Guía Passphrase de preguntas-respuestas para crear una segunda capa BIP-39
Ante el incidente Coldcard, la función de la Passphrase se torna esencial ante posibles problemas en la estructura de la seed original de la wallet. Casi todo el material disponible sobre passphrases se divide en tutoriales que explican dónde apretar sin decir por qué, y discusiones técnicas que dan por sentado que ya entendés la derivación de claves. Este texto quiere ir más allá, respondiendo interrogantes generales que surgen en la comprensión de esta herramienta. Y una advertencia: en autocustodia, buena parte del dinero perdido es debido a errores de transcripción, backups incompletos y decisiones que parecían más seguras.
## 1. ¿Qué es una passphrase y en qué se diferencia de la seed?
Son dos cosas distintas que se combinan. La **seed** o mnemónico son las 12 o 24 palabras que, en general, la crea tu dispositivo. La **passphrase** es un texto adicional, opcional, que vos elegís. Al derivar la wallet, ambas entran a una función llamada PBKDF2: el mnemónico como contraseña, la passphrase como parte de la sal.
El resultado es que **cada passphrase distinta produce una wallet completamente distinta**. No es una contraseña que «abre» algo: es un ingrediente que cambia el resultado. Sin passphrase tenés una wallet; con `casa` tenés otra; con `Casa` tenés una tercera.
Consecuencia práctica: quien consiga tu seed pero no tu passphrase se encuentra con una wallet vacía. Es una segunda cerradura, independiente de la primera.
## 2. ¿Cuántas palabras necesito? ¿Más caracteres equivale a más seguridad?
Cada palabra del diccionario BIP-39 aporta 11 bits. Como la passphrase no lleva checksum, doce palabras dan **132 bits** íntegros. Eso ya está por encima del techo práctico de seguridad de la curva secp256k1, que ronda los **128 bits**. Por encima de ese techo, agregar palabras no compra nada. Un atacante que enfrenta 132 bits ya no ataca tu passphrase: le sale más barato atacar la clave privada directamente, y eso tampoco puede hacerlo. Es como engrosar una puerta blindada en una pared de ladrillo.
Para dimensionarlo: 2¹²⁸ son 3.4×10³⁸ operaciones. Con mil millones de GPUs a 10¹⁸ intentos por segundo, unos diez billones de años. Cerca de ochocientas veces la edad del universo. Agregar una palabra más lo lleva a un millón y medio de veces la edad del universo. Ambos números significan lo mismo: nunca.
Lo que sí crece con cada palabra extra es el riesgo de que te equivoques al transcribirla. Esa curva sí sube, y mata carteras.
## 3. ¿Puedo elegir yo las palabras, o usar una frase que recuerde?
Podés, pero no deberías, y el motivo es contraintuitivo.
La entropía no mide cuán rara parece una frase: mide cuán difícil es adivinar el proceso que la produjo. Una frase elegida por un humano —un verso, un chiste privado, el nombre de una mascota con números— sale de un espacio mucho más chico de lo que parece, porque los humanos elegimos de forma predecible. Ahí sí funcionan los ataques de diccionario y las reglas de mutación.
Un sorteo uniforme no tiene esa debilidad. Por eso conviene generar la passphrase con **dados físicos**: no hay sesgo humano, no hay generador de números que auditar, y podés calcular exactamente cuánta entropía obtuviste.
El corolario incomoda un poco: la fuerza del resultado viene de que ninguna parte la elegiste vos. Agregar «una palabra tuya» al final aporta unos 13 bits optimistas sobre 132 que ya no necesitan ayuda, y a cambio rompe la regularidad del esquema, que es algo que vas a tener que recordar dentro de diez años.
## 4. Si me equivoco al escribirla, ¿pierdo los fondos?
La passphrase no se valida contra nada. No hay «contraseña incorrecta», no hay bloqueo, no hay contador de intentos. Si te equivocás, el dispositivo abre una wallet vacía sin protestar. Salís, entrás bien, y tus fondos están ahí. Podés reintentar infinitas veces.
