Phantom Wallet y Squads Protocol: Cómo gestionar fondos compartidos entre múltiples firmantes

Un pequeño negocio de comercio electrónico necesita aprobar pagos a proveedores. Actualmente, una sola persona controla la billetera con acceso a todos los fondos. Si esa persona se marcha, enferma o comete un error, los recursos están en riesgo. Una cooperativa agrícola enfrenta un problema similar: los miembros contribuyen fondos conjuntos para inversión, pero nadie debería poder retirar dinero sin consentimiento de al menos dos o tres personas. Las soluciones tradicionales requieren intermediarios bancarios con sus tarifas, retrasos y requisitos de documentación. Para operaciones en blockchain, existe una alternativa: un contrato multifirma donde cada transacción requiere el consenso de múltiples propietarios.

Phantom Wallet, la billetera no custodial líder en la red Solana con más de 15 millones de usuarios activos mensuales, se integra con Squads Protocol, un sistema diseñado específicamente para gestionar fondos compartidos mediante firmas múltiples. Esta combinación permite que grupos sin jerarquía central controlen fondos criptográficos con seguridad y transparencia. Sin embargo, configurar y operar una billetera multisig requiere entender no solo las interfaces, sino también los supuestos de seguridad, los tiempos de confirmación, y qué sucede cuando los firmantes no están de acuerdo o un dispositivo se pierde.

Por qué la multifirma es diferente a una billetera individual

Una billetera tradicional, incluso una no custodial como Phantom Wallet, es fundamentalmente un control de acceso individual. El usuario crea una frase de recuperación, la almacena en privado, y cualquiera que obtenga esa información puede mover todos los fondos sin restricción. Esto es seguro contra acceso externo si la frase se protege adecuadamente, pero vulnerable a un punto único de fallo: si una persona se va, muere, o comete un error, los fondos pueden perderse o desaparecer permanentemente.

Un contrato multisig cambia esa dinámica. En lugar de una clave privada que controla la billetera, existen múltiples claves independientes, cada una controlada por una persona diferente. La transacción solo se ejecuta cuando un número mínimo de esos propietarios la aprueba. Por ejemplo, un contrato 3 de 5 requiere que al menos 3 de los 5 firmantes autoricen cualquier movimiento de fondos. Esto crea un equilibrio: una sola persona no puede actuar unilateralmente, pero tampoco se necesita unanimidad para funcionar.

Squads Protocol es la herramienta que ejecuta esa lógica en Solana. No es un servicio centralizado que custodió los fondos. Es un programa de blockchain, auditable y transparente, que fuerza las reglas de firma múltiple a nivel de protocolo. Cuando un usuario configura una billetera Squads a través de Phantom Wallet, los fondos nunca salen del control de los firmantes autorizados. El protocolo simplemente verifica que la cantidad requerida de aprobaciones ha sido obtenida antes de permitir que una transacción se confirme en la cadena.

La diferencia operativa es significativa. En una billetera individual, crear una transacción y firmarla sucede en una sola sesión. En multisig, crear, proponer, revisar, aprobar y ejecutar son pasos separados. Esto introduce latencia intencional pero también visibilidad. Los firmantes pueden examinar los detalles de la transacción antes de comprometerse, y hay un registro permanente de quién aprobó qué y cuándo.

Configuración inicial: creando la estructura de gobernanza

El primer paso es decidir quiénes serán los firmantes y cuál será el umbral de aprobación. Un negocio pequeño podría elegir 2 de 3: el propietario, el gerente de tesorería y un contador, siendo necesario el acuerdo de al menos dos para cualquier gasto. Una cooperativa podría usar 3 de 7, distribuyendo el control entre miembros de una junta directiva. No existe una configuración única correcta; depende de la confianza mutua, la disponibilidad esperada, y la tolerancia al riesgo.

Una vez definida la estructura, cada firmante necesita una billetera Phantom Wallet independiente, instalada en su propio dispositivo. Esta es una diferencia crucial respecto a las billeteras empresariales centralizadas: cada signer mantiene su propia clave privada bajo su control exclusivo. Nadie, ni siquiera los otros firmantes, puede ver esa clave. La seguridad de la estructura multisig depende de que cada individuo proteja su frase de recuperación y su acceso a la billetera con la misma diligencia que si fuera dueño único de todos los fondos.

El creador de la billetera Squads especifica los miembros por sus direcciones públicas de Solana. Una dirección pública es similar a un número de cuenta bancaria: es seguro compartirla y necesaria para identificar a cada firmante, pero no otorga acceso a los fondos. Después de agregar los miembros y establecer el umbral, la billetera multisig se crea como un nuevo programa en Solana. Los fondos pueden ser depositados a esa dirección como lo serían a cualquier otra.

Un aspecto importante que a menudo se pasa por alto es el rol del guardián de recuperación. Si todos los firmantes pierden acceso simultáneamente, los fondos quedan atrapados. Algunos equipos designan una persona o caja de seguridad que contiene información de recuperación de emergencia, almacenada offline y accesible solo bajo circunstancias extremas. La especificación de esa política es una parte de la gobernanza tan importante como el umbral de firma, pero requiere una conversación difícil sobre confianza que muchos grupos no tienen de antemano.

