Las 5 mejores estrategias de seguridad para wallets DeFi en 2025

Los ataques off-chain representaron el 80.4% de los fondos perdidos en 2024, y la mayoría de esos casos se originaron en cuentas comprometidas. Hoy, la seguridad de las wallets es el campo de batalla crítico para proteger los activos digitales mientras DeFi sigue creciendo.

En esta guía, repasaremos los fundamentos de las wallets DeFi seguras y qué estrategias puedes implementar para proteger mejor a tus usuarios, basándonos en nuestra experiencia dando soporte a las principales plataformas DeFi con la infraestructura blockchain de Alchemy.

Entendiendo las smart wallets en DeFi

Las Smart Wallets son cuentas programables controladas por lógica de contratos inteligentes en lugar de una sola clave privada (lo que se conoce como el modelo de cuentas de propiedad externa o EOA). A diferencia de las wallets de criptomonedas tradicionales, que dependen de firmas criptográficas y de que el usuario proteja su seed phrase, las Smart Wallets habilitan funciones avanzadas como recuperación de cuenta, límites de gasto y protocolos de seguridad automatizados.

El punto clave aquí es este: las Smart Wallets representan la evolución de las wallets DeFi, desde la simple gestión de claves hasta sistemas de cuenta inteligentes. Alchemy da soporte a los desarrolladores de Smart Wallets con Gas Manager para el patrocinio de gas, Bundler para el agrupamiento de user operations, y RPC y Data APIs.

Cuentas de propiedad externa vs. cuentas inteligentes

El mercado muestra una demanda clara hacia la programabilidad y la mejor UX de las Smart Wallets. En un estudio reciente, el 35% de los usuarios de wallets indica que la seguridad es su principal preocupación, y las wallets de recuperación social crecieron un 44% interanual.

A medida que más usuarios retail llegan a onchain, esta demanda de recuperación social, programabilidad y una UX más segura solo va a crecer, y las Smart Wallets son la infraestructura que habilita esa mejor experiencia. Pero antes de hablar del poder de esa programabilidad y de cómo las Smart Wallets pueden mejorar la seguridad, retrocedamos y demos un vistazo general a los tipos de wallets que existen hoy en el mercado.

Hot, cold, multi-sig y MPC explicados

En el mundo de las cuentas de propiedad externa, hay algunos conceptos que vale la pena desglosar porque impactan directamente en la seguridad de las wallets.

Las hot wallets almacenan las claves privadas en línea para un acceso inmediato. Son ideales para el trading diario porque puedes interactuar con estas apps directamente desde tu navegador, pero al mismo tiempo estas wallets son vulnerables a ataques remotos (si puedes interactuar fácilmente con internet, entonces internet también puede interactuar fácilmente, y posiblemente explotar, tu wallet). Aquí entran Metamask, Phantom y otras extensiones de navegador.

Las cold wallets mantienen las claves completamente fuera de línea, lo que ofrece una seguridad ideal para el almacenamiento a largo plazo. Si el 70% de los fondos cripto robados proviene de claves privadas/seed phrases comprometidas, mantener esa información offline mejora considerablemente tu seguridad. Sin embargo, esa mayor seguridad viene con una UX peor. Para interactuar con apps, necesitas conectar este dispositivo de hardware a un dispositivo con conexión a internet (tu computadora), ingresar contraseñas y completar varios pasos para una transacción que con una hot wallet tomaría solo un par de clics. Entre las cold wallets están Ledger, Trezor, y otras.

Las wallets multifirma (multi-sig) requieren múltiples firmas para autorizar transacciones, eliminando los puntos únicos de falla. En los ejemplos anteriores, un solo usuario puede aprobar transacciones de envío, pero con multi-sig necesitas la aprobación de una mayoría de firmantes antes de que una transacción se ejecute. Por ejemplo, una configuración 2-de-3 significa que se necesitan dos firmas de tres claves posibles para que la transacción se ejecute. Esto mejora la seguridad porque, si una clave se ve comprometida, los fondos en esa wallet permanecen a salvo porque la mayoría de firmantes sigue siendo honesta. Sin embargo, esto también implica un trade-off en la UX, ya que las transacciones tardan más, simplemente porque varias partes deben aprobar cada transacción.

Las wallets MPC (Multi-Party Computation) combinan lo mejor de ambos mundos, ofreciendo la mayor seguridad de una wallet multisig junto con la mejor UX de una hot wallet. Con las wallets MPC, la clave privada se fragmenta entre varios dispositivos o servidores, de modo que ningún dispositivo por sí solo posee la clave completa. Así, incluso si un fragmento se ve comprometido o se pierde, los fondos en esa wallet no pueden vaciarse ni perderse. Una implementación común aquí es que la propiedad de los fragmentos se divide entre el usuario de la app y la app misma, de modo que si el usuario pierde su clave, la app puede ayudarlo a recuperar el acceso a su cuenta (de manera similar a cómo funcionan hoy las cuentas Web2).