Si al configurarla escribiste `caballo verde` pero tu papel dice `caballo verdes`, las monedas quedaron en la wallet del texto equivocado, y tu backup apunta a otra. Nada falla en el momento. El error aparece años después, cuando restaurás «correctamente» y encontrás una wallet vacía.
No hay checksum que te avise. Esa red de seguridad existe en la seed, pero no en la passphrase.
## 5. Entonces, ¿cómo verifico que la anoté bien?
Comparando direcciones. Es el checksum manual que la passphrase no trae de fábrica.
1. Configurá la passphrase y anotá la **primera dirección de recepción** de la wallet resultante.
2. Salí del dispositivo por completo.
3. Volvé a entrar tipeando la passphrase **carácter por carácter leyendo de tu papel**, no de memoria.
4. Compará la primera dirección. Si coincide, lo que hay en el dispositivo y lo que hay en tu papel son la misma wallet.
Verificá que estés mirando la misma cuenta y el mismo tipo de dirección las dos veces, o vas a comparar peras con manzanas.
Guardá esa primera dirección junto al backup, en claro. No revela nada comprometedor y te permite auditar en cualquier momento que estás en la wallet correcta.
Y después, la prueba que ninguna teoría reemplaza: **fondeá con un monto simbólico, restaurá desde cero en otro dispositivo o en un software independiente usando solo tu papel, y gastá ese monto.** Si eso funciona, tu esquema funciona. Recién ahí movés el resto.
## 6. ¿Sirve usar otro idioma para despistar a los atacantes?
No, y la intuición detrás de la pregunta merece una respuesta completa porque es muy común.
Un ataque de diccionario funciona contra contraseñas que un humano eligió. Ahí el idioma importa. Pero contra una passphrase sorteada con dados no hay diccionario que sirva: el atacante enfrenta 2¹³² candidatos y ninguna lista de palabras reduce ese número.
Además, el idioma no es secreto. Un atacante probaría el listado inglés, después el español, después los otros nueve. Son once listas: multiplicar su trabajo por once son 3.5 bits. Contra 132, es ruido.
Esto es seguridad por oscuridad. Si tu esquema depende de que el adversario ignore algo estructural, ya perdiste; y si no depende de eso, la oscuridad no agrega nada y solo suma fragilidad.
El inglés tiene además ventajas concretas: es ASCII puro, es el camino mejor probado en todas las implementaciones, y sus palabras son unívocas en las primeras cuatro letras. Los caminos poco transitados del software es donde viven los errores raros — y en autocustodia, un error raro es dinero perdido.
## 7. ¿Mayúsculas, espacios, símbolos? ¿Ayudan?
Poco o nada, y algunos son activamente peligrosos.
**Mayúsculas.** Si el patrón lo elegís vos, aporta casi cero porque es predecible. Si lo sorteás, suma bits que no necesitás. A cambio: más pulsaciones en teclados diminutos, riesgo de autocapitalizado silencioso en teléfonos, y la obligación de distinguir con certeza una `c` de una `C` en tu propia letra manuscrita dentro de una década.
**Espacios.** Cero entropía: son posicionales y predecibles. Y son invisibles, que es lo peor que puede ser un carácter. Un espacio doble o uno colado al final produce otra wallet y no hay nada que mirar para detectarlo. Conviene escribir la passphrase de corrido, sin separadores, o usar guiones si necesitás leerla mejor.
**Acentos y caracteres especiales.** Acá hay un problema real. Trezor solo acepta ASCII, así que una passphrase con `ñ` o tildes directamente no se puede ingresar. Peor: la `ñ` puede codificarse como un carácter único o como `n` más tilde combinante — idénticos en pantalla, bytes distintos, **wallets distintas**. La especificación exige normalización NFKD, pero las implementaciones han fallado en esto históricamente.
**Regla simple: minúsculas, ASCII, sin espacios, sin acentos.** Es aburrido a propósito.
## 8. Si alguien descubre mi passphrase pero no la seed, ¿puede robarme?
No. Necesita las dos cosas, y en ese orden.
