsculas, quita acentos y junta espacios, de modo que «Mi Casa» y «mi casa» dan la misma billetera (spesmilo/electrum, keystore.py y mnemonic.py, consultados el 7 de octubre de 2026). La misma costumbre de escribir produce billeteras distintas según el estándar. Por eso conviene anotar de qué formato es la seed.

Los aparatos añaden sus propios límites. Como ejemplos fechados al 7 de octubre de 2026, no como regla:

	Trezor	Coldcard	Ledger
Longitud máxima	50 caracteres, ASCII, distingue mayúsculas	100 caracteres, solo ASCII	100 caracteres
Dónde se teclea	En Suite o en el propio aparato, en todos los modelos menos el Model One, que solo la admite en Suite	En el aparato; en la Q también por QR; por USB con ckcc, o desde una microSD cifrada	En el aparato
¿Se guarda?	No, se teclea cada vez	No en el uso normal. Excepciones: la microSD cifrada, las copias hechas con la passphrase activa y «Lock Down Seed» (ver debajo)	Modo temporal: no. Modo «attach to PIN»: queda guardada en el aparato, ligada a un segundo PIN
Comprobación	Muestra el texto para revisarlo carácter a carácter	Muestra la huella (XFP) de la billetera resultante	Su guía no lo explica

Fuentes: Trezor («What is a passphrase?» y «Using a passphrase wallet in Trezor Suite»), Coldcard (documentación de passphrase) y Ledger Academy («Passphrase: an advanced security feature», actualizada el 5 de agosto de 2026). Lo que importa de esa tabla es la consecuencia: una passphrase con «ñ» o con tildes creada en un programa que las acepta no se puede teclear después en un aparato que solo admite ASCII. Lo prudente es limitarse a ASCII y a lo que admita el aparato con el que se vaya a recuperar.

Las excepciones de Coldcard merecen detalle. La microSD se cifra con una clave que sale de las palabras y del número de serie de la tarjeta, así que quien tenga las palabras y la tarjeta tiene la passphrase: esa tarjeta no se guarda con las palabras. Con una passphrase activa, «Backup System», «Clone» y el backup completo de «Key Teleport» guardan la billetera resultante como XPRV. Y «Lock Down Seed» no guarda la passphrase: sustituye las palabras del chip por la clave ya combinada, y Coldcard avisa de que puede afectar a los fondos de la seed original («may affect funds, if any, on old master seed») (Coldcard, «Passphrases and Your COLDCARD», actualizada el 1 de octubre de 2026).

Cuando se teclea en un ordenador o un móvil, además, pesan la distribución del teclado, las mayúsculas automáticas y el autocorrector. Nadie ha documentado un caso, pero es fácil que pase. Ledger es tajante: «Never enter your Passphrase on a computer, smartphone, or other internet-connected device» (Ledger Academy, actualizada el 5 de agosto de 2026). Trezor pide no teclearla en un dispositivo conectado a internet si hay alternativa, pero en el Model One no la hay, porque solo la admite en Suite. Su guía avisa además de que una passphrase robada junto con la copia de la seed da acceso total al atacante.

En algunas guías de fabricantes la billetera con passphrase aparece con otros nombres. Trezor habla hoy de «passphrase wallets» y antes de «hidden wallets». Ledger usa «hidden accounts». Es el mismo mecanismo.

Qué protege

El robo de las palabras solas. Quien encuentra la seed y no la passphrase llega a la billetera base, que puede estar vacía o tener poco. Pero solo protege si la passphrase es difícil de adivinar. El PBKDF2 de 2.048 iteraciones es un estiramiento ligero, y quien tiene las palabras puede probar passphrases candidatas sin conexión y sin límite de intentos: ningún aparato interviene. BTCRecover, por ejemplo, recupera passphrases BIP-39 a partir de una seed conocida con aceleración por GPU (btcrecover.readthedocs.io, consultado el 7 de octubre de 2026). Una palabra suelta, un nombre o una fecha no protegen.

La extracción de la seed del aparato. Si alguien saca la seed del chip, la passphrase no está ahí, porque en el uso normal no se guarda. Un caso real y sus límites están en hardware wallets. El modo «attach to PIN» de Ledger es la excepción: la deja guardada en el aparato, y quien lo active debe saberlo.