¿Por qué falla la seguridad de las wallets en DeFi?

La naturaleza permissionless de DeFi crea vectores de ataque únicos que los modelos de seguridad tradicionales no pueden abordar. Entender estos modos de falla es crucial para implementar contramedidas efectivas, razón por la cual Alchemy ha desarrollado un conjunto integral de herramientas de seguridad para abordar cada vulnerabilidad.

Ataques off-chain y estadísticas de phishing

El informe de seguridad 2025 de Halborn revela que el 80.5% de las pérdidas en DeFi provienen de ataques off-chain y no de exploits en contratos inteligentes. Los tres vectores de phishing más comunes incluyen:

• Airdrops falsos que engañan a los usuarios para que firmen transacciones maliciosas
• Extensiones de navegador maliciosas que interceptan y modifican los datos de transacciones
• Sitios réplica que capturan claves privadas mediante interfaces convincentes

En la raíz de este problema está el simple hecho de que la mayoría de las wallets están controladas por una sola clave, así que en cuanto esa clave se ve comprometida, todos los fondos asociados a ella pueden moverse a voluntad.

"DeFi es como un banco sin servicio al cliente: nadie te va a salvar si algo sale mal", advierte Sovic Chakrabarti en un análisis de seguridad reciente. Esa realidad está cambiando gracias a las Smart Wallets, pero hasta que la mayoría de los proveedores de wallets adopten este modelo de cuentas inteligentes, esta realidad se mantiene vigente.

Gestión de aprobaciones de tokens

Para interactuar con DeFi, los usuarios muchas veces tienen que "aprobar" que un contrato inteligente interactúe con sus activos. Un problema es que los usuarios a menudo no revocan ese acceso una vez que terminan de usar la app, lo que deja la puerta abierta a exploits de contratos que pueden vaciar esas wallets conectadas. Una investigación de Georgia Tech muestra que solo el 10.8% de los usuarios revisa regularmente las aprobaciones sin usar.

Dos incidentes importantes de 2024 ilustran este riesgo: el exploit de Radiant Capital vació $50M a través de aprobaciones comprometidas, mientras que múltiples ataques de "approval farming" apuntaron a usuarios que habían otorgado permisos ilimitados a contratos maliciosos.

Una higiene de aprobaciones automatizada, revocando regularmente los permisos sin usar, ofrece la defensa más efectiva contra estos ataques de drenaje. Los equipos pueden usar herramientas de monitoreo de aprobaciones y de revocación automatizada para gestionar estos permisos.

La falsa sensación de seguridad de la autenticación en dos pasos y las auditorías de contratos

Muchos usuarios suelen tener una falsa sensación de seguridad cuando se trata de cripto, y eso puede deberse a varias razones. Algunos usuarios asocian cripto con seguridad. Otros tienen 2FA configurado en su rampa de entrada/salida a moneda fiat y no entienden que un bug en un contrato puede vaciar su wallet con la misma facilidad. Otros ven que un contrato inteligente ha sido auditado y asumen que es infalible.

En el mundo de DeFi, conviene ser precavido y tratar este espacio como un entorno zero-trust, donde toda transacción o mensaje debe verificarse, todo popup debe considerarse sospechoso, y todo usuario debe actuar con cautela.

Principales estrategias de seguridad DeFi con Smart Wallets

Con estos problemas de seguridad en el espacio, ¿qué puedes hacer para ofrecer un entorno más seguro donde tus usuarios transaccionen? En Alchemy, llevamos más de 7 años construyendo infraestructura blockchain y damos soporte a las principales plataformas DeFi con RPC, Data APIs, Gas Manager y Bundler. Aquí van algunos tips y tácticas que puedes llevar a tu propia aplicación y stack de wallets.

1. Gestión de claves en múltiples capas

La mayor parte del riesgo proviene del modelo de wallet de una sola clave con cuentas de propiedad externa. De los protocolos hackeados, solo el 19% usaba wallets multisig y solo el 2% cold wallets. Migrar tu app para habilitar rotación de claves, multi-firma, whitelisting de contratos e integración de passkeys es el primer paso.

Pasos de implementación:

• Desplegar una Smart Wallet
• Habilitar login biométrico o autenticación multifactor para un inicio de sesión más seguro
• Delegar permisos para acciones y usuarios específicos mediante session keys
• Habilitar mecanismos de recuperación de cuenta fluidos

Este enfoque elimina los puntos únicos de falla sin sacrificar la usabilidad. Alchemy ofrece RPC y Data APIs, patrocinio de gas a través de Gas Manager, y agrupamiento de user operations a través de Bundler para aplicaciones de Smart Wallets.

