MPC vs Multisig: ¿qué configuración de custodia es más segura?

¿Qué problema intentan resolver realmente MPC y multisig?

Si controlas una única clave privada, controlas los fondos. Pierdes la clave, y los fondos desaparecen. Te roban la clave, y los fondos desaparecen. Para un aficionado que tiene unos cientos de dólares, un monedero hardware y copias de seguridad disciplinadas suelen bastar. En el momento en que entran en juego dinero importante, un negocio o un control compartido, ese único punto de fallo resulta incómodo. Surgen dos preguntas: quién está autorizado a mover los fondos, y qué pasa si una de esas personas se ve comprometida, desaparece o simplemente comete un error.

Multisig (abreviatura de "multi-signature", multifirma) y MPC (abreviatura de "multi-party computation", computación multipartita) son dos respuestas distintas a esas preguntas. Comparten el mismo objetivo: que una única clave, persona o dispositivo sea insuficiente para mover los fondos, pero llegan a ese objetivo mediante mecanismos muy diferentes. Comprender esos mecanismos es lo que distingue una decisión de custodia defendible de una basada en marketing.

Cómo funciona multisig, en lenguaje sencillo

Un monedero multisig es un monedero que requiere firmas M-de-N para emitir una transacción válida. Por ejemplo, una configuración "2-de-3" significa que existen tres claves independientes, y dos cualesquiera de ellas deben firmar antes de que los fondos se muevan. La regla la aplica la propia blockchain: en Bitcoin, el script P2SH original (y más tarde P2WSH) bloquea los fondos tras un script que verifica literalmente el umbral de firmas. En Ethereum, el equivalente es un monedero de contrato inteligente como Safe (antes Gnosis Safe), donde las reglas de gasto viven en código de contrato auditado en lugar de en Bitcoin Script.

Como cada firma proviene de una clave privada completa e independiente, cada firmante puede estar aislado (air-gapped), en posesión de una persona diferente, almacenado en un dispositivo distinto en un país distinto, y operado en un sistema operativo diferente. Ningún compromiso de un único dispositivo, ningún empleado coaccionado y ninguna frase semilla perdida por sí solos pueden vaciar el monedero. La contrapartida es la fricción: alguien tiene que coordinar a los firmantes, y las transacciones on-chain son algo más grandes y costosas porque los datos de firma crecen con el número de firmantes.

Rotar a los firmantes es también una acción on-chain transparente. ¿Hay que despedir a un responsable de tesorería? Mueve los fondos a un nuevo multisig que excluya su clave. ¿Se pierde un monedero hardware? Sustituye su plaza en el umbral mediante una transacción on-chain estándar. Cada cambio queda registrado para siempre en un explorador de bloques y es totalmente auditable.

Cómo funciona la MPC, en lenguaje claro

Los monederos MPC utilizan una rama de la criptografía llamada computación multipartita para dividir una única clave privada en múltiples «participaciones» que se distribuyen entre las partes (dispositivos, servidores o personas). La parte ingeniosa: la clave completa nunca se reconstruye en un único lugar, ni siquiera durante la firma. En su lugar, las partes ejecutan un protocolo conjuntamente de modo que cada una aporta una firma parcial y el resultado es una firma de aspecto normal en la cadena. Para la blockchain, una transacción firmada mediante MPC es indistinguible de una firmada por un monedero normal con una sola clave.

La mayoría de los esquemas MPC modernos para monederos se basan en esquemas de firma umbral como GG20/GG20+ de ECDSA, EdDSA umbral para cadenas como Solana, y esquemas basados en Schnorr para Bitcoin mediante protocolos como FROST. La división es invisible para los externos. No hay script de multifirma, ni contrato inteligente, ni huella en la cadena que indique que participó más de una parte.

Para el usuario, la MPC suele sentirse como una aplicación de monedero normal con un flujo de recuperación familiar. Entre bastidores, los servidores del proveedor, el dispositivo del usuario y, a veces, una parte de respaldo cooperan para producir firmas. La recuperación y la rotación de claves se realizan ejecutando una nueva ceremonia de «repartición», que genera participaciones nuevas sin exponer nunca la clave subyacente e invalida las anteriores.

¿Cuáles son los riesgos reales de cada enfoque?

Ambas configuraciones reducen el riesgo de punto único de fallo de un monedero normal, pero cada una introduce riesgos propios. Saltarse los folletos de marketing y fijarse en lo que realmente ha fallado en la práctica resulta más útil que cualquier tabla comparativa de funciones.

