Cómo configurar multifirma en carteras de hardware: 2 de 3, Safe y MetaMask

En octubre de 2026 Ledger confirmó un implante de hardware con módulo LTE en dispositivos del revendedor CryptoBilis, del Sudeste Asiático. Tres meses antes se encontró un error de firmware en Coldcard: las semillas se generaban con aleatoriedad insuficiente, y de las carteras afectadas robaron más de mil BTC. Las personas de ambas historias hicieron todo como dice el manual. Cartera de hardware, semilla en papel. Aun así el dinero desapareció, porque todo dependía de un solo dispositivo.

La multifirma (multisig) elimina ese único punto de fallo. Para gastar las monedas necesitas M firmas de N claves, y las claves están en dispositivos distintos. Si un dispositivo está hackeado o sustituido, con una sola clave no se puede sacar el dinero. En nuestro análisis de los Ledger manipulados recomendamos configurar una firma 2 de 3 con dispositivos de distintas marcas. A continuación, paso a paso, cómo hacerlo para bitcoin, para Ethereum y redes EVM, y qué tener en cuenta con cada fabricante.

El esquema ya pasó la prueba en condiciones reales. Tras el incidente de Coldcard, Nunchuk (11 de agosto de 2026) y Unchained (12 de agosto de 2026) informaron que los quórums con claves de distintos fabricantes resistieron. Si al menos una clave del quórum no está comprometida, el atacante ni siquiera puede encontrar las direcciones de la cartera: para eso necesita la clave pública de cada participante, y en la blockchain solo se ve después de un gasto. De ahí el consejo de Unchained: cuando gastes, vacía la dirección por completo y envía el cambio a una dirección nueva.

Qué esquema elegir

• 2 de 3. El estándar para un particular: es lo que ofrecen por defecto Sparrow, Trezor, Unchained y Coldcard. Pierdes una clave, el dinero sigue ahí. Te roban una clave, el dinero también sigue ahí.
• 3 de 5. Más margen, pero también más trabajo. En Trezor consideran que más de cinco claves ya es demasiado complicado para un particular. En bitcoin, pasar de 2 de 3 a 3 de 5 solo se puede con una cartera nueva, así que decídelo de antemano.
• 2 de 4 y 2 de 5. Según Unchained, protegen mejor contra la pérdida de claves.
• 3 de 4 y 4 de 5. Protegen mejor contra el robo: el ladrón necesita reunir más claves.
• 2 de 2 (y cualquier esquema N de N). Perder cualquier clave te deja sin acceso para siempre. Casa y Unchained no recomiendan este esquema.

Qué hacer antes de empezar

• Compra los dispositivos solo al fabricante o a un revendedor oficial y revisa el embalaje. Después de CryptoBilis es una regla obligatoria. Ledger aconseja: si configuraste un dispositivo comprado en ese canal, pasa tus fondos a una cartera nueva con una semilla nueva.
• Usa dispositivos de distintos fabricantes. Un error común de firmware o de suministro afecta a la vez a todos los dispositivos de una misma marca.
• Actualiza el firmware antes de crear la semilla. Y en general, antes de cualquier actualización debes tener una copia de seguridad de la semilla.
• Crea una semilla nueva en cada dispositivo. La misma semilla en dos dispositivos da una sola clave, no dos.
• Si usas frase de contraseña (passphrase), cada participante tiene la suya y la anota por separado. No se puede cambiar después de crear la cartera: cambiaría la clave.
• Ten en cuenta las comisiones. Las transacciones multifirma son bastante más grandes que las normales, la comisión es mayor, y con la red congestionada se nota.

Opción 1. Bitcoin 2 de 3 en tres carteras de hardware con Sparrow

Para bitcoin necesitas un programa coordinador. Arma la cartera a partir de las claves públicas, construye las transacciones y no guarda claves. Nosotros usamos Sparrow: gratuito, de código abierto, la versión 2.5.5 salió el 17 de septiembre de 2026. Por USB funciona con Trezor, Ledger, Coldcard, BitBox02, Jade, KeepKey y OneKey, por códigos QR con Passport, Jade, SeedSigner, Keystone y Krux, por microSD con Coldcard, Keystone y Passport. La documentación de Sparrow aconseja lo mismo que nosotros: mínimo 2 de 3, dispositivos de distintos fabricantes, guardados en lugares distintos.

