Cómo comprobar una copia de seguridad de la frase semilla sin introducirla online
Una forma práctica y offline de comprobar una copia BIP39, entender los límites del checksum y evitar exponer las palabras de recuperación en una web.
Puedes comprobar una copia de seguridad de tu frase semilla sin escribirla en una web. Utiliza la función de comprobación que ofrezca el fabricante de tu cartera o realiza una recuperación de prueba offline en un entorno controlado. El número de palabras y el checksum de BIP39 pueden detectar algunos errores de transcripción, pero no demuestran que la copia controle la cartera que esperas. No pegues nunca una frase de recuperación en un formulario web, una nota en la nube, un buscador, una captura de pantalla o una herramienta online que prometa “validarla”.
Qué demuestra una comprobación y qué no
Una mnemotecnia BIP39 se construye a partir de entropía inicial y un checksum. La especificación BIP39 define las longitudes habituales de 12, 15, 18, 21 y 24 palabras y explica cómo se calcula el checksum. También advierte de que es corto: algunos errores aleatorios pueden superarlo y no sirve para decir qué palabra está mal. Por eso, una frase con un checksum válido es una candidata bien formada, pero no demuestra que sea la copia de tu cartera.
La prueba más completa es recuperar la cartera. Un software compatible debe derivar la misma cuenta pública o dirección de recepción a partir de la copia. Si utilizaste una passphrase opcional de BIP39, ese dato también forma parte del procedimiento. Una frase correcta con una passphrase ausente o mal escrita puede abrir otra cartera válida, a menudo sin fondos. Trata la frase y cualquier passphrase como secretos separados y comprueba ambos mediante el procedimiento documentado de la cartera.
El orden más seguro para comprobar una copia
1. Prepara un entorno privado y controlado
Trabaja donde nadie pueda ver las palabras. Aleja móviles, cámaras, herramientas para compartir pantalla, gestores de contraseñas y asistentes de voz. No fotografíes ni escanees la copia. Si necesitas un ordenador para una recuperación de prueba, utiliza un equipo de confianza, quita el software innecesario y desconéctalo de internet antes de introducir cualquier secreto. Un dispositivo sin conexión reduce la exposición online, pero no convierte en seguro un software que no conoces: utiliza el software y el firmware del fabricante o de un proyecto que hayas verificado por otra vía.
No hagas la primera prueba con una cartera que tenga fondos. Prepara un dispositivo de repuesto o restablecido, o una cartera de prueba destinada a la recuperación. Conserva aparte la dirección pública de la cartera que vas a comparar; una dirección pública se puede compartir, pero las palabras que la controlan no.
2. Usa la comprobación del propio dispositivo
Algunas carteras físicas permiten confirmar la copia en el dispositivo sin exponer las palabras a una web. Sigue las instrucciones actuales del fabricante e introduce las palabras únicamente en la pantalla de confianza del dispositivo. Por ejemplo, Trezor documenta la función Check backup en Trezor Suite y también indica que no se deben escribir las palabras en una aplicación o web para verificarlas. Consulta las instrucciones del modelo y formato concretos antes de empezar: BIP39 y SLIP39 son formatos distintos, y una copia SLIP39 de 20 palabras no es intercambiable con una frase BIP39.
La comprobación del dispositivo es útil porque puede validar la copia frente a la cartera sin enviar las palabras a un servicio remoto. Aun así, debes proteger el dispositivo, revisar lo que confirmas y mantener la copia en privado. Si el dispositivo informa de un error, detente y revisa el formato y el orden exactos en vez de probar correcciones al azar.
3. Confirma la recuperación con un dispositivo de prueba
Si no existe una función de comprobación específica, restaura un dispositivo de prueba mediante el procedimiento oficial del fabricante. Cuando sea posible, introduce las palabras directamente en el dispositivo. Restaura el mismo tipo de cuenta y las rutas de derivación indicadas por la cartera. Si utilizaste una passphrase BIP39, compruébala por separado y documenta cómo se relaciona con esta cartera sin escribir el secreto en una nota conectada.
Después de la recuperación, compara una dirección pública de recepción conocida con la que guardaste antes de la prueba. No uses una dirección acortada ni una copia cuya procedencia no puedas confirmar. Si la dirección no coincide, detente: una palabra ausente, un orden incorrecto, otra lista de palabras, una ruta de derivación distinta o una passphrase pueden producir otra cartera válida. No muevas fondos hasta entender la causa.
Esta prueba demuestra que la copia puede reproducir la cartera esperada en esa implementación. No garantiza que todas las aplicaciones utilicen las mismas rutas de cuenta o admitan la misma lista de palabras. Mantén aislado el dispositivo de prueba hasta terminar de borrar los datos temporales de recuperación y volver a tu configuración habitual.
Atajos que debes evitar
Evita las webs y herramientas del navegador que te pidan pegar una frase para “comprobar” si es válida. El sitio puede guardar las palabras, exponerlas mediante registros o analítica, o ser sustituido por una página de phishing. La misma advertencia se aplica al correo, las aplicaciones de mensajería, los discos en la nube, los formularios online, las capturas y los chats de soporte. Un soporte legítimo no necesita tu frase; quien la pide está pidiendo el control de la cartera.
No publiques una frase real como ejemplo. Utiliza vectores de prueba documentados solo en desarrollo y mantenlos separados de cualquier cartera que haya tenido fondos. Tampoco supongas que un checksum correcto significa que la copia está completa: el checksum de BIP39 sirve para detectar errores, no para demostrar recuperación o propiedad.
Cómo se aplica a SeedAddress
SeedAddress utiliza un flujo determinista diferente. El navegador deriva una mnemotecnia a partir de las coordenadas seleccionadas, la contraseña, el idioma y el número de palabras. No añade entropía aleatoria, por lo que un resultado de 24 palabras no garantiza 256 bits de seguridad. La dirección seleccionada es pública y el mínimo de cinco caracteres se conserva por compatibilidad heredada; no es una recomendación para una contraseña nueva.
Para conservar un resultado de SeedAddress, guarda una copia offline independiente de la frase y de las entradas necesarias para reproducirla. No introduzcas una frase existente en SeedAddress ni en ninguna otra web. Si necesitas reproducir una frase creada con SeedAddress, consulta la guía de recuperación y verifica la dirección pública resultante con una cartera de confianza. La contraseña de SeedAddress es una entrada de su derivación determinista; no es automáticamente la passphrase BIP39 de la cartera que utilices después. La guía sobre la passphrase BIP39 explica esta diferencia.
Si la comprobación falla
Conserva el dispositivo original si todavía permite acceder a la cartera y no lo borres mientras la copia no esté verificada. Comprueba el número de palabras, el idioma y el formato frente a la documentación del fabricante; después revisa en privado el orden escrito. Nunca intentes adivinar usando herramientas online. Si la cartera original sigue disponible, conserva el dispositivo y sigue el procedimiento documentado por el fabricante para comprobar la copia de ese modelo. No lo borres ni restablezcas, y no crees una cartera nueva como atajo para una copia sin verificar. Una migración a otra cartera sería un proceso separado que empezaría con una semilla nueva y queda fuera de esta comprobación.
Una copia verificada es la que puedes recuperar mediante un proceso controlado y documentado manteniendo las palabras offline. Esa prueba aporta más que una web que diga que una frase “parece válida”.