Seguridad de la frase semilla: qué es y cómo protegerla
Una frase semilla (frase de recuperación) es una lista de 12, 20 o 24 palabras que puede recrear todas las claves de tu billetera. Cualquiera que la vea puede llevarse tus fondos, así que escríbela en papel o metal, mantenla sin conexión y en privado, y nunca la escribas en un sitio web ni se la des a nadie, ni siquiera a soporte.
¿Qué es una frase semilla?
Una frase semilla codifica un número aleatorio enorme en palabras legibles. Tu billetera deriva de ella todas las claves privadas y direcciones, para cada red que admite. La mayoría de las billeteras usan el estándar BIP39, que elige palabras de una lista fija de 2.048 palabras en inglés. Si restauras la misma frase en una billetera compatible, aparecen las mismas direcciones y saldos.
Otros nombres para lo mismo: frase de recuperación, mnemónico, frase secreta de recuperación (MetaMask), frase de respaldo, 24 palabras (Ledger).
12 vs 24 palabras (y 20)
| Formato | Seguridad | Usado por defecto en (ejemplos) |
|---|---|---|
| BIP39 de 12 palabras | 128 bits | La mayoría de las billeteras de software, p. ej. MetaMask, Trust Wallet, Phantom |
| BIP39 de 24 palabras | 256 bits | Dispositivos Ledger, Trezor Model One |
| SLIP-39 de 20 palabras (una sola parte) | 128 bits; las palabras extra guardan metadatos y suma de verificación | Trezor Safe 3 (desde junio de 2024), Safe 5, Safe 7 |
La propia guía de Trezor califica todas estas opciones como "extremadamente seguras": adivinar una frase de 12 palabras realmente aleatoria no es factible (Trezor, consultado en oct. 2026). Los riesgos reales son una frase que no fue aleatoria (un generador defectuoso) o una frase que otra persona ve. La última palabra de una frase BIP39 incluye una suma de verificación, así que un error de escritura casual suele detectarse al restaurar.
La aleatoriedad débil ha causado pérdidas reales: la falla Milk Sad en la herramienta bx seed (más de 900.000 USD, ago. 2023), el error de entropía en WebAssembly de Trust Wallet (unos 170.000 USD, abr. 2023) y el error de compilación del firmware 4.0.1 de Coldcard, explotado desde el 30 de julio de 2026 (unos 116 millones de USD según TRM Labs). Nunca uses una frase generada por un sitio web o que te haya dado otra persona.
La passphrase BIP39 ("palabra 25")
Muchas billeteras, incluidas Ledger y Trezor, te permiten añadir una passphrase opcional además de la frase semilla. Cada passphrase distinta abre una billetera completamente diferente. Te protege si alguien encuentra tu frase escrita, y Trezor afirma que neutraliza el ataque de extracción física que Kraken Security Labs demostró en sus dispositivos antiguos en enero de 2020 (The Block, ene. 2020).
- Ventaja: una frase semilla encontrada no sirve de nada por sí sola.
- Desventaja: si olvidas la passphrase, los fondos se pierden. Nadie puede restablecerla.
- Guarda la passphrase separada de la frase semilla y prueba la recuperación primero con un monto pequeño.
Cómo guardar una frase semilla
| Método | Veredicto |
|---|---|
| Papel, escrita a mano, guardada en privado | Buen punto de partida; protégela del agua y el fuego |
| Placa de metal o acero grabado | Lo mejor para tenencias a largo plazo; resiste incendios e inundaciones |
| Dos copias en lugares seguros distintos | Buena contra la pérdida; cada copia es otro lugar donde pueden encontrarla |
| Foto, captura de pantalla, notas en la nube, correo, chat | Evítalo: el malware y el robo de cuentas apuntan a esto |
| Gestor de contraseñas | Evítalo para montos importantes; se han robado y descifrado bóvedas en línea |
| Dividirla en mitades | Evítalo: debilita la seguridad; usa una passphrase, partes SLIP-39 o multisig |
Para sumas mayores, considera eliminar por completo el punto único de falla: el respaldo multiparte de Trezor (SLIP-39), una cuenta inteligente multisig como Safe, o un plan de herencia que le indique a una persona de confianza dónde está el respaldo sin darle las palabras hoy.
Estafas que buscan tu frase semilla
- Soporte falso. Cuentas en X, Telegram y Discord responden a quejas y te envían a un formulario de "validación".
- Cartas y correos. Cartas físicas con membrete falso de Ledger y Trezor exigían una verificación "obligatoria" mediante código QR (The Block, abr. 2025; BleepingComputer, feb. 2026). En septiembre de 2026, atacantes que vulneraron a Brevo, el proveedor de correo de Trezor, enviaron phishing desde la dirección real de soporte de Trezor; Trezor dio de baja el sitio en unos 20 minutos (BleepingComputer, sep. 2026).
- Apps falsas. Apps falsas de Ledger Live en Microsoft Store (unos 768.000 USD, oct. 2023) y en la Mac App Store (unos 9,5 millones de USD, abr. 2026) pedían a los usuarios "restaurar" con su frase. Consulta apps de billetera falsas.
- Dispositivos manipulados. Tarjetas de recuperación ya rellenadas en la caja, o dispositivos comprados a revendedores no oficiales. Una billetera genuina siempre genera una frase nueva para ti.
- Malware que escanea fotos. SparkCat usaba reconocimiento de texto en el propio dispositivo para encontrar fotos de frases de recuperación (The Hacker News, feb. 2025).
La regla: el único lugar donde deberías escribir tu frase semilla es la propia billetera, durante una restauración que tú iniciaste, idealmente en una billetera de hardware. Nadie legítimo te la pedirá jamás. Si crees que alguien la vio, crea una billetera nueva ahora y mueve todo.
Preguntas frecuentes
¿Una frase semilla de 12 palabras es suficientemente segura?
Sí, si la generó de forma aleatoria una billetera confiable. Una frase BIP39 de 12 palabras tiene 128 bits de seguridad, que Trezor describe como extremadamente segura. Los riesgos reales son el robo y la pérdida, no que la adivinen.
¿Cuál es la diferencia entre una frase semilla y una clave privada?
Una clave privada controla una dirección. Una frase semilla genera muchas claves privadas en muchas redes, así que respalda toda la billetera.
¿Puedo recuperar una billetera sin la frase semilla?
Solo si la billetera usa otro método de recuperación, como partes MPC, tarjetas de respaldo o una cuenta inteligente. En una billetera estándar con frase semilla, no: nadie puede restablecerla.
¿Debo usar una passphrase BIP39?
Añade una protección fuerte si alguien encuentra tu frase escrita, pero si la olvidas pierdes tus fondos. Úsala solo si puedes respaldarla de forma confiable y por separado.
¿Qué hago si escribí mi frase semilla en un sitio web?
Da por hecho que está comprometida. Crea una billetera totalmente nueva con una frase nueva en un dispositivo limpio y mueve todos los fondos de inmediato, empezando por los más valiosos.
¿Puedo guardar mi frase semilla en una caja de seguridad bancaria?
Mucha gente lo hace. Protege contra incendios y robos en casa, pero considera las demoras de acceso y quién más podría abrirla, y guarda una segunda copia en otro lugar.