Otros coordinadores gratuitos: Nunchuk (modo propio, con app para el teléfono), Electrum y Specter Desktop. Si quieres que te ayuden, mira Casa (plan Standard por $250 al año, tres claves, una de ellas en manos de Casa) o Unchained (la empresa guarda una clave de tres). Nunchuk también tiene carteras de pago en las que el servicio guarda una clave. Tras el incidente de Coldcard, Nunchuk desactivó la clave caliente del teléfono en sus carteras gestionadas.

Particularidades de cada marca

Lo común a todos: el dispositivo firma, el coordinador arma la cartera y las transacciones, y tú verificas la dirección en la pantalla. Las diferencias están en quién guarda el registro de la cartera, cómo se comunica el dispositivo con el ordenador y qué sabe hacer.

Ledger

Nano S Plus, Nano X, Stax y Flex funcionan como participantes de la multifirma en Sparrow o Nunchuk. Necesitas la app Bitcoin versión 2.1.0 o posterior. En la primera conexión el dispositivo te pedirá registrar la cartera ("Register account"). Sin registro, Ledger solo firma carteras normales de una sola clave. El registro lo guarda el coordinador (Sparrow lo recuerda desde la versión 2.1.0), y si cambia el conjunto de claves hay que registrar de nuevo. La app Ledger Wallet (antes Ledger Live) no tiene multifirma. Compra solo a Ledger o a revendedores oficiales.

Trezor

Model T, Safe 3, Safe 5 y Safe 7. Trezor Suite no admite multifirma, necesitarás Sparrow, Electrum o Casa. La cartera no se registra en el dispositivo, así que verifica la dirección en las pantallas de varios dispositivos. En enero de 2026 Trezor encontró y corrigió un error de visualización en la multifirma, así que mantén el firmware actualizado.

Coldcard: multifirma sin ordenador

Mk4, Mk5 y Q son los más cómodos para armar una multifirma sin ordenador, solo con microSD. Primero, el firmware actual (5.6.3 o 1.5.3Q) y una semilla nueva con tiradas de dados. Después:

1. En cada dispositivo: Settings > Multisig Wallets > Export XPUB. Obtendrás un archivo en la microSD con la ruta m/48'/0'/0'/2'.
2. En un dispositivo elige Create Airgapped, tipo P2WSH, umbral 2. Coldcard creará el archivo de configuración.
3. En los demás Coldcard: Import from File. Todos los participantes Coldcard deben registrar la cartera antes de firmar.
4. Importa la cartera en Sparrow: File > Import Wallet > Coldcard Multisig.
5. Activa Full Address View: por defecto Coldcard muestra la dirección solo en parte.

Coldcard no acepta la misma clave dos veces, así que no puedes armar por error una "multifirma" con una sola semilla.

Keystone 3 Pro

Para la multifirma de bitcoin usa el firmware solo para bitcoin (BTC-Only) versión 1.1.0 o posterior. Keystone se comunica con Sparrow por códigos QR o microSD. En Sparrow: Settings > Export > Keystone Multisig > QR, en Keystone: Add MultiSig Wallet.

BitBox02

El registro ocurre la primera vez que muestras una dirección desde Sparrow (Receive > Display Address). El dispositivo muestra los xpub de todos los participantes, compáralos. Antes de conectarlo a Sparrow, cierra BitBoxApp. BitBox02 no admite Taproot en multifirma.

Blockstream Jade y Jade Plus

Registra y guarda configuraciones multifirma, verifica las direcciones de recepción y de cambio. Funciona por USB y por códigos QR.

Passport

Passport Core importa la configuración por código QR o desde microSD. Passport Prime puede ser participante, pero no crea la multifirma por sí mismo, necesita un coordinador externo como Sparrow.

SeedSigner

Un dispositivo de montaje propio y sin memoria. No guarda la configuración y funciona por códigos QR junto con Sparrow o Specter.

Tangem: por qué no sirve

Según el propio Tangem, no tiene multifirma nativa, y no funciona directamente con Sparrow ni con Electrum. Tampoco aparece en las listas de dispositivos compatibles de Sparrow y Nunchuk. Tangem no sirve para una multifirma de bitcoin con dispositivos de distintas marcas.

Opción 2. Solo tienes dos carteras de hardware

Lo primero que apetece hacer es un esquema 2 de 2. No lo hagas: si pierdes o se rompe cualquiera de los dos dispositivos junto con su semilla, ya no tienes acceso. Casa y Unchained no recomiendan este esquema. Lo correcto es 2 de 3, donde la tercera clave sale de una de las opciones siguientes.