En la derivación, el mnemónico entra como contraseña y la passphrase como parte de la sal. Sin el mnemónico no hay nada que derivar: la passphrase sola no produce ninguna clave. Quien tenga solo tu passphrase enfrenta los 256 bits de una seed de 24 palabras.
Por eso el ataque nunca va a ser criptográfico. Las seeds se obtienen encontrando el papel, fotografiándolo, mediante malware si alguna vez la tipeaste en una computadora, o por un generador de números defectuoso en el dispositivo. Nada de eso implica romper nada.
Y ese es justamente el diseño: la passphrase existe para que **la seed dejando de ser secreta no sea fatal**. De ahí se sigue lo único que hay que hacer bien: las dos mitades tienen que vivir en lugares distintos. Guardarlas juntas convierte dos cerraduras en una, y anula el único motivo por el que hiciste todo este trabajo.
Una advertencia final: **una passphrase filtrada no se puede rotar.** No es una contraseña que cambiás. Si sospechás que se comprometió, la única salida es generar una wallet nueva —seed nueva y passphrase nueva— y mover todo. Cada mitad es de un solo uso, permanente.
## 9. ¿Conviene guardarla en el dispositivo o ingresarla cada vez?
Los dispositivos suelen ofrecer dos modos: **temporal**, donde la ingresás en cada sesión y no queda almacenada, y **adjunta a un PIN secundario**, donde queda guardada en el chip seguro.
La comodidad de la segunda tiene un costo que se pasa por alto: **el PIN secundario no verifica nada**. Guarda exactamente lo que tipeaste, sea correcto o no. Si te comiste una letra, guarda el error y te lo reproduce fielmente cada vez. Todo funciona perfecto durante años, hasta que perdés el dispositivo y restaurás desde tu papel. El PIN adjunto no valida contra tu backup: **enmascara el error**.
También cambia tu modelo de amenaza. Pasás de «necesitan la seed *y* algo que solo yo sé» a «necesitan el dispositivo y un PIN». Contra una seed potencialmente débil sirve igual; contra coerción o robo físico, la temporal es más fuerte.
En cualquiera de los dos casos: la passphrase guardada **no se respalda junto con la seed**. Tu papel sigue siendo la única fuente de verdad.
## 10. ¿Puedo tener varias wallets? ¿Sirve como señuelo?
Podés tener infinitas. Cada texto distinto deriva una wallet distinta, y no hay registro de cuáles «existen» — todas existen matemáticamente desde siempre. Vos elegís cuál abrir tipeando la cadena correspondiente.
Como señuelo funciona, pero conviene entender sus límites antes de confiar en él.
En el dispositivo y en la cadena, una wallet con passphrase es **indistinguible** de cualquier otra. Nada delata su existencia. Lo que sí la delata es el contexto: fondos que entraron a tu wallet base y salieron hacia otro lado, registros de una casa de cambio, papeles con doce palabras que no son la seed, o simplemente un adversario que conoce BIP-39 y asume que puede haber una.
Bajo coerción, la negación plausible depende de que la otra persona te crea, no de que la matemática lo respalde. La cadena es pública y el saldo faltante se ve. Un señuelo que aparece enviando fondos afuera no engaña a nadie que sepa mirar: si vas a usar uno, debería fondearse de forma independiente y no compartir historia con la wallet real.
Y el riesgo más mundano: cada wallet adicional necesita su propio backup con el mismo cuidado. Multiplicar wallets multiplica formas de perder fondos por olvido o typo — que sigue siendo, de lejos, la causa más común de pérdida en todo este esquema.
## En resumen
– Doce palabras sorteadas con dados. No más, no elegidas por vos.
– Minúsculas, ASCII, sin espacios ni acentos.
– Anotá exactamente la cadena que vas a tipear, y la regla de formato junto a ella.
– Verificá comparando la primera dirección, leyendo del papel.
– Seed y passphrase en lugares distintos.
– Prueba de recuperación completa con monto simbólico antes de mover nada serio.
Por Sistemas, el 06/08/2026.
Siguiente