Herencia de Monero — un plan de autocustodia que no doxea a tus herederos

Por qué esto es más difícil que la herencia de cripto no-Monero

• Sin registro, sin tribunal que pueda recuperar. A diferencia de cuentas bancarias o incluso wallets doxxeadas, no hay entidad que un juez de sucesiones pueda citar para liberar los fondos. Si la seed se pierde o es inalcanzable, el XMR se pierde. Punto. No hay plan B.
• La planificación patrimonial de monedas transparentes no se transfiere. Los consejos de herencia de BTC (sobre sellado con abogado, albacea conoce la dirección) a menudo filtran los fondos a la familia mucho antes de la muerte porque la cadena es pública. Monero oculta el saldo, así que las familias muchas veces ni saben cuánto hay — que es el problema opuesto: puede que no se den cuenta de que vale la pena recuperarlo.
• La privacidad del heredero también importa. Quien hereda un stash de XMR se convierte en blanco — para estafadores, autoridades fiscales, ataques de llave inglesa. Un plan que les entrega la seed y un correo reenviado es un plan que los pone en peligro.
• El titular puede quedar incapacitado, no muerto. Demencia, coma, secuestro. La planificación de herencia tiene que cubrir tanto "no puede actuar" como "muerto", y los disparadores de recuperación son diferentes.

El trilema de la herencia

Estás optimizando tres cosas que tiran en direcciones opuestas:

• Seguro ahora — nadie puede vaciar la wallet mientras estés vivo.
• Recuperable después — la gente correcta PUEDE vaciarla cuando lo necesite, incluso años después.
• No doxea a los herederos — la recuperación no requiere que los herederos publiquen su identidad, ubicación o relación contigo en ninguna cadena ni ante ningún custodio.

Cualquier par de dos es fácil. Los tres juntos requieren estructura. La mayoría de los "planes de herencia" eligen los dos primeros y aceptan que los herederos se vuelvan blanco en el momento en que gastan el XMR heredado. Los patrones a continuación son los que no lo hacen.

Patrón A: Sobre sellado + dead-man's switch

Seed en metal dentro de un sobre sellado con un abogado o en una caja de seguridad. Configuras un check-in recurrente (email mensual, formulario trimestral). Check-ins perdidos por N períodos → el abogado entrega el sobre al destinatario designado.

• Pro: Simple. Sin exigencias técnicas para los herederos.
• Contra: Abogado/banco es un punto único de falla (citación, bancarrota, error). El heredero recibe la seed completa, lo que significa que se convierte en el nuevo custodio único sin ninguna capacitación. Sin protección contra compromiso del abogado.
• Cuándo aplica: Stash pequeño (<5 XMR), un solo heredero de confianza, jurisdicción de bajo riesgo.

Patrón B: División entre dos partes (tú + albacea)

Seed dividida en dos mitades usando XOR simple o Shamir 2-of-2. Tú tienes una mitad, un albacea (abogado / familiar / parte seudónima de confianza) tiene la otra. Ninguna mitad por sí sola revela la seed; ambas juntas la reconstruyen. Al morir, el albacea entrega su mitad al heredero designado, quien la combina con la mitad del titular (dejada en casa, en una caja fuerte, etc.).

• Pro: Ninguna parte individual puede vaciar la wallet. El heredero recibe capacitación / tutorial a través del albacea.
• Contra: La pérdida de cualquiera de las mitades = pérdida de la wallet. La mitad del titular tiene el mismo problema de seguridad física que cualquier respaldo de seed.
• Cuándo aplica: Stash mediano (5–50 XMR), la relación con el albacea es sólida, confías en la seguridad operativa del albacea tanto como en la tuya.

Patrón C: 2-of-3 multisig de Monero

Monero soporta multisig nativa (múltiples cofirmantes requeridos para gastar). Configuración 2-of-3: tú tienes una llave, un albacea tiene otra, un respaldo a largo plazo (distinta jurisdicción, bóveda o tercero de confianza) tiene una. Mientras estás vivo, tú y un cofirmante firman. Al morir, los otros dos firman.

• Pro: La pérdida de cualquier llave individual es recuperable. Ninguna parte puede vaciar la wallet por sí sola. Los herederos no necesitan la seed completa — necesitan cooperación de los cofirmantes sobrevivientes, lo cual es su propio mecanismo de control.
• Contra: La complejidad de configuración es real — practica gastar y recuperar antes de depender de ello. La UX de multisig de Monero ha mejorado (Feather, Monero GUI) pero todavía es menos pulida que la multisig de BTC.
• Cuándo aplica: Stash serio (50+ XMR), disposición a invertir 4–8 horas en configuración + prácticas, tener tres poseedores de llaves confiables.

Patrón D: Seed fragmentada con Shamir (estilo SLIP-39)

Seed dividida en N fragmentos, se requieren M para reconstruir. Común: 3-of-5 o 2-of-3. Los fragmentos se distribuyen entre jurisdicciones / partes de confianza / ubicaciones ocultas. Se diferencia de multisig: esto es dividir una sola seed, no múltiples llaves independientes. Reconstrucción = custodia total para quien la realice.

• Pro: Flexible: elige N y M, elige a los poseedores de fragmentos independientemente. Sobrevive a la pérdida de hasta (N−M) fragmentos.
• Contra: Una vez reconstruida, vuelve a ser una sola seed — quien la ensambla lo tiene todo. Menos seguro que multisig (no hay distribución continua después de la recuperación). El soporte nativo de Monero para SLIP-39 es limitado; usualmente se implementa manualmente o con scripts genéricos.
• Cuándo aplica: El titular quiere riesgo distribuido sin la carga de UX de multisig. A menudo en capas: SLIP-39 sobre cada llave multisig, así incluso comprometer un fragmento no expone una llave completa de cofirmante.

