SSP Enterprise: bóvedas multisig para equipos
La mayoría de los montajes cripto de una empresa tienen un agujero con forma de persona. Alguien guarda la cartera hardware. Alguien sabe dónde está la frase semilla. Los controles existen —aprobaciones en una hoja de cálculo, un documento de políticas, la regla de que dos personas deben estar en la llamada—, pero ninguno de ellos lo impone nada más que el acuerdo de todos de cumplirlos.
SSP Enterprise cierra ese agujero llevando la regla a la propia dirección. Una bóveda es un multisig M-de-N donde el umbral forma parte de cómo se deriva la dirección, así que la red se niega a liquidar una transacción que no lo haya alcanzado. Ninguna presión interna, portátil comprometido ni empleado que se marcha cambia esa aritmética.
Este artículo es el mapa de todo el sistema: cómo encajan organizaciones, bóvedas, roles, propuestas y políticas y —esto importa— cuáles de esas cosas detienen de verdad una transacción y cuáles solo le dan forma.
El problema de que una persona guarde las claves
El problema del firmante único no va realmente de confianza. Va de concentración.
Una sola clave significa que un equipo comprometido vacía la tesorería. Significa que una persona de vacaciones bloquea las nóminas. Significa que una salida provoca una carrera por rotarlo todo, y que un mal día provoca un incidente sin ninguna restricción técnica entre un impulso y una transferencia irreversible.
El multisig convierte todo eso en un evento sobrevivible, porque ningún secreto por sí solo basta. Qué es el multisig y por qué importa cubre el modelo en sí. Lo que sigue es cómo se organiza cuando quien custodia es una empresa y no una persona.
Organizaciones, bóvedas y firmantes
Tres capas, y conviene mantenerlas separadas en la cabeza.
Una organización es el contenedor: las personas, los roles, el rastro de auditoría, la relación de facturación. Se identifica por una identidad WK y no por una dirección de correo, y lleva un índice de organización inmutable entre 100 y 99999 que pasa a formar parte de cada ruta de derivación por debajo de ella. «Inmutable» es la palabra portante: ese índice no se puede editar después, porque cambiarlo cambiaría todas las direcciones que la organización haya derivado.
Una bóveda es un multisig M-de-N concreto en una cadena concreta. Una organización puede tener muchas, y no tienen por qué compartir umbral, cadena ni conjunto de firmantes. Una bóveda de tesorería a 3-de-5 en Bitcoin y una de pagos a 2-de-3 en Ethereum son objetos de custodia distintos que casualmente se administran desde el mismo sitio.
Un firmante es una persona, representada por los dos dispositivos que SSP usa siempre: la extensión del navegador y la app SSP Key. Cuando un firmante aprueba una propuesta de bóveda participan sus dos dispositivos, así que la N de tu M-de-N cuenta personas, y cada una de esas personas está a su vez protegida por un 2-de-2.
Hay bóvedas disponibles en las cadenas que SSP admite: Bitcoin, Litecoin, Dogecoin, Ravencoin, Flux, Zcash y Bitcoin Cash del lado UTXO; Ethereum, BSC, Avalanche, Polygon y Base del lado EVM; y Solana. La derivación sigue BIP-48 con el índice de la organización en la posición de cuenta: la especificación BIP-48 es la fuente primaria, y BIP48 explicado cubre cómo lo usa SSP.
El umbral está en la dirección
Esta es la parte que diferencia al multisig empresarial de un flujo de aprobaciones, y conviene ser preciso.
Cuando se crea una bóveda, las claves públicas de los firmantes y el número de firmas requerido se combinan para producir la dirección. El umbral no es un ajuste guardado junto a la bóveda; es una entrada de la dirección. De ahí se derivan tres consecuencias que vale la pena planificar.
Nadie puede bajarlo. Ni un administrador, ni SSP, ni un atacante con acceso al panel. La cadena valida contra la dirección, y la dirección codifica la regla.
Cambiar de firmantes significa una bóveda nueva. Añadir o quitar un firmante cambia la dirección, lo que implica mover fondos en lugar de editar un registro. Es un coste operativo real y es lo principal que hay que pensar antes de elegir el conjunto de firmantes. 2-de-2 frente a 2-de-3 y m-de-n es la guía para escoger un umbral que no vayas a querer cambiar enseguida.
Perder firmantes por debajo del umbral es irrecuperable. Una bóveda 3-de-5 sobrevive a que desaparezcan dos firmantes, no tres. Planifica las salidas, los teléfonos perdidos y las eventuales cuestiones de herencia antes de financiar nada: herencia y acceso de emergencia se aplica a las organizaciones al menos tanto como a las personas.
Algunas cadenas ofrecen flexibilidad en cómo se produce la aprobación de un firmante. En cadenas EVM una bóveda puede exigir los dos dispositivos del firmante o aceptar un modo de un solo dispositivo; en Solana, un modo de firma con clave única cambia el 2-de-2 por firmante a cambio de conjuntos de firmantes mayores, hasta 7-de-15. Son compromisos deliberados entre tamaño del comité y seguridad por persona, elegidos al crear la bóveda. La opción de Schnorr con clave única se introdujo para las bóvedas empresariales exactamente con ese intercambio en mente.
