Seguridad sin teatro.
Los sistemas de custodia más sólidos son intencionalmente discretos. Por capas, redundantes y diseñados para fallar de forma segura.
No publicamos detalles de seguridad para impresionarte. Construimos sistemas que funcionan, los verificamos de forma independiente y compartimos lo que te ayuda a evaluarnos sin ayudar a los atacantes.
Cómo custodiamos bitcoin
Principalmente almacenamiento en frío
La gran mayoría del bitcoin de los clientes se mantiene en almacenamiento en frío, completamente desconectado. Solo lo necesario para operaciones inmediatas toca sistemas conectados.
Arquitectura multifirma
Mover bitcoin requiere múltiples aprobaciones independientes. Ninguna clave, persona o sistema puede autorizar una transferencia solo. Las claves están distribuidas entre roles y ubicaciones.
Distribución geográfica
Los componentes críticos están distribuidos en diferentes jurisdicciones. Ningún fallo en una ubicación puede comprometer el acceso a los activos de los clientes.
Módulos de seguridad de hardware
Las operaciones criptográficas ocurren en hardware especializado diseñado para resistir manipulación y extracción. Las claves nunca existen en memoria expuesta.
Modelo de confianza cero
Cada solicitud de acceso se verifica, sin importar el origen. Ningún usuario, dispositivo o sistema es confiable por defecto. La autenticación y autorización son continuas, no eventos únicos.
Monitoreo continuo
Sistemas automatizados monitorean patrones de actividad las 24 horas. Las anomalías activan alertas y, cuando corresponde, retenciones protectoras. Sigue la revisión humana. El monitoreo es continuo.
Protegiendo tu cuenta
Autenticación con passkey
Iniciá sesión con biometría o llaves de hardware. Sin contraseñas que robar o suplantar. Tu dispositivo demuestra quién sos.
Protección de retiros
Establecé tus propios límites de retiro y períodos de espera. Una vez habilitados, estos límites no se pueden aumentar o desactivar instantáneamente. Los cambios requieren un período de espera antes de entrar en vigor, dándote tiempo para reaccionar si algo está mal.
Destinos guardados
Mantené una lista de direcciones de confianza que controlás. Los retiros a destinos guardados proceden sin demoras. Las nuevas direcciones requieren verificación adicional y períodos de espera antes de completar las transferencias. Incluso si alguien accede a tu cuenta, no puede redirigir bitcoin a direcciones desconocidas.
Gestión de sesiones
Las sesiones activas son visibles y revocables. Podés ver dónde iniciaste sesión y cerrar sesiones que no reconocés.
Notificaciones de actividad
Las acciones sensibles activan alertas. Vas a saber si algo pasa en tu cuenta que no iniciaste.
Disciplina operacional
Los controles técnicos importan, pero la seguridad depende en última instancia de cómo opera una organización.
Separación de funciones
Ninguna persona puede completar operaciones sensibles sola. Diferentes roles tienen diferentes piezas. La colusión requeriría coordinar entre múltiples partes independientes.
Acceso con privilegio mínimo
Las personas solo tienen acceso a lo que su rol requiere. El acceso permanente a sistemas sensibles se minimiza. Cuando se necesita acceso elevado, se otorga temporalmente y se registra.
Procedimientos definidos
Las operaciones críticas siguen procedimientos documentados, no improvisación. Cuando llega la presión, seguimos el manual.
Verificación de antecedentes
Los miembros del equipo en roles sensibles pasan verificaciones de antecedentes apropiadas. La confianza se verifica, no se asume.
Cómo mantenemos la disciplina
Cualquiera puede escribir políticas. La pregunta es si esas políticas se sostienen cuando las cosas se ponen difíciles.
Mantenemos el mandato limitado
Custodia, transferencias y conversión. Eso es todo. No agregamos productos que introduzcan riesgos ocultos. Sin préstamos. Sin rendimientos. Sin ingeniería financiera.
Asumimos que querés seguridad, no rendimientos
Nuestra suposición operativa es que preferirías tener acceso predecible a tu bitcoin que ganancias marginales por nosotros tomando riesgos con él. Si eso no es así para vos, probablemente no somos la opción adecuada.
Las verificaciones rutinarias detectan problemas temprano
La conciliación, el manejo de excepciones y la revisión no son solo para auditores. Son cómo detectamos problemas antes de que se conviertan en crisis.
Elegimos disciplina sobre novedad
Lo nuevo no es automáticamente mejor. Preferimos procesos repetibles, cambios medidos y estándares que podemos explicar claramente.
Divulgación responsable
Valoramos la comunidad de investigación en seguridad y damos la bienvenida a informes de posibles vulnerabilidades. Si descubriste un problema de seguridad, queremos trabajar con vos para resolverlo de manera responsable.
Cómo reportar
Enviá tu informe a security@ficha.com.
Para informes sensibles, podés cifrar tu mensaje usando nuestra clave pública PGP.
Lo que pedimos
- Reportá el problema antes de cualquier divulgación pública
- Danos tiempo razonable para investigar y abordar el problema (típicamente 90 días)
- Evitá acceder, modificar o eliminar datos de otros
- No realices acciones que puedan dañar la disponibilidad del servicio
- Actuá de buena fe para evitar violaciones de privacidad e interrupción del servicio
Lo que nos comprometemos
- Confirmar la recepción de tu informe en 48 horas
- Mantenerte informado de nuestro progreso en abordar el problema
- No emprender acciones legales contra investigadores que actúen de buena fe
- Darte crédito en cualquier divulgación pública si lo querés (o mantener el anonimato si lo preferís)
Recompensas por bugs
Ofrecemos recompensas monetarias por vulnerabilidades de seguridad calificadas reportadas a través de divulgación responsable. Las recompensas se determinan según la gravedad, impacto y calidad del informe.
Puerto seguro
La investigación de seguridad realizada de acuerdo con esta política se considera autorizada. No vamos a iniciar acciones legales contra investigadores que descubran y reporten vulnerabilidades de buena fe, incluso si acceden inadvertidamente a datos más allá de sus propias cuentas durante las pruebas.
Nuestra información de contacto de seguridad también está disponible acá (RFC 9116 security.txt).
La seguridad es lo que hacemos, no lo que decimos. La mejor evidencia son operaciones consistentes y cuidadosas a lo largo del tiempo.
