Sin custodia es una escalera, no una etiqueta.

En una cadena, el dinero se mueve cuando se presenta una firma válida, y sólo la clave privada puede producirla. Así que toda la cuestión de la custodia es una sola: ¿dónde vive esa clave y quién puede usarla? Todo lo demás — saldos, paneles, estados de cuenta — es contabilidad encima de ese único hecho.

Los dos arreglos

En un arreglo con custodia le mandas dinero a una plataforma. La plataforma guarda la clave, junta tus monedas con las de todos y te muestra un número. Ese número es un pasivo en sus libros: una promesa, no una posesión. Cuando retiras, le estás pidiendo que cumpla la promesa.

En un arreglo sin custodia la clave se queda de tu lado. La plataforma puede encontrar mercados, calcular una orden y preparar una transacción exacta, pero necesita tu firma para que ocurra algo, y no puede producirla.

Las tres formas en que la custodia falla no son hipotéticas, y todas son consecuencia del mismo hecho, no de la mala fe de nadie:

• Pueden congelarlo, porque el saldo es un asiento que ellos controlan. Una disputa, una revisión de cumplimiento o un simple cambio de política se aplican a tu dinero mientras ellos lo tengan.
• Pueden quebrar teniéndolo. Un saldo agrupado te convierte en acreedor sin garantía, no en dueño, y a los acreedores se les paga en un orden que tú no eliges.
• Son un solo blanco. Un único juego de claves que controla el dinero de todos vale la pena atacarlo de una forma en que mil billeteras individuales no.

La ventaja que compensa es real y conviene nombrarla: un custodio puede revertir errores, devolverte el acceso cuando pierdes la contraseña y absorber una equivocación que de otro modo sería definitiva. La autocustodia renuncia a eso.

La escalera, porque "sin custodia" se usa para cuatro cosas distintas

La etiqueta se aplica a arreglos con propiedades de seguridad muy diferentes. La pregunta útil no es "¿es sin custodia?" sino "si comprometieran mañana la página que estoy mirando, ¿qué se podría llevar?"

El tercer escalón merece una explicación, porque es el que casi nadie ha oído describir. Los navegadores imponen la política del mismo origen: el código servido desde un origen no puede leer el almacenamiento ni la memoria de otro. Si el código que firma vive en su propio origen y la aplicación sólo se comunica con él pasándole mensajes, entonces una aplicación comprometida puede pedir una firma — incluso una maliciosa — pero no puede leer la clave ni firmar nada que tú no apruebes. El muro lo impone el navegador, y por eso aguanta aunque las promesas del sitio no.

Y ahí mismo está el límite del tercer escalón: convierte un robo en una mentira. Un atacante que controla la aplicación ya no puede llevarse la clave, así que en su lugar te muestra una transacción que parece una cosa y es otra. Todo depende entonces de si la pantalla de aprobación decodifica la transacción a partir del contenido exacto que está por firmar, o si sólo repite una descripción que le pasó la aplicación.

Lo que te cuesta la autocustodia

Ésta es la parte que las páginas de marketing se saltan. Mover la clave a tu lado mueve la responsabilidad con ella.

• No hay restablecimiento. Nadie puede devolverte una contraseña que nunca tuvo ni descifrar un texto cifrado que no puede leer. Si pierdes todas tus formas de desbloquear la clave, los fondos no quedan congelados: quedan perdidos para siempre, y siguen visibles en la cadena como recordatorio.
• No hay reversa. Una transacción enviada a la dirección equivocada o aprobada por error es definitiva. No hay contracargo ni fila de soporte.
• Aprobar sólo te protege si lees. Una ventana de firma que aceptas sin mirar es exactamente igual de segura que entregar la clave, y quien ataca sabe que aceptar sin mirar es la conducta por defecto.
• Necesitas más de una forma de entrar. Una contraseña en un dispositivo es un punto único de falla sin respaldo. Varios métodos de desbloqueo — un segundo dispositivo, una llave de acceso, un respaldo anotado — convierten un teléfono perdido en una molestia en vez de una pérdida.

Dónde está la línea en la práctica

Casi ningún producto es puramente una cosa, y la razón honesta vale la pena decirla claro: cualquier cosa que actúe mientras duermes necesita una clave que pueda actuar sin ti. Estrategias automáticas, copiar operaciones, órdenes programadas, coberturas que se ponen solas: todas requieren o bien una clave guardada en un lugar que no es tu bolsillo, o un permiso delegado que se comporta como tal.

Eso no vuelve malas a esas funciones. Las vuelve un arreglo distinto, y por lo tanto cambian las preguntas: qué tiene permitido hacer esa clave que actúa, si está limitada a contratos e importes concretos, si caduca, si puedes revocarla en una sola acción, y cuánto dinero hay detrás. Un producto que se describe como sin custodia mientras corre automatismos por ti te está contando una parte de sí mismo. Pregunta cuál.

Las cinco preguntas que ponen a prueba cualquier promesa

1. ¿Dónde corre el código que firma? Si es el mismo origen que la aplicación, la aplicación puede leer la clave. Un origen aparte, una extensión o un dispositivo físico son una respuesta materialmente distinta.
2. ¿Ese código es abierto, y lo desplegado coincide con él? Que sea de código abierto no prueba nada sobre los bytes que realmente se sirven. Lo que sí lo prueba es una compilación que puedas reproducir y un manifiesto de hashes que puedas comparar contra el sitio en vivo, tomando el manifiesto de referencia de tu copia, no del sitio que estás examinando.
3. ¿Qué muestra la pantalla de aprobación? Debería decodificar destinatario, importe y activo a partir del contenido que va a firmar, y enseñar el dato crudo si lo pides. Si muestra una descripción amable que le pasó la aplicación, te está mostrando la palabra de la aplicación.
4. ¿Qué guarda el servidor? Texto cifrado que no puede descifrar está bien. Material de clave, frases semilla, o una contraseña que llegue al servidor siquiera, no.
5. ¿Puedes irte? Exporta la clave y gasta los fondos con software que no tenga nada que ver con la plataforma. Si eso es imposible, entonces diga lo que diga la etiqueta, no puedes actuar solo — y actuar solo es todo el punto.

La quinta pregunta es la que zanja discusiones. Todo lo anterior es evidencia; ésa es una prueba que puedes correr de verdad.