Los roles no son poder de firma
La confusión más común en los productos de custodia compartida es mezclar el organigrama con el material criptográfico. SSP los mantiene separados a propósito.
Los roles de organización —propietario, administrador, miembro, observador— gobiernan el espacio de trabajo. Deciden quién puede invitar, quién puede crear bóvedas, quién puede cambiar la configuración de la organización. Un propietario puede modificar a cualquiera; un administrador puede modificar a miembros y observadores, pero no a otros administradores; un observador no puede invitar en absoluto.
Los roles de bóveda —administrador, firmante, observador— gobiernan una bóveda concreta. Solo la clave de un firmante está en la dirección.
La consecuencia importante: ser propietario de la organización no te permite gastar. Si el propietario no es firmante de una bóveda, no puede mover sus fondos, diga lo que diga el panel. La autoridad administrativa y la autoridad de custodia son cosas distintas, y en SSP se guardan en sitios distintos: una en una base de datos, otra en una dirección.
Esa separación es lo que permite que un responsable financiero administre bóvedas que no puede vaciar por su cuenta, y lo que convierte una cuenta de administrador comprometida en un problema de coordinación y no de solvencia.
Por lo que pasa una propuesta
Gastar desde una bóveda es una propuesta, no un clic.
Un firmante o un administrador de bóveda redacta una transacción. Se hace visible para los firmantes de la bóveda, que la revisan y aprueban en sus propios dispositivos: cada aprobación decodificada en el dispositivo en lugar de aceptada por fe desde un servidor. Cuando existen M firmas, la transacción puede difundirse. Hasta entonces espera, y si nunca alcanza M caduca en lugar de quedarse indefinidamente.
La simulación se ejecuta antes de que apruebes, no después: la propuesta se ejecuta contra una copia del estado actual de la cadena para que la pantalla de revisión pueda mostrar qué haría realmente la transacción y marcar patrones de riesgo, en vez de dejarte leer datos de llamada en crudo. Eso se añadió a las bóvedas empresariales en la v1.40.
Las políticas dan forma a las propuestas; las firmas las liquidan
SSP Enterprise admite listas blancas de direcciones, restricciones de destino, bloqueos temporales con umbrales de valor y reglas que exigen aprobación de un administrador por encima de cierto importe. Son genuinamente útiles, y conviene decir con honestidad qué son.
Son controles de la capa de coordinación, no imposición de custodia. Una lista blanca impide que una propuesta se cree y se apruebe por el flujo normal. No pasa a formar parte de la dirección, y no la valida la red. Lo único que la cadena impone es el umbral de firmas.
Lo decimos con claridad porque la alternativa —insinuar que un motor de políticas es una garantía de custodia— es la forma en que la gente acaba llevándose sorpresas. El modelo mental correcto es que las políticas son los controles de proceso que quiere un equipo financiero, montados sobre una garantía de custodia que existe con independencia de ellos. Si mañana se saltaran todas las políticas del sistema, un atacante seguiría necesitando M firmas de los dispositivos emparejados de M personas.
Qué queda por escrito
Toda acción que cambia el estado de una organización queda registrada: creación de bóvedas, altas y bajas de miembros, cambios de rol, invitaciones emitidas y aceptadas, transferencias de propiedad y cada transición de propuesta. Los registros de auditoría son permanentes —sin caducidad, sin tarea de limpieza— porque el valor de un rastro de auditoría está enteramente en las partes que no anticipaste necesitar.
Ciertas operaciones van más allá y exigen volver a firmar con tus dos dispositivos en el momento de realizarlas: transferir la propiedad, eliminar una organización, quitar a un miembro, cambiar el correo empresarial. El servidor genera el desafío, nunca el cliente, y cada intento —logrado o no— se registra de forma permanente.
Cómo empezar
Una organización se crea desde una identidad SSP, las bóvedas se crean dentro de ella y los firmantes se unen por invitación a su propia identidad WK, no a una dirección de correo. Cada firmante envía su clave pública extendida para poder derivar la dirección de la bóveda, y la bóveda pasa a estar activa cuando el conjunto completo de firmantes ha contribuido.
Antes de eso, las dos decisiones que conviene tomar despacio son el umbral y el conjunto de firmantes, porque ambos son caros de cambiar después. Todo lo demás —políticas, roles, integraciones, preferencias de notificación— puede ajustarse cuando quieras.
El anuncio de lanzamiento cubre lo que se publicó originalmente, y los contratos e infraestructura de abstracción de cuentas de SSP fueron auditados por Halborn en 2025. Si el modelo 2-de-2 subyacente que usa cada firmante te resulta nuevo, qué es el multisig 2-de-2 es el punto de partida.