2. Automatiza la higiene de aprobaciones de tokens

Si necesitas aprobar contratos para que operen en nombre de tu wallet, considera configurar automatizaciones o procesos para revocar regularmente esa aprobación, ya sea a diario o semanalmente. Esto limita tus ventanas de exposición a exploits de contratos.

Prácticas recomendadas:

• Establecer revisiones semanales para evaluar a qué apps está conectada tu wallet
• Auto-revocar aprobaciones después de 30 días de inactividad
• Usar herramientas como Revoke.cash para gestión masiva
• Monitorear eventos de aprobación mediante dashboards de wallet
• Limitar las aprobaciones iniciales a montos específicos en lugar de gasto ilimitado

3. Simulación de transacciones con enfoque zero-trust

La verificación zero-trust significa que no das nada por sentado. El espíritu de cripto es "confía, pero verifica", y deberías aplicar ese principio a cada transacción que ejecutes onchain. Un cliente redujo sus incidentes de seguridad en un 76% en 3 meses aplicando este enfoque. Esto implica cosas como:

• Verificar cruzadamente cualquier dirección onchain con la que interactúes
• Revisar las URLs de dominio antes de interactuar con una hot wallet
• Revisar cualquier mensaje o interacción de contrato antes de firmar y realizar esa acción
• Aislar tus sistemas de gestión de wallets, y configurar 2FA/autenticación biométrica para todos los que tengan acceso a esos sistemas
• Usar herramientas como simuladores de transacciones para probar transacciones antes de ejecutarlas onchain

4. Recuperación social con salvaguardas

La recuperación social permite que guardianes de confianza restauren el acceso a una wallet sin exponer las claves privadas. Un ejemplo común aquí sería una aplicación ayudando a restaurar el acceso de un usuario a su cuenta. Al pensar en cómo configurar este flujo, ten en cuenta estas salvaguardas:

• Requerir la aprobación de 2 de 5 guardianes para la recuperación
• Implementar bloqueos temporales de 48 horas para las acciones de recuperación
• Usar tipos de guardianes diversos (una combinación de hardware, móvil, contactos de confianza)
• Habilitar la rotación de guardianes sin requerir migración de wallet

Ejemplo de flujo: el usuario pierde su dispositivo → inicia el proceso de recuperación → 2 guardianes aprueban la solicitud → hay un retraso de 48 horas durante el cual el usuario puede disputar o impugnar el proceso → si no hay impugnación, se restaura el acceso a la wallet. Esto previene tanto la pérdida como el acceso no autorizado.

5. Diversificación de chains y segmentación de direcciones

Distribuir los activos entre distintas chains y múltiples direcciones puede ayudar a reducir el radio de impacto de cualquier compromiso individual. Es el clásico "no pongas todos los huevos en la misma canasta", llevado a la práctica en cripto. Una forma de pensar esto es con una división como:

1. Wallet de trading: una hot wallet para la actividad DeFi diaria onchain (10% de los activos)
2. Almacenamiento en frío: una wallet asegurada por hardware para tenencias a largo plazo que no se mueven con frecuencia (80% de los activos)
3. Wallet experimental: un entorno de pruebas aislado para nuevas apps o chains (10% de los activos)

Para quienes construyen apps, puedes pensar en una rotación similar entre float (activos que necesitan ser líquidos y moverse en el corto plazo), vaults (activos de la empresa o de usuarios que estarán inactivos por períodos largos y pueden almacenarse en cold storage), y nuevas líneas de producto (wallets aisladas con fondos mínimos que minimizan tu riesgo ante exploits de código no probado).

Cómo elegir una plataforma de Smart Wallets DeFi segura

Al construir una app, evaluar plataformas y proveedores de wallets requiere examinar certificaciones de seguridad, experiencia de usuario y capacidades de migración. Ser crítico en esta etapa puede ayudar a prevenir errores costosos más adelante. Entonces, ¿en qué deberías fijarte?

Certificaciones de seguridad indispensables y código abierto

La seguridad es un requisito básico, y no deberías hacer concesiones aquí. Las certificaciones esenciales a buscar incluyen el cumplimiento SOC2 Type II y los estándares de seguridad de la información ISO/IEC 27001. Estos validan los controles operativos de seguridad y las prácticas de protección de datos.

