Bitaigen Research Title: 🔥 OneKey Wallet: Seguridad con 24 palabras + Passphrase – Análisis 2024
Conclusión inmediata
Revelar las 24 palabras de recuperación de un hardware wallet no implica perder todos tus fondos si utilizas la función de Passphrase (también conocida como “billetera oculta”). En el experimento presentado en el video de *LittleStone小石*, el creador muestra cómo, aun con sus 24 palabras expuestas en público, los 73 USD almacenados en la billetera oculta permanecen inaccesibles para cualquier atacante que no conozca la frase secreta adicional. La Passphrase actúa como una *quinta palabra* que, combinada con la semilla original, genera un conjunto totalmente diferente de claves privadas y direcciones. Por lo tanto, la seguridad de la billetera oculta depende exclusivamente de la confidencialidad de esa frase extra, no de la exposición del mnemonico estándar.
Evidencia y desarrollo del concepto
1. ¿Cómo funciona BIP‑39 y dónde entra la Passphrase?
- Semilla maestra: Las 24 palabras (mnemonic) siguen el estándar BIP‑39. Al introducirlas en el dispositivo, se deriva una *semilla maestra* mediante la función PBKDF2‑HMAC‑SHA512.
- Passphrase como “25ª palabra”: Cuando se añade una Passphrase, el algoritmo vuelve a aplicar PBKDF2‑HMAC‑SHA512, pero esta vez usando la semilla maestra como clave y la Passphrase como *sal*. El resultado es una nueva semilla que genera un árbol de claves completamente distinto.
- Billetera “estándar” vs “oculta”:
- *Billetera estándar*: 24 palabras → Direcciones A.
- *Billetera oculta*: 24 palabras + Passphrase → Direcciones B.
Cada Passphrase distinta crea una billetera independiente. Por eso, aunque un atacante conozca las 24 palabras, solo podrá acceder a la billetera estándar; la oculta seguirá fuera de su alcance.
2. Demostración práctica con OneKey
El video muestra paso a paso lo que ocurre al intentar robar los fondos:
- Exposición del mnemonico: El creador escribe sus 24 palabras en cámara.
- Intento de acceso: Un “hacker” introduce esas palabras en otro OneKey (o en una herramienta de recuperación) sin la Passphrase.
- Resultado: Aparecen direcciones con saldo cero o con una pequeña cantidad de prueba (en el caso del video, 0 USD).
- Acceso a la billetera oculta: Solo cuando se escribe la Passphrase correcta (“OneKeySecret2024”) el dispositivo muestra las direcciones que contienen los 73 USD.
Este experimento confirma que la Passphrase actúa como una capa de seguridad que no se deriva de las 24 palabras, sino que se agrega externamente.
3. Beneficios de seguridad concretos
Aspecto | Sin Passphrase | Con Passphrase
Robo de mnemonico | Acceso total a todas las cuentas derivadas. | Sólo a la billetera estándar; la oculta permanece bloqueada.
Phishing / Ingeniería social | El atacante sólo necesita la frase. | Necesita la frase y la Passphrase, duplicando la dificultad.
Pérdida o daño del dispositivo | Recuperación mediante 24 palabras en cualquier wallet compatible. | Recuperación de la billetera estándar, pero la oculta solo si se recuerda la Passphrase.
Gestión de riesgos | Un solo punto de fallo. | Dos factores independientes; si una capa se compromete, la otra sigue segura.
4. Pasos para habilitar y usar la Passphrase en OneKey
- Configurar la billetera estándar
- Inserta el OneKey en tu computadora o móvil.
- Sigue el asistente para generar o importar las 24 palabras.
- Activar la opción “Billetera oculta”
- En el menú principal, selecciona *Seguridad → Passphrase*.
- Elige “Crear Passphrase”.
- Definir la Passphrase
- Escribe una frase única, preferiblemente larga y sin patrones fáciles de adivinar.
- Confirma la frase ingresándola dos veces.
- Probar la recuperación
- Desconecta el dispositivo y vuelve a conectarlo.
- Selecciona “Restaurar con Passphrase”.
- Introduce primero las 24 palabras y, a continuación, la Passphrase.
- Verifica que aparecen las direcciones esperadas y que el saldo coincide.
- Almacenar la Passphrase de forma segura
- No la guardes junto a las 24 palabras.
- Usa un gestor de contraseñas seguro o anótala en papel guardado en una caja fuerte.
5. Limitaciones y consideraciones
- Pérdida de la Passphrase: Si olvidas la frase, los fondos de la billetera oculta se vuelven irrecuperables, incluso con las 24 palabras.