La coacción, con matices. BIP-39 la presenta como negación plausible. En la práctica, se entrega la billetera base con algo de saldo, como propone Ledger. Ledger llama a esa protección «a limited amount of protection» (Ledger Academy, actualizada el 5 de agosto de 2026). Tiene límites que no se pueden medir, pero sí razonar: un atacante informado puede exigir también la passphrase, el señuelo tiene que parecer creíble, con saldo e historial, y quien ya está bajo coacción no puede demostrar que no hay más. Coldcard resuelve el señuelo con otra pieza, los Trick PINs que llevan a billeteras BIP-85, no con la passphrase (coldcard.com/docs/pins, actualizada el 1 de octubre de 2026). Las cifras de coacción están en modelo de amenazas.

Qué no protege

Un firmware malicioso puede ver la passphrase al teclearla o filtrar la seed ya combinada con ella. Los casos conocidos, Dark Skippy y la Trezor falsa, están contados en hardware wallets. Tampoco protege una passphrase tecleada en un ordenador comprometido, ni repara una seed generada con poca entropía: Coinkite dice que la passphrase añade una barrera («can add a barrier») pero no repara la seed («it does not repair a seed»), y la versión prudente, migrar, está en fallo de entropía en Coldcard.

Y no es un PIN. El PIN desbloquea el aparato. La passphrase decide qué billetera se abre, y un aparato desbloqueado con una passphrase equivocada abre una billetera vacía, como si fuera otra.

Qué riesgos añade

El principal es el inverso de su virtud. Si pierdes la passphrase, pierdes los fondos. Trezor es explícito: las passphrases «cannot be changed, removed, or recovered», y recomienda anotarla y probar el acceso con regularidad (trezor.io, consultado el 7 de octubre de 2026). La empresa Ledger no guarda ni respalda passphrases. Y con el modo «attach to PIN» de Ledger hay un riesgo propio: como la passphrase ya no se teclea, es fácil olvidarla, y tras tres intentos fallidos con el PIN secundario el aparato se reinicia («After three incorrect attempts your device will be reset»). Desde ahí solo la copia escrita da acceso, así que la prueba con esa copia se hace con la passphrase temporal (Ledger Academy, actualizada el 5 de agosto de 2026). La passphrase es una segunda pieza que necesita sus propias copias y su propio plan de herencia (ver herencia de bitcoin).

Con una sola copia de la passphrase, la pérdida vuelve a depender de una pieza. Es el montaje C de modelo de amenazas. Y si se usan varias passphrases sobre la misma seed, cada billetera es otra pieza que heredar y, llegado el caso, migrar.

Hay un aviso que no admite rebaja. La passphrase no es la forma sencilla de dejar una copia de la seed en casa de otra persona. Funciona solo si es fuerte, si se guarda aparte y bien, y si no se pierde, y aun así la copia de la passphrase es otro secreto que alguien tiene que poder encontrar el día que haga falta. Quien necesite repartir copias debe leer estrategias de copia de la seed, donde se explica qué piezas sí sirven en manos ajenas.

Qué copiar además de las palabras

Si junto a la seed anotas que existe una passphrase, anota solo eso, nunca su contenido. Es una elección con coste: el aviso ayuda al heredero, pero también le dice a quien robe las palabras que tiene que exigir la passphrase, y anula el señuelo de la negación plausible. La passphrase va aparte, con su huella y con la primera dirección de recepción de esa billetera. La huella no va con las palabras: a quien robe las palabras le diría si ha acertado la passphrase, algo que rutas de derivación también explica. Coinkite indica que es seguro guardar la huella junto a la passphrase.

• La passphrase exacta, con mayúsculas, espacios y cualquier carácter que pueda confundirse (l, I y 1; O y 0). Ledger pide caracteres claros y sin cursiva.
• Su primera dirección de recepción y, si tu aparato o tu coordinador la enseña, su huella.
• El estándar de la seed (BIP-39, seed propia de Electrum o SLIP-39), porque cada uno trata la passphrase a su manera. En SLIP-39 la passphrase cifra el secreto maestro, como se ve en estrategias de copia de la seed.
• Dónde se restaura y con qué: ver recuperar tu billetera.