También querrás que tu proveedor cumpla con ciertos estándares de código abierto, para que puedas verificar la calidad del código y asegurarte de que nada sea malicioso. Algunas cosas a tener en cuenta:

• Repositorio de infraestructura de wallet disponible en GitHub
• Auditorías de seguridad independientes realizadas por firmas reconocidas
• Programas de bug bounty con recompensas significativas para habilitar a los white hat hackers
• Procedimientos transparentes de respuesta ante incidentes

Consideraciones de UX y funcionalidades

Al elegir una wallet, también quieres considerar las funcionalidades disponibles junto con esas medidas de seguridad. Hoy en día las wallets ofrecen mucho más que "una forma de que tus usuarios almacenen sus fondos". Con Smart Wallets, desbloqueas todo tipo de mejoras de UX, como:

• Login social: una experiencia de inicio de sesión familiar tipo Web2, donde los usuarios pueden crear cuentas con email o número de teléfono
• Patrocinio de gas: las apps pueden patrocinar las tarifas de transacción de sus usuarios, abstrayendo la complejidad de sus acciones
• Agrupamiento de transacciones: la infraestructura de wallet puede agrupar las transacciones de los usuarios y llevarlas onchain de forma confiable
• Funciones de seguridad: las plataformas de wallet suelen incluir funciones de seguridad integradas, como autenticación biométrica, 2FA, límites de transacción, y más

Construyendo wallets DeFi más inteligentes con Alchemy

La actividad onchain sigue creciendo, y para cumplir con las expectativas de los usuarios mainstream, las wallets están evolucionando para mejorar la UX y la seguridad. Con estas 5 estrategias -gestión de claves en múltiples capas, higiene de aprobaciones, simulación de transacciones, recuperación social y segmentación de direcciones- puedes construir una solución de wallet robusta que no solo ofrezca seguridad, sino también una excelente UX para tus usuarios.

El futuro pertenece a las cuentas programables. Alchemy da soporte a los desarrolladores de wallets con RPC y Data APIs, Gas Manager y Bundler. Conoce más sobre la alianza entre Alchemy y Privy para finanzas onchain.

Preguntas frecuentes

¿Por qué el 2FA no es suficiente para las wallets onchain?

El 2FA protege los inicios de sesión de plataformas centralizadas, pero no puede asegurar las claves privadas una vez expuestas. Los atacantes pueden firmar transacciones directamente onchain sin necesitar códigos de autenticación secundarios. A diferencia de la banca tradicional, las wallets DeFi dependen del control criptográfico de claves en lugar de permisos de acceso a una cuenta. El 2FA ayuda, sin duda, pero por sí solo no es suficiente. Gas Manager y Bundler dan soporte a modelos de account abstraction más sofisticados, más allá de la protección básica del 2FA.

¿Con qué frecuencia debería revocar las aprobaciones de tokens?

Depende de cuánto tienes expuesto en fondos y cuál sea tu apetito de riesgo. Una regla práctica útil es revisar y revocar las aprobaciones de tokens sin usar semanalmente o inmediatamente después de interactuar con nuevas apps. Si eres activo onchain, considera configurar rutinas de revocación automatizadas para evitar que se acumule el acceso ilimitado a tokens con el tiempo.

¿Cuándo tiene sentido agregar firma por hardware?

Agrega firma por hardware siempre que estés transaccionando en volúmenes grandes, ya sea manejando depósitos en vaults, usuarios empresariales, o cualquier caso intermedio. Los firmantes de hardware brindan la seguridad de cold storage para operaciones de hot wallet. Los SDKs de wallets MPC pueden integrarse con dispositivos de hardware para una gestión de claves mejorada.

¿Puedo combinar MPC con recuperación social?

Sí, MPC se encarga de la seguridad de claves del día a día, mientras que la recuperación social ofrece un mecanismo de respaldo cuando se pierden varios dispositivos. Esto crea una protección en capas sin puntos únicos de falla. MPC distribuye los fragmentos de clave entre dispositivos, de modo que ningún compromiso individual expone la clave completa. Elige un SDK de wallet que admita tanto implementaciones de MPC como mecanismos de recuperación social para una seguridad de wallet integral.

¿Qué datos de la transacción debería mostrar una wallet antes de firmar?

Las wallets seguras deben mostrar una vista previa de la dirección de destino, las llamadas a funciones, los montos de tokens, las tarifas de gas y las aprobaciones de contrato antes de firmar. Los usuarios necesitan visibilidad completa de la transacción para detectar anomalías y evitar aprobaciones ocultas. La simulación de transacciones puede ayudar a revelar posibles riesgos de seguridad antes de la ejecución. Transaction Simulation de Alchemy ofrece vistas previas detalladas de transacciones para ayudar a los usuarios a verificar todas las operaciones antes de confirmar cualquier acción onchain.