- Compatibilidad: No todos los software wallets soportan la Passphrase de la misma forma; verifica siempre la documentación oficial de OneKey (
https://support.onekey.so). - Ataques de fuerza bruta: Aunque la Passphrase aumenta la entropía, una frase corta y predecible puede ser vulnerada mediante ataques de diccionario. Se recomienda usar al menos 12 caracteres, combinando letras, números y símbolos.
Preguntas Frecuentes
Q1: ¿Qué pasa si alguien obtiene mis 24 palabras y también mi Passphrase?
A: En ese caso, el atacante tendría acceso total a ambas billeteras (estándar y oculta). Por eso es esencial que la Passphrase se almacene de forma independiente y se proteja con la misma rigurosidad que el mnemonico.
Q2: ¿Puedo usar distintas Passphrases para crear múltiples billeteras ocultas?
A: Sí. Cada Passphrase distinta genera un árbol de claves único, lo que permite crear “billeteras anidadas”. Sin embargo, gestionar muchas Passphrases aumenta la complejidad y el riesgo de olvidar alguna.
Q3: ¿La Passphrase afecta al proceso de respaldo o a la frase de recuperación?
A: No. La frase de recuperación (las 24 palabras) sigue siendo la misma. La Passphrase simplemente se añade como un factor adicional durante la generación de la semilla. Por lo tanto, el respaldo de las 24 palabras sigue siendo válido para la billetera estándar; la ocultă depende exclusivamente de la Passphrase.
Antecedentes y contexto técnico
1. Evolución de los hardware wallets
Los dispositivos de hardware, como Ledger, Trezor y OneKey, surgieron para aislar las claves privadas del entorno en línea. Con el tiempo, se añadieron funcionalidades avanzadas (multisig, gestión de apps, etc.) y, entre ellas, la Passphrase como medida de defensa contra la exposición del mnemonico.
2. El estándar BIP‑39
BIP‑39 (Bitcoin Improvement Proposal 39) define cómo generar una lista de palabras (12, 18 o 24) que representa una entropía de 128‑256 bits. Esta lista se transforma en una semilla a través de PBKDF2‑HMAC‑SHA512 con 2048 iteraciones y una “sal” opcional: la Passphrase. La inclusión de la Passphrase aumenta la entropía en al menos 256 bits adicionales, lo que hace impracticable cualquier ataque de fuerza bruta con la tecnología actual.
3. Por qué OneKey destaca en el uso de Passphrase
OneKey implementa la Passphrase de forma offline: la frase nunca sale del dispositivo; solo se introduce mediante la pantalla y el teclado del propio hardware. Además, permite desactivar la detección automática de la billetera oculta al conectar el dispositivo, de modo que, sin la Passphrase, el dispositivo parece no tener ninguna cuenta oculta (funcionalidad mostrada en el video). Esta característica reduce la superficie de ataque frente a malware que intente leer la configuración del dispositivo.
4. Buenas prácticas recomendadas
- Separación de información: Mantén las 24 palabras y la Passphrase en lugares diferentes.
- Longitud y complejidad: Utiliza una Passphrase de al menos 12 caracteres, combinando mayúsculas, minúsculas, números y símbolos.
- Pruebas regulares: Cada 3‑6 meses, verifica que puedes restaurar ambas billeteras en un dispositivo de prueba.
- Actualizaciones de firmware: Mantén el OneKey actualizado para beneficiarte de mejoras de seguridad y correcciones de vulnerabilidades.
Resumen final
La demostración de *LittleStone小石* ilustra de forma clara que la exposición pública de las 24 palabras de un hardware wallet no compromete los fondos protegidos por una Passphrase. La Passphrase actúa como una capa adicional de entropía que genera una billetera independiente, manteniendo los activos seguros siempre que la frase secreta se gestione con el mismo rigor que la frase de recuperación. Adoptar esta práctica en OneKey (y en cualquier hardware wallet compatible) es una medida de seguridad altamente recomendada para usuarios que manejan cantidades significativas o que buscan una defensa robusta contra el robo de mnemonics.
Plataformas Recomendadas
Si buscas un exchange confiable para operar:
- Binance — El exchange de criptomonedas más grande del mundo, con más de 350 pares de trading. Regístrate aquí con el código B2345 para descuentos en comisiones
- OKX — Plataforma profesional de derivados y wallet Web3 integrado. Regístrate aquí con el código B2345 para beneficios de nuevo usuario
