Definición de Entropía (Criptografía-Cripto)
En criptografía, la entropía mide la imprevisibilidad de un valor secreto, expresada en bits. Una clave con ciento veintiocho bits de entropía admite dos elevado a ciento veintiocho valores igualmente probables, y un adversario que ignore cuál se eligió no dispone de mejor estrategia que recorrerlos. Toda la seguridad de una billetera de criptomonedas descansa sobre esa cantidad, no sobre la longitud aparente del secreto ni sobre la solidez del algoritmo que lo procesa. Una frase de veinticuatro palabras derivada de un número previsible ofrece exactamente la protección de ese número.
La distinción entre azar aparente y azar real explica por qué la entropía resulta imposible de auditar por inspección. Dos secuencias de doscientos cincuenta y seis bits, una producida por un fenómeno físico impredecible y otra por un contador de reloj, se ven idénticas. No hay examen que aplicado sobre las palabras resultantes revele cuál fue el origen, y de ahí que los fallos en esta capa permanezcan latentes durante años sin que nadie los advierta.
Cuánta entropía necesita una billetera
El estándar BIP-39 convierte entropía en palabras a razón de once bits por palabra, tomados de una lista de dos mil cuarenta y ocho términos. Una frase de doce palabras codifica ciento veintiocho bits de entropía más cuatro de suma de comprobación; una de veinticuatro codifica doscientos cincuenta y seis bits más ocho de comprobación.
Los ciento veintiocho bits constituyen el mínimo considerado aceptable, y la diferencia con doscientos cincuenta y seis no reside en el costo de atacar cada uno por separado, porque ambos exceden largamente lo computable, sino en el margen que queda si el generador falla parcialmente. Un defecto que reduzca la entropía efectiva a la mitad deja al primero en sesenta y cuatro bits, dentro del alcance de un adversario con recursos, y al segundo en ciento veintiocho, todavía fuera de alcance.
Cómo la genera un dispositivo
Los monederos de hardware obtienen entropía de generadores de números aleatorios verdaderos, circuitos que muestrean fenómenos físicos impredecibles como el ruido térmico de un semiconductor o la deriva entre osciladores. El microcontrolador STM32 que emplean varios fabricantes incorpora uno; los elementos seguros que almacenan claves suelen incorporar otro, y algunos diseños combinan ambas fuentes.
Ese proceso ocurre íntegramente dentro del chip y sin conexión, y el usuario no puede verificarlo. Un generador defectuoso produce palabras que superan cualquier inspección visual, y ninguna certificación de resistencia a la extracción física de claves dice nada sobre la calidad del número que el dispositivo eligió antes de guardarlo. Las dos capas se confunden con frecuencia en el material comercial del sector, aunque protegen contra amenazas distintas.
El mecanismo manual con dados
Generar la entropía uno mismo elimina esa confianza en el punto exacto donde no puede auditarse. Un dado de seis caras aporta el logaritmo en base dos de seis, aproximadamente 2,58 bits por tirada, de donde salen los umbrales habituales de cincuenta tiradas para ciento veintiocho bits y noventa y nueve para doscientos cincuenta y seis. La documentación de SeedSigner lo formula con precisión al señalar que noventa y nueve tiradas rinden 255,9 bits.
El procedimiento habitual consiste en acumular las tiradas como una cadena de caracteres y aplicarle SHA-256, empleando el resultado como entropía de la frase. Varias implementaciones abiertas convergen en ese método con diferencias menores de formato, y algunas admiten además lanzamientos de moneda, que aportan un bit exacto cada uno y exigen por tanto ciento veintiocho o doscientos cincuenta y seis repeticiones.
La propiedad decisiva del arreglo es que resulta reproducible, y esa reproducibilidad habilita una verificación que ningún generador interno admite. El usuario puede calcular por su cuenta el hash de una secuencia de prueba, comprobar que coincide con el valor que muestra el dispositivo y confirmar que ese valor produce las palabras esperadas. Los proyectos de código abierto del sector publican utilidades en Python destinadas exclusivamente a esa comprobación.