La passphrase vive en otro sitio distinto del de las palabras y con redundancia propia. Ponerlas en el mismo cajón anula su efecto contra el robo.

Cómo probarla

El método completo de prueba está en estrategias de copia de la seed. Lo propio de la passphrase es esto. Antes de meter fondos, abre la billetera con la passphrase y apunta su primera dirección de recepción tal como sale en la pantalla del aparato y, si la ves, su huella: Coldcard la enseña al aplicar la passphrase, y con otros aparatos la muestra un coordinador como Sparrow. Después restaura las palabras en una segunda hardware wallet vacía. Si solo tienes una, puedes borrarla y restaurar en ella, pero solo si ninguna billetera de esa seed tiene fondos, tampoco la base sin passphrase. Si la base ya tiene saldo, usa un segundo aparato. Si restauras en un Model One, elige la recuperación avanzada. En Trezor, la función de passphrase viene apagada en una billetera restaurada y hay que activarla. Teclea la passphrase desde la copia escrita, no de memoria. Si la dirección coincide, y la huella si la apuntaste, la copia vale. Si esa segunda hardware wallet no forma parte de tu plan, bórrala al terminar: con la seed dentro es otra copia completa. Las palabras de una hardware wallet no se teclean nunca en un ordenador ni en un móvil para probarlas. Si la seed nació en una app, se prueba en la misma app del mismo móvil u ordenador, solo mientras ninguna billetera de esa seed tenga fondos, tampoco la de passphrase, y con el teclado del sistema (ver estrategias de copia de la seed).

Con fondos ya dentro, la función de comprobar la copia del aparato (la «Check backup» de Trezor, por ejemplo) compara las palabras. La passphrase no se guarda en el aparato, así que no tiene contra qué compararla. Se comprueba sin borrar nada: cierra la billetera (en Trezor Suite, expulsándola), vuelve a abrirla tecleando la passphrase desde la copia escrita y mira en la pantalla del aparato que la primera dirección, o la huella si tu aparato la enseña, es la que apuntaste. Es el método que da Trezor en su guía de Suite. En Coldcard, la propia documentación pide apuntar la huella y comprobarla cada vez que se accede (coldcard.com/docs/passphrase, actualizada el 1 de octubre de 2026). Y todo esto sin borrar el único aparato con fondos.

Passphrase o multifirma

Las dos añaden una pieza, pero de naturaleza distinta. La passphrase añade un segundo secreto a la misma clave. Al usarla, todo se junta en un aparato y en una firma, así que un fallo del fabricante o del firmware lo expone todo. La multifirma añade claves independientes, en aparatos y sitios distintos, que nunca se juntan. Contra la coacción, Lopp y Unchained recomiendan que mover el ahorro cueste a propósito (citados en modelo de amenazas). Una multifirma con claves en sitios distintos lo consigue. Una passphrase, que se teclea en un solo aparato, no.

Cada una tiene su forma de perderlo todo. La passphrase, olvidarla o teclearla mal sin aviso. La multifirma, perder el descriptor o complicar tanto el plan que nadie sepa recuperarlo (ver diseño de multifirma). TRM Labs cita las dos, una u otra, entre las defensas contra la coacción: «multisignature or passphrase-protected wallets» (Ari Redbord, en The Block, 1 de enero de 2026).

Qué significa esto para ti

Una passphrase tiene sentido si corta una amenaza que está en tu lista y sabes recuperarla. Si el riesgo que te preocupa es que alguien encuentre las palabras en casa, una passphrase fuerte, guardada aparte y probada, lo reduce. Si el riesgo es que el firmware de un aparato esté comprometido, no. Si tu perfil sube en la lista de coacción, una multifirma con claves en sitios distintos resiste más. Coinkite, por su parte, recomienda hoy una passphrase fuerte y única para todo saldo cuya pérdida te haría daño de verdad (Coldcard, «Guidance for Meaningful Balances», actualizada el 1 de octubre de 2026).

Antes de meter fondos en la billetera con passphrase, comprueba tres cosas. Que está escrita exacta en un sitio distinto del de las palabras. Que tienes apuntadas su primera dirección y, si puedes verla, su huella. Y que has restaurado la billetera con ella desde la copia escrita, no de memoria. Si falla alguna, la passphrase todavía no es una medida de seguridad: es una forma nueva de perder el acceso.