Riesgos de la multifirma que conviene tomar en serio

El mayor riesgo no evidente de la multifirma es la coordinación para comprometer a los firmantes. El hackeo del puente Ronin en 2022, que drenó aproximadamente 625 millones de dólares, fue en esencia una multifirma 5-de-9 cuyos firmantes estaban concentrados en un pequeño grupo de validadores que un atacante fue comprometiendo uno a uno. El diseño del umbral era correcto sobre el papel; la realidad operativa era que demasiadas claves vivían dentro del mismo radio organizativo de explosión.

Otros modos de fallo recurrentes incluyen ceremonias de firma mal diseñadas (firmantes que difunden transacciones parcialmente firmadas desde la misma red), colusión entre firmantes (especialmente en DAO pequeñas donde el mismo puñado de personas controla todas las claves) y errores a nivel de cadena en la implementación del contrato inteligente. El propio Safe ha sido auditado de forma exhaustiva, pero sus variantes y bifurcaciones heredan un escrutinio menor. En Bitcoin el riesgo es más simple: un script mal construido puede bloquear los fondos de forma permanente, y cambiar el conjunto de firmantes requiere una nueva transacción en la cadena que tiene un coste y es visible para todo el mundo.

Riesgos de la MPC que conviene tomar en serio

Los riesgos de la MPC viven sobre todo en el software y las operaciones, porque la criptografía en sí no se ejecuta en una cadena. Una implementación defectuosa puede filtrar material de la clave entre las participaciones, y algunos esquemas antiguos han sido rotos. Los primeros protocolos de ECDSA umbral tenían errores sutiles de comportamiento ante abortos; algunos trabajos de investigación de 2020 a 2022 encontraron formas de extraer información parcial de la clave observando mensajes del protocolo a lo largo de muchas sesiones de firma. Los proveedores reputados utilizan esquemas modernos, auditorías formales e investigación continua, pero la carga de la prueba recae sobre la implementación, no sobre la blockchain.

Después está el riesgo operativo del propio proveedor. La MPC se ofrece de forma abrumadora como servicio, lo que significa que el cliente confía en los servidores, los empleados y la cadena de actualizaciones del proveedor. Cuando se produce una brecha en un proveedor de custodia, el daño se concentra. Ha habido varios incidentes en el sector de la custodia en general, incluidos casos muy sonados en proveedores de custodia externos y en exchanges, en los que los atacantes se dirigieron específicamente a la infraestructura del proveedor en lugar de a usuarios individuales. El ejemplo reciente más catastrófico es el colapso de FTX en 2022, donde una pila de custodia que combinaba monederos calientes, multifirma y diversos controles internos falló porque los controles humanos y corporativos a su alrededor se derrumbaron, no porque se rompiera la criptografía.

Por último, hay un problema estructural: con la multifirma en la cadena, la regla de gasto es pública y autoejecutable. Con la MPC, la regla vive dentro de la pila de software del proveedor. Si el proveedor desaparece, el usuario depende del procedimiento de recuperación del esquema, de la calidad de la documentación y de la apertura del protocolo subyacente. Algunos sistemas MPC son de código abierto y reproducibles, pero muchos no lo son.

¿Cómo se comparan en soporte de cadenas, recuperación y rotación?

La compatibilidad de cadenas es la diferencia cotidiana más visible. Bitcoin admite multifirma nativa a nivel de script y ahora admite Taproot, que hace que las transacciones multifirma parezcan transacciones de firma única en la cadena (algo bueno para la privacidad y las comisiones) y, al mismo tiempo, sigue requiriendo múltiples firmas Schnorr por debajo. Ethereum no tiene un opcode de multifirma en el mismo sentido; tiene monederos de contrato inteligente, de los cuales Safe es el patrón dominante. Otras cadenas varían: Solana, por ejemplo, no tiene multifirma nativa en la cadena en el sentido de Bitcoin y tradicionalmente ha requerido o bien un programa de multifirma a nivel de protocolo o bien un enfoque de contrato inteligente.

La MPC, en cambio, es agnóstica a la cadena. Como la blockchain solo ve una firma estándar, la misma configuración de MPC puede firmar para BTC, ETH, SOL y cualquier otra cadena que utilice un esquema de firma compatible. Para las organizaciones que necesitan custodiar muchos activos en muchas cadenas, esto es una simplificación operativa real. Los usuarios de multifirma a menudo ejecutan varias configuraciones de multifirma en paralelo, una por cadena, con sus propias peculiaridades y procedimientos de firmantes.

La recuperación y la rotación de firmantes cuentan la historia opuesta. Con multifirma, reemplazar un firmante perdido es una acción en la cadena: una nueva transacción mueve los fondos a un nuevo monedero que reconoce el nuevo conjunto de claves. Es visible, auditable y autocontenida. Con MPC, la rotación requiere que las partes ejecuten una nueva ceremonia de generación de clave distribuida o de repartición, y luego invaliden las participaciones antiguas. Hecha bien, es invisible y rápida. Hecha mal, o con un proveedor que haya cambiado su software de manera que rompa la ceremonia antigua, puede ser un proceso frágil, manual y offline que depende de una documentación que puede existir o no dos años después.