Patrón E: Primitivas de dead-man's switch

Disparador automatizado: si no realizas una acción antes de la fecha límite T, se libera un archivo encriptado / se transfiere una llave multisig / se envía una notificación. Las implementaciones van desde cron-on-VPS hasta servicios comerciales (deadmansswitch.net) hasta Tails autoalojado + temporizador.

• Pro: Elimina el eslabón del ejecutor humano. Se dispara automáticamente; ningún ejecutor puede filtrar o retrasar.
• Contra: Punto único de falla en el sistema de disparo. Falsos positivos (enfermedad, viaje sin internet) vacían wallets. El sistema de disparo en sí se convierte en un objetivo de alto valor.
• Cuándo aplica: En capas con uno de A–D — nunca como único mecanismo. Mejor como "si todos los ejecutores humanos fallan en actuar, esto libera instrucciones de respaldo" — no como la liberación principal.

Patrón F: Wallet oculta + negación plausible

Las wallets de Monero soportan una frase de contraseña que crea una wallet oculta separada junto a la principal. La principal contiene un saldo señuelo que estás dispuesto a perder bajo coerción; la oculta contiene el stash real. Variante de herencia: a los herederos se les informa sobre la principal, y una instrucción secundaria (sellada, retrasada) sobre la oculta.

• Pro: Protege al titular contra divulgación forzada bajo coacción. Los adversarios que extraigan la seed principal se van pensando que lo obtuvieron todo.
• Contra: Añade complejidad a la herencia — si mueres antes de que se encuentre la instrucción secundaria, el saldo oculto se pierde genuinamente. Documentar la existencia de una wallet oculta destruye su propósito.
• Cuándo aplica: Modelo de amenaza de adversario estatal o alta coerción. En capas con el Patrón C o D. Los herederos deben ser técnicamente competentes para entender las capas.

Documentar el plan sin filtrarlo

El plan en sí tiene que sobrevivir — y permanecer en secreto para las partes correctas — por potencialmente décadas. El documento es el segundo artefacto más sensible después de la seed.

• Documentación en dos niveles. Nivel 1: "Hay un plan. Contacta a estas personas si muero." Va a cualquiera — familia, abogado, en tu testamento. Nivel 2: las instrucciones reales de recuperación. Vive en algún lugar que solo el heredero o albacea lea después de un evento desencadenante.
• Sin nombres de archivo que griten. "monero-inheritance.txt" en tu laptop = descubrimiento de nivel forense durante cualquier incidente no relacionado. Usa nombres de archivo aburridos en ubicaciones aburridas.
• Versiona el plan y revísalo anualmente. Las herramientas mueren, los albaceas mueren, las jurisdicciones cambian. Un plan de 5 años que referencia una wallet que ya no compila es peor que ningún plan.
• Prueba la ruta de recuperación en vida. Al menos una vez. Haz que el albacea + heredero hagan un simulacro con una wallet de prueba pequeña. El plan existe para ejecutarse una vez bajo estrés — practícalo sin estrés.
• El lenguaje sencillo gana sobre la CLI. Los herederos no son necesariamente técnicos. Escribe la recuperación como pasos numerados: "abre esta app, haz clic en este botón, escanea este QR." No "importa el keychain vía CLI."

Formas comunes en que los planes de herencia fallan silenciosamente

1. El abogado se jubila / el bufete cierra / el banco cierra el servicio de cajas de seguridad. Los planes de múltiples décadas necesitan redundancia. Un solo abogado es un punto único de falla.
2. El software de la wallet muere. Monero GUI en 2026 no será el mismo binario en 2046. Los documentos de herencia que dicen "abre Feather e importa la seed" también necesitan decir "O importa la seed de 25 palabras en cualquier wallet compatible con Monero."
3. El albacea muere antes que el titular. Siempre nombra albaceas de respaldo. Dos como mínimo, tres para stashes serios.
4. La cadencia de check-in no es realista. "Email mensual" suena bien hasta que viajas tres meses sin internet. Los falsos positivos vacían wallets. Incorpora períodos de gracia, canales de anulación y revisión humana antes de la liberación automatizada.
5. El heredero no sabe que el stash existe. Monero oculta el saldo del análisis de cadena, lo que significa que también lo oculta de la familia. Si todos en quienes confías mueren sin saber que el XMR existe, se pierde sin importar qué tan buena sea tu configuración multisig. La documentación de Nivel 1 (el aviso de "hay un plan") aborda esto.
6. El plan se filtra a quienes no debería. El heredero obtiene la seed bajo coacción antes de que se active el disparador, la oficina del abogado sufre una brecha, la esposa del albacea abre el cajón equivocado. Compartimenta agresivamente: nadie excepto el titular debería conocer el panorama completo mientras el titular esté vivo.
7. El heredero lo gasta el mismo día que lo recibe y es agrupado. Sin advertencia, el heredero retira a un exchange doxxeado y es onboardeado por un agente de soporte demasiado entusiasta. La documentación de Nivel 2 debería incluir una sección breve de "qué hacer con este XMR de forma segura" — básicamente un puntero a xmr.club/guides — no solo las instrucciones de recuperación.