Flujo de transacciones: propuesta, revisión y ejecución

Cuando el negocio necesita pagar a un proveedor, cualquier firmante puede iniciar una propuesta de transacción. Usar phantom wallet extension como punto de entrada simplifica este proceso: la interfaz guía al usuario a través de la especificación del destinatario, la cantidad y cualquier instrucción adicional. Phantom Wallet también ofrece detección automática de estafas mediante machine learning y Blowfish, lo que significa que si la dirección de destino ha sido marcada como un conocido esquema de phishing o contrato malicioso, la billetera lo advertirá.

Después de que se crea la propuesta, cambia a un estado de espera. Los otros firmantes ven una notificación indicando que hay una transacción pendiente de aprobación. Aquí ocurre el paso crítico de revisión. Cada firmante debe examinar los detalles: ¿a quién va el dinero? ¿Cuánto es? ¿En qué token o activo? ¿Coincide con lo que fue discutido? Si hay discrepancia, un firmante puede rechazar la transacción, lo que la cierra sin ejecutarse. Esta es la protección contra transacciones no autorizadas o errores: la estructura requiere consenso, no obediencia.

Una vez que suficientes firmantes han aprobado (según el umbral configurado), cualquiera de ellos puede ejecutar la transacción, enviándola a la cadena de Solana. La ejecución consume recursos de red mínimos en Solana debido a sus bajos costos de transacción, generalmente en el rango de fracciones de centavo. El registro permanente en la blockchain entonces muestra la transacción completada, con la lista de quién aprobó, las marcas de tiempo, y el hash de transacción para auditoría futura.

Los tiempos de este proceso dependen de la disponibilidad de los firmantes. Si todos están en la misma zona horaria y conectados regularmente, una transacción podría aprobarse en minutos. Si los firmantes están distribuidos globalmente o verifican su correo electrónico una vez por día, la aprobación podría tomar horas o días. Los grupos deben establecer expectativas claras sobre cuál es la velocidad de respuesta esperada y qué sucede si se necesita un pago urgente pero no hay quórum disponible.

Visibilidad, auditoría y registro de fondos compartidos

Uno de los beneficios menos obvios de una estructura multisig en blockchain es la transparencia inmutable. Cada transacción, cada aprobación, cada rechazo queda registrado en la cadena pública de Solana. Cualquier miembro de la cooperativa o socio del negocio puede verificar independientemente cómo se ha movido el dinero, quién lo aprobó, y cuándo. Esto es radicalmente diferente de un banco tradicional, donde la información financiera se mantiene en una base de datos privada controlada por una institución.

Phantom Wallet proporciona una vista previa de transacciones detallada que ayuda a la comprensión en tiempo de ejecución. Antes de firmar, el usuario ve exactamente qué cambios resultarán en la blockchain, qué instrucciones se ejecutarán, y qué saldos resultarán. Esta precisión reduce errores de usuario, que es la causa más común de pérdida de fondos en criptografía, más que los hackeos técnicos.

Para organizaciones que requieren reportes formales, la información está disponible en exploradores de blockchain públicos como Solscan o Magic Eden, donde se puede filtrar por dirección y período. Algunos equipos configuran scripts que monitorean la dirección multisig automáticamente y generan reportes mensuales. Esto proporciona un control auditable sin requerir que alguien administre un sistema centralizado de registros.

Sin embargo, la transparencia de blockchain también tiene un lado oscuro. Cualquiera puede ver cuántos fondos tiene la billetera compartida, quiénes son los firmantes (según patrones de transacción), e incluso hacer inferencias sobre la política interna basada en el tamaño y la frecuencia de las transacciones. Para organizaciones que prefieren privacidad operativa, esto es una consideración importante. Un negocio competitivo podría preferir mantener en secreto cuánto capital tiene reservado. Una cooperativa podría tener preocupaciones sobre que miembros externos sepan cuánto está siendo gastado.

Riesgos operativos y puntos de fallo

La seguridad de una estructura multisig depende de que cada firmante protejas su dispositivo y clave privada. A diferencia de una billetera centralizada donde la empresa es responsable de la seguridad, en multisig la responsabilidad se distribuye. Si dos de tres firmantes negligentemente usan la misma contraseña, guardan su frase de recuperación en la nube sin cifrar, o abren archivos adjuntos de phishing, dos partes del sistema son comprometidas simultáneamente. Dos compromisos significan que 2 de 3 signatarios son controlados por atacantes, lo que es suficiente para ejecutar transacciones no autorizadas.

Otro riesgo es la disponibilidad de los firmantes. Si los servidores de correo electrónico se caen, si un miembro se va de la ciudad sin acceso a su dispositivo, o si una persona simplemente se niega a aprobar una transacción válida, la estructura puede quedar paralizada. Una cooperativa que requiere 3 de 3 aprobaciones descubrirá que un solo miembro disidente puede bloquear todo el flujo de efectivo. El umbral debe ser lo suficientemente bajo para que el sistema sea operativo incluso cuando algunos firmantes no estén disponibles, pero lo suficientemente alto para que los controles sean significativos.