¿Qué configuración se adapta a qué tipo de usuario?

No hay una respuesta universalmente «más segura». La elección correcta depende de qué amenaza te preocupa más y de cuánta complejidad operativa puedes absorber realmente.

Usuarios individuales y tenedores pequeños. Para una persona que va más allá de un monedero físico único, la MPC suele ser la opción pragmática por defecto: es más fácil de usar, admite más cadenas y tiende a integrarse con monederos móviles y de navegador donde la multifirma en la cadena resultaría engorrosa. La mayor precaución es elegir un proveedor de MPC cuyo esquema esté documentado, auditado y, a ser posible, sea de código abierto, y entender exactamente cómo funciona la recuperación antes de ingresar fondos.

DAO y tesorerías pequeñas. Un Safe en Ethereum (o una multifirma nativa en Bitcoin) suele ser la opción más defendible para una tesorería que quiere que cada regla de gasto sea visible en un explorador de bloques. Firmantes independientes en distintas jurisdicciones, en distintos dispositivos, sin empleador ni proveedor compartido, te dan la máxima separación del radio de explosión. El fallo de Ronin es la lección: el umbral criptográfico no es la parte difícil; la independencia operativa de los firmantes lo es.

Mesas de trading activas y tesorerías institucionales. Aquí la MPC a menudo gana en expresividad de políticas: roles, límites de gasto, bloqueos temporales, direcciones permitidas, rotación automática de claves y flujos de aprobación son más fáciles de expresar en un producto de custodia que en un script estático en la cadena. La contrapartida es que ahora confías en una pila de proveedores, por lo que la lista de comprobación de adquisición se parece más a una revisión de software empresarial (informes SOC 2, pruebas de penetración, certificaciones de gestión de claves, seguros, continuidad de negocio) que a una revisión cripto-nativa.

Usuarios con requisitos estrictos de soberanía. Si «ningún tercero puede mover mis fondos jamás, bajo ninguna circunstancia legal o técnica» es un requisito firme, la multifirma en la cadena se acerca más a ese ideal. La regla la aplica la cadena, no una empresa que podría recibir una citación judicial, ser adquirida o cerrar.

Cómo elegir sin caer en el marketing de los proveedores

El ejercicio más útil antes de elegir una configuración de custodia es anotar tres cosas: qué activos, en qué cadenas, controlados por quién, con qué plan de recuperación si se pierde un firmante. Las respuestas suelen hacer que la decisión sea obvia. Una tesorería multicadena con transacciones frecuentes y políticas activas lo pasará mal con la fricción del multisig en cadena. Una configuración de almacenamiento en frío a largo plazo de Bitcoin o Ethereum lo pasará mal para encontrar cualquier razón de asumir las dependencias de software y proveedor del MPC.

También vale la pena poner a prueba las afirmaciones de los proveedores. "Sin custodia" es más una palabra de marketing que un término técnico. Las preguntas relevantes son: quién puede ejecutar la ceremonia de firma, qué pasa si el proveedor desaparece mañana, si el protocolo MPC subyacente es abierto y reproducible, y si las implementaciones han sido auditadas y estudiadas de forma independiente a lo largo del tiempo. Un proveedor que puede responder a las cuatro con detalles concretos es más raro, y más fiable, que una presentación de ventas que use la palabra "institucional" en cada diapositiva.

Por último, trata la custodia como defensa en profundidad. Ni el multisig ni el MPC eliminan la necesidad del aislamiento de claves a nivel de monedero hardware, la revisión de transacciones, las listas blancas de direcciones y los procedimientos humanos en torno a la firma. La criptografía marca el suelo. La disciplina operativa de las personas que la utilizan marca el techo real.

Cómo seguir los cambios en la custodia de forma inteligente

La tecnología de custodia avanza rápido: nuevos esquemas de firmas por umbral, nuevos módulos de Safe, nuevos proveedores de MPC y nuevas brechas de alto perfil que aparecen en el ciclo de noticias, y la mayor parte de la cobertura está financiada por proveedores o es superficial. Distinguir qué developments importan realmente, y cuáles son marketing reciclado, es un trabajo en sí mismo. Zippfeed muestra titulares de monederos y custodia con puntuación de sentimiento, alcista, neutral o bajista, y una calificación de importancia, para que puedas distinguir las actualizaciones de protocolo y las divulgaciones de brechas significativas del ruido antes de que afecten a tu propia configuración.