Seguridad sin teatro.
Los sistemas de custodia más sólidos son intencionalmente discretos. Por capas, redundantes y diseñados para fallar de forma segura.
No publicamos detalles de seguridad para impresionarte. Construimos sistemas que funcionan, los verificamos de forma independiente y compartimos lo que te ayuda a evaluarnos sin ayudar a los atacantes.
Cómo custodiamos bitcoin
Principalmente almacenamiento en frío
La gran mayoría del bitcoin de los clientes se mantiene en almacenamiento en frío, completamente desconectado. Solo lo necesario para operaciones inmediatas toca sistemas conectados.
Arquitectura multifirma
Mover bitcoin requiere múltiples aprobaciones independientes. Ninguna clave, persona o sistema puede autorizar una transferencia solo. Las claves están distribuidas entre roles y ubicaciones.
Distribución geográfica
Los componentes críticos están distribuidos en diferentes jurisdicciones. Ningún fallo en una ubicación puede comprometer el acceso a los activos de los clientes.
Módulos de seguridad de hardware
Las operaciones criptográficas ocurren en hardware especializado diseñado para resistir manipulación y extracción. Las claves nunca existen en memoria expuesta.
Modelo de confianza cero
Cada solicitud de acceso se verifica, independientemente del origen. Ningún usuario, dispositivo o sistema es confiable por defecto. La autenticación y autorización son continuas, no eventos únicos.
Monitoreo continuo
Sistemas automatizados monitorean patrones de actividad las 24 horas. Las anomalías activan alertas y, cuando es apropiado, retenciones protectoras. Sigue la revisión humana. El monitoreo es continuo.
Protegiendo tu cuenta
Autenticación con passkey
Inicia sesión con biometría o llaves de hardware. Sin contraseñas que robar o suplantar. Tu dispositivo demuestra quién eres.
Protección de retiros
Establece tus propios límites de retiro y períodos de espera. Una vez habilitados, estos límites no se pueden aumentar o desactivar instantáneamente. Los cambios requieren un período de espera antes de entrar en vigor, dándote tiempo para reaccionar si algo está mal.
Destinos guardados
Mantén una lista de direcciones de confianza que controlas. Los retiros a destinos guardados proceden sin demoras. Las nuevas direcciones requieren verificación adicional y períodos de espera antes de completar las transferencias. Incluso si alguien accede a tu cuenta, no puede redirigir bitcoin a direcciones desconocidas.
Gestión de sesiones
Las sesiones activas son visibles y revocables. Puedes ver dónde has iniciado sesión y cerrar sesiones que no reconoces.
Notificaciones de actividad
Las acciones sensibles activan alertas. Sabrás si algo sucede en tu cuenta que no iniciaste.
Disciplina operacional
Los controles técnicos importan, pero la seguridad depende en última instancia de cómo opera una organización.
Separación de funciones
Ninguna persona puede completar operaciones sensibles sola. Diferentes roles tienen diferentes piezas. La colusión requeriría coordinar entre múltiples partes independientes.
Acceso con privilegio mínimo
Las personas solo tienen acceso a lo que su rol requiere. El acceso permanente a sistemas sensibles se minimiza. Cuando se necesita acceso elevado, se otorga temporalmente y se registra.
Procedimientos definidos
Las operaciones críticas siguen procedimientos documentados, no improvisación. Cuando llega la presión, seguimos el manual.
Verificación de antecedentes
Los miembros del equipo en roles sensibles pasan verificaciones de antecedentes apropiadas. La confianza se verifica, no se asume.
Cómo mantenemos la disciplina
Cualquiera puede escribir políticas. La pregunta es si esas políticas se sostienen cuando las cosas se ponen difíciles.
Mantenemos el mandato limitado
Custodia, transferencias y conversión. Eso es todo. No añadimos productos que introduzcan riesgos ocultos. Sin préstamos. Sin rendimientos. Sin ingeniería financiera.
Asumimos que quieres seguridad, no rendimientos
Nuestra suposición operativa es que preferirías tener acceso predecible a tu bitcoin que ganancias marginales por nosotros tomando riesgos con él. Si eso no es cierto para ti, probablemente no somos la opción adecuada.
Las verificaciones rutinarias detectan problemas temprano
La conciliación, el manejo de excepciones y la revisión no son solo para auditores. Son cómo detectamos problemas antes de que se conviertan en crisis.
Elegimos disciplina sobre novedad
Lo nuevo no es automáticamente mejor. Preferimos procesos repetibles, cambios medidos y estándares que podemos explicar claramente.
Divulgación responsable
Valoramos la comunidad de investigación en seguridad y damos la bienvenida a informes de posibles vulnerabilidades. Si has descubierto un problema de seguridad, queremos trabajar contigo para resolverlo de manera responsable.
Cómo reportar
Envía tu informe a security@ficha.com.
Para informes sensibles, puedes cifrar tu mensaje usando nuestra clave pública PGP.
Lo que pedimos
- Reporta el problema antes de cualquier divulgación pública
- Danos tiempo razonable para investigar y abordar el problema (típicamente 90 días)
- Evita acceder, modificar o eliminar datos de otros
- No realices acciones que puedan dañar la disponibilidad del servicio
- Actúa de buena fe para evitar violaciones de privacidad e interrupción del servicio
Lo que nos comprometemos
- Confirmar la recepción de tu informe en 48 horas
- Mantenerte informado de nuestro progreso en abordar el problema
- No emprender acciones legales contra investigadores que actúen de buena fe
- Darte crédito en cualquier divulgación pública si lo deseas (o mantener el anonimato si lo prefieres)
Recompensas por bugs
Ofrecemos recompensas monetarias por vulnerabilidades de seguridad calificadas reportadas a través de divulgación responsable. Las recompensas se determinan según la gravedad, impacto y calidad del informe.
Puerto seguro
La investigación de seguridad realizada de acuerdo con esta política se considera autorizada. No iniciaremos acciones legales contra investigadores que descubran y reporten vulnerabilidades de buena fe, incluso si acceden inadvertidamente a datos más allá de sus propias cuentas durante las pruebas.
Nuestra información de contacto de seguridad también está disponible aquí (RFC 9116 security.txt).
La seguridad es lo que hacemos, no lo que decimos. La mejor evidencia son operaciones consistentes y cuidadosas a lo largo del tiempo.