La verificación tiene una condición que la anula si se ignora. La secuencia de tiradas es material criptográfico secreto, equivalente a la clave misma. Debe verificarse con una secuencia de prueba, nunca con la real, y jamás introducirse en una computadora conectada a la red ni registrarse digitalmente. Quien teclee sus tiradas verdaderas en un equipo comprometido pierde por completo la ventaja del dispositivo aislado.
Los requisitos de ejecución tampoco son triviales. Las tiradas deben ser independientes entre sí, provenir de un dado equilibrado y realizarse en privado. Fabricar números en lugar de tirarlos, o abreviar la serie, destruye la seguridad del resultado sin dejar señal visible alguna.
Fallos de entropía en la práctica
Los episodios documentados forman un patrón consistente. El caso conocido como Milk Sad, divulgado en 2023, expuso billeteras creadas con Libbitcoin Explorer, cuyo generador empleaba la marca de tiempo del sistema como única fuente. La divulgación Randstorm alcanzó a millones de billeteras de navegador generadas entre 2011 y 2015 con BitcoinJS. En julio de 2026, la firma Coinspect documentó bajo el nombre Ill Bloom cinco implementaciones con generación débil y un barrido coordinado de cuatrocientas treinta y una billeteras.
El episodio de mayor alcance se conoció el 30 de julio de 2026. Un error de integración en el firmware de los dispositivos Coldcard, fabricados por la empresa canadiense Coinkite, dejó la compilación atada a un generador pseudoaleatorio de respaldo, inicializado con el identificador único del chip y el estado de sus temporizadores, en lugar del generador de hardware previsto. La entropía efectiva resultante se estimó en unos cuarenta bits en los modelos Mk3 y setenta y dos en los posteriores, donde el elemento seguro aportaba material adicional. Un atacante capaz de acotar esos parámetros podía reconstruir las claves sin acceso a los dispositivos. Lo sustraído superó los mil trescientos bitcoin.
El caso reúne varias circunstancias que conviene retener. El defecto sobrevivió cinco años en un firmware que el fabricante publica para su revisión, lo que muestra que la disponibilidad del código no equivale a su auditoría efectiva. Alcanzó además a un producto con reputación establecida y con arquitectura de doble elemento seguro en sus modelos recientes, prueba de que la solidez del almacenamiento no compensa un defecto en la generación. Y el fabricante emitió primero un desmentido público antes de reconocer el problema horas más tarde, secuencia que dejó a los usuarios operando sobre información incorrecta durante la ventana más crítica.
En su aviso de seguridad, Coinkite estableció que las semillas generadas con cincuenta a noventa y ocho tiradas independientes y privadas habían recibido al menos ciento veintiocho bits de entropía por esa vía, y las de noventa y nueve o más, aproximadamente doscientos cincuenta y seis. Quienes cumplieran esa condición, y no hubieran expuesto ni registrado sus tiradas, quedaban fuera de riesgo por este defecto. La entropía manual funcionó, en un caso donde el generador del dispositivo no lo hizo.
Los límites del método manual
La entropía generada con dados es técnicamente sólida cuando se ejecuta correctamente, y por eso mismo no constituye una recomendación general. Exige tirar un dado noventa y nueve veces, transcribir cada resultado sin omisiones ni repeticiones, y sostener la atención durante todo el proceso. Es un procedimiento que sobrevive mal a las condiciones reales de una casa, y cuyos errores no producen advertencia alguna.
Queda entonces un umbral antes que un principio. Para montos que justifiquen la complejidad, la entropía manual verificable retira la confianza del punto donde ya se demostró que puede fallar. Para el resto, la respuesta más robusta no es sustituir la confianza en un fabricante por la confianza en la propia prolijidad, sino distribuirla mediante esquemas de firma múltiple con dispositivos de fabricantes distintos, donde un defecto de generación en uno no alcanza para mover los fondos.
Por Sistemas, el 01/08/2026.
Siguiente