Una billetera de hardware con airgap no es automáticamente más segura que una conectada por USB o Bluetooth. Prescindir de una conexión directa cambia la forma en que los datos llegan al dispositivo, pero la billetera debe seguir comprobándolos y permitirte revisar lo que vas a aprobar. La ventaja de seguridad depende de los ataques concretos que quieras evitar y de cómo esté diseñada la billetera.
¿Qué significa airgap en una billetera de hardware?
En este contexto, una billetera con airgap intercambia datos de transacciones con un ordenador o teléfono mediante códigos QR o una tarjeta de memoria extraíble, en lugar de utilizar una conexión directa por USB o inalámbrica. El ordenador prepara la transacción, la billetera de hardware la recibe y la firma, y la transacción firmada vuelve al ordenador para que este la envíe a la red de Bitcoin.
Estos procesos suelen utilizar una transacción de Bitcoin parcialmente firmada (PSBT, por sus siglas en inglés): un formato estándar para intercambiar información de transacciones entre aplicaciones de billetera y dispositivos que las firman. PSBT describe el formato de los datos, no el método de conexión.
Una conexión no significa que tus claves privadas salgan del dispositivo
Mantener las claves privadas —los datos secretos que permiten autorizar pagos— separadas del ordenador es una propiedad distinta de prescindir de una conexión directa. Una billetera de hardware conectada por USB también puede firmar internamente sin entregar sus claves privadas al ordenador. Por sí sola, una conexión de datos no implica que esas claves queden expuestas.
Para entender cómo la firma en un dispositivo separado y las comprobaciones en su pantalla reducen la dependencia del teléfono, lee por qué la seguridad de tus bitcoin no debería depender solo del móvil.
¿Qué riesgos puede cambiar el airgap?
Eliminar una conexión directa elimina esa vía concreta de comunicación con la billetera. Por ejemplo, una billetera que recibe transacciones únicamente mediante códigos QR no necesita una conexión de datos USB para ese intercambio. Que esto evite un ataque concreto depende de la interfaz o del componente de software que el ataque necesite utilizar.
El canal alternativo también debe examinarse. Los códigos QR y los archivos de transacciones transportan datos procedentes de un ordenador que podría estar comprometido, y la billetera de hardware necesita software para leerlos e interpretarlos. Un fallo en ese software podría seguir siendo explotable a través de los datos importados. La ausencia de un cable no demuestra que los datos sean inofensivos ni que una billetera sea, en conjunto, más segura que otra.
¿De qué no te protege el airgap?
El airgap, por sí solo, no evita:
- Aprobar un pago equivocado. Un programa malicioso puede preparar una transacción a la dirección de un atacante antes de que la transfieras a la billetera de hardware. Compara la dirección de destino completa y el importe que aparecen en el dispositivo con el pago que quieres realizar, utilizando datos del destinatario obtenidos de una fuente de confianza. Si no coinciden, no apruebes el pago.
- La exposición de una copia de seguridad que permita restaurar la billetera. Quien disponga de la información necesaria para restaurar tu billetera puede gastar sus fondos sin tener tu dispositivo. Mantén las copias de seguridad privadas y fuera de línea; nunca compartas tus palabras de recuperación ni las introduzcas en una web, un ordenador, un teléfono, un chat de soporte o una herramienta de IA.
- Un firmware malicioso o vulnerable. El firmware es el software que se ejecuta en la billetera de hardware. El airgap no demuestra que gestione correctamente los datos secretos o las transacciones, y un firmware comprometido puede filtrar información secreta a través de los datos que devuelve.
Para conocer otros escenarios de ataque y las precauciones que puedes tomar, consulta ¿Se puede hackear una billetera de hardware? Para entender la función y los límites del código abierto y de las compilaciones reproducibles, lee cómo BitBox reduce la dependencia del fabricante.
¿Qué significa esto al utilizar tu BitBox?
La BitBox utiliza una conexión de datos directa para trabajar con la aplicación de billetera, mientras firma las transacciones internamente. Sus protecciones se basan en cómo el dispositivo gestiona las claves y los datos de las transacciones, junto con las comprobaciones que haces en su pantalla. Consulta qué hace segura a una billetera de hardware para entender cómo se combinan estas protecciones.
Para profundizar en el aislamiento del componente Bluetooth y el cifrado de la BitBox Nova, lee cómo funciona la integración Bluetooth Whisper.
Detén el proceso si la BitBoxApp indica un fallo de seguridad
Detén el proceso si la BitBoxApp indica que tu dispositivo no es auténtico o que se ha producido un fallo del protocolo anti-klepto. Un fallo de este protocolo significa que no se ha superado una comprobación destinada a impedir que determinadas firmas filtren información sobre las claves privadas. No continúes solo porque la pantalla del dispositivo parezca normal.
La tarjeta microSD utilizada para la copia de seguridad de tu billetera BitBox cumple una función distinta de la de una tarjeta que se usa para intercambiar archivos de transacciones. Crear una copia de seguridad en microSD no convierte la BitBox en un dispositivo que firme mediante airgap.
Al comparar billeteras, ten en cuenta el diseño de seguridad completo y un proceso de verificación que puedas seguir de forma fiable, además de la compatibilidad y la facilidad de uso. Considera el airgap como una decisión de diseño cuyas ventajas deben evaluarse frente a amenazas concretas.
Encontrarás ejemplos históricos y una explicación más extensa en el artículo original de BitBox sobre airgap, publicado en 2021.