Una billetera modificada puede enviar tus monedas o tu semilla a un ladrón mientras parece normal. Verificar la descarga protege frente a sitios falsos, espejos hackeados y apps que se parecen.
Dos comprobaciones
- Checksum: el hash SHA-256 del archivo debe coincidir con la lista oficial. Esto prueba que el archivo no se alteró ni corrompió.
- Firma: la lista de hashes debe estar firmada por personas en las que confías. Si no, un atacante podría cambiar archivo y lista.
Ejemplo: Bitcoin Core
- Descarga la versión,
SHA256SUMSySHA256SUMS.ascde bitcoincore.org. - Comprueba que el hash de tu archivo aparece en SHA256SUMS.
- Usa GPG para verificar SHA256SUMS.asc. La versión la firman varias personas; sus claves están listadas en el repositorio guix.sigs.
Por qué importan muchos firmantes
Bitcoin Core se construye de forma reproducible con Guix: constructores independientes compilan el mismo código fuente y deben obtener archivos idénticos bit a bit. Cuando varias personas firman los mismos hashes, no tienes que confiar en un solo desarrollador o servidor.
Hábitos prácticos
- Escribe tú las direcciones de los sitios de billeteras o usa marcadores; no confíes en anuncios ni resultados de búsqueda.
- Instala apps móviles solo desde el enlace propio del desarrollador a la tienda oficial.
- Billeteras de hardware: compra directamente al fabricante, y deja que el dispositivo verifique su propio firmware.
«Don't trust, verify» se aplica al software tanto como a la cadena de bloques.