• Un tercer dispositivo de otra marca. La opción más fiable: las tres claves son tuyas y las tres son de hardware.
• MetaMask, pero solo en Safe para Ethereum y redes EVM. Es la opción 3 más abajo.
• Una clave en manos de un servicio: Casa, Unchained o Nunchuk. Los tres son de pago. El servicio guarda una clave, y con tus dos claves gastas sin él.

Recuerda la configuración: en 2 de 3, tus dos semillas más el xpub del tercer participante permiten restaurar. Por eso el xpub de la clave del servicio o del tercer dispositivo también debe estar en tu copia de seguridad.

Opción 3. Ethereum y redes EVM: Safe, dos carteras de hardware y MetaMask

Safe (antes Gnosis Safe) es una cartera de contrato inteligente con umbral de firmas. En la ayuda de Safe, el esquema habitual para un particular es este: tres firmantes (un MetaMask y dos carteras de hardware), umbral 2. MetaMask y una cartera de hardware para el día a día, y la segunda cartera de hardware guardada aparte como reserva.

Cómo verificar una transacción antes de firmarla

El 21 de febrero de 2025 robaron a Bybit más de 401.000 ETH, y nadie hackeó las claves. Los atacantes sustituyeron el código de la interfaz de Safe: los firmantes veían una transferencia normal y firmaron un cambio del contrato. La conclusión es sencilla: la transacción se verifica en la pantalla del dispositivo, no en el navegador. Es mejor firmar desde otro dispositivo, no desde el que tiene abierta la interfaz de Safe. Según la ayuda de Safe, revisa:

• la dirección de destino (to);
• el importe (value);
• los datos (data), descifrados en un decodificador;
• operation: 0 significa una llamada normal (call), 1 significa delegatecall, y eso es peligroso;
• nonce, el número de orden de la transacción;
• safeTxHash y los demás hashes en la pantalla de la cartera de hardware. Tenderly, OpenZeppelin Safe Utils y safe-tx-hashes-util ayudan a calcularlos de forma independiente.

Desde septiembre de 2026 Trezor tiene firma clara (clear signing) para Ethereum: el dispositivo descifra las acciones en su pantalla. Funciona con los contratos compatibles, y para el resto Trezor avisa de que la firma es a ciegas.

Si pierdes una clave

Sustituye al propietario: Settings > Owners > Replace owner. El umbral se ajusta en Settings > Setup. La sustitución la confirman los propietarios restantes dentro del umbral. Por eso el umbral se pone por debajo del número de propietarios: con 2 de 3, las dos claves restantes sustituyen sin problema a la perdida. Si no quedan firmas suficientes para el umbral, no hay una vía normal para recuperar el acceso.

Solana: Squads

En Solana la multifirma se hace en Squads. Ledger se conecta con Phantom o Solflare, pero para Squads tendrás que activar en el Ledger la firma a ciegas (Blind Signing). Eso significa que no verás los detalles de la transacción en la pantalla del dispositivo, y la protección principal de la opción con Safe aquí es más débil. Al crearla puedes añadir hasta 10 participantes. No uses el esquema 1/1, es una cartera normal con pasos de más. Crearla cuesta 0,1 SOL una sola vez más un pequeño alquiler.

Errores comunes

• No hay copia de la configuración (el descriptor o el archivo de Sparrow). Tienes las semillas, pero no puedes gastar.
• Todos los dispositivos de una misma marca. Un solo error de firmware o de suministro tumba todo el esquema.
• Una misma semilla en dos dispositivos. Es una clave, no dos.
• Esquema 2 de 2. Perder cualquier clave te deja sin acceso para siempre.
• La semilla está junto a su propio dispositivo, o dos semillas están en el mismo lugar.
• Se cambió la frase de contraseña después de crear la cartera. La clave pasó a ser otra.
• Se actualizó el firmware sin copia de la semilla.
• La dirección se verificó solo en la pantalla del ordenador y no en los dispositivos.
• Se reutiliza una misma dirección. Las direcciones multifirma ya se distinguen a simple vista, y repetirlas perjudica aún más la privacidad.
• Se saltó la prueba de restauración. El error en la copia lo encontrarás el día que la necesites.
• Se firmó una transacción en Safe verificándola solo en el navegador.
• El dispositivo no se compró al fabricante ni a un revendedor oficial.

Preguntas frecuentes

Antes de recibir monedas en tu nueva cartera de remitentes desconocidos, revisa la dirección con nuestro servicio de verificación AML. Otras herramientas para tu cartera están reunidas en la sección de herramientas para carteras.