También existe el riesgo de la pérdida de claves. Si un firmante pierde acceso a su dispositivo, borra su billetera, o su recuperación de cuenta cae en manos de un atacante que luego cambia las contraseñas, ese firmante no puede más aprobar transacciones. Si suficientes firmantes pierden acceso, el dinero queda permanentemente bloqueado. Esto no es un error de Phantom Wallet o Squads Protocol; es una característica de la criptografía. Sin una clave privada válida, no hay forma legítima de acceder a los fondos que la clave controla. Por eso algunas organizaciones configuran un proceso de rotación de firmantes: periódicamente, un miembro es reemplazado por otro, o se añade un nuevo firmante para reducir el riesgo de que una sola persona irreemplazable sea crítica.

Un cuarto riesgo es la colusión silenciosa. Si dos de tres firmantes son amigos o colegas cercanos, podrían estar de acuerdo en secreto para aprobar transacciones sin revisar adecuadamente. La estructura multisig no puede obligar a alguien a revisar cuidadosamente; solo puede exigir que afirmen que lo han hecho. La protección verdadera viene de una cultura de diligencia, no del protocolo técnico.

Integración con DeFi y gestión de tokens SPL

Una billetera compartida en Solana no está limitada a transferencias simples. Puede participar en contratos DeFi: prestar tokens en Marinade o Lido para ganar rendimiento, intercambiar activos en Raydium o Orca, o proporcionar liquidez en pools. Phantom Wallet, como DeFi wallet completo, integra estas funcionalidades permitiendo que un usuario vea sus posiciones abiertas, saldos de tokens SPL, e incluso su galería visual de NFTs.

Sin embargo, las transacciones DeFi amplían la complejidad de la revisión multisig. No es suficiente saber cuántos SOL se están moviendo; el revisor debe entender qué contrato inteligente está siendo autorizado, qué cambios de estado resultarán, y cuál es el riesgo si algo sale mal. Si una transacción interactúa con un contrato DeFi que ha sido comprometido o tiene un error de lógica, el dinero podría ser robado o atrapado indefinidamente. Los nuevos protocolos en Solana, como Monad o Base, que Phantom Wallet soporta además de Ethereum y Polygon, introducen aún más superficies de riesgo si los fondos se despliegan fuera de Solana.

La mejor práctica es adoptar una política de transacciones simples en tesorería multisig. Las actividades complejas de DeFi pueden ser realizadas por usuarios individuales con sus propias billeteras, o solo después de que la junta ha aprobado explícitamente una estrategia de inversión específica. Esto reduce los errores de comprensión y limita la exposición a riesgos de protocolo no intendidos.

Para NFTs, Phantom Wallet proporciona una galería visual y ocultamiento automático de spam, características que son útiles incluso en contexto multisig. Si la organización acumula activos digitales, la billetera compartida puede gestionar esa colección con el mismo control distribuido que aplica a los tokens fungibles. Sin embargo, los NFTs introducen complejidad adicional: algunas colecciones son ilíquidas, sus valores son subjetivos, y transferirlas requiere confianza en que el nuevo propietario las custodió adecuadamente.

Sincronización entre dispositivos y recuperación de contingencia

Phantom Wallet ofrece sincronización entre dispositivos, lo que permite que un usuario acceda a su billetera desde su teléfono y su computadora. En contexto multisig, esto simplifica la aprobación de transacciones cuando un firmante está en tránsito. Sin embargo, la sincronización también expone la clave privada a múltiples dispositivos. Si uno de esos dispositivos es comprometido, el atacante tiene acceso a la clave. La sincronización debe usarse con cuidado, preferentemente solo en dispositivos que el usuario controla completamente, no en equipos compartidos o de trabajo.

Para recuperación de contingencia, Phantom Wallet soporta compatibilidad con hardware wallets como Ledger. Almacenar claves privadas en un dispositivo Ledger en lugar de solo en el teléfono o computadora añade una capa de seguridad. El firmante nunca expone su clave privada a internet; solo usa el hardware wallet para firmar transacciones. Si la computadora conectada al Ledger es hackeada, los fondos siguen siendo inaccesibles porque la clave permanece en el dispositivo hardware. Para un tesorero que maneja fondos de alto valor, esta es una configuración recomendada.

La rotación de claves es otro aspecto de la recuperación de contingencia. Si un firmante se va de la organización, sus claves deben ser reemplazadas. En una estructura multisig, esto significa crear una nueva billetera con el nuevo conjunto de firmantes y transferir todos los fondos de la antigua a la nueva. Es un proceso manual que requiere la aprobación de la estructura antigua antes de poder ser ejecutado, pero es la forma estándar de mantener la seguridad cuando la membresía cambia. Algunas organizaciones más grandes automaticen parte de esto mediante scripts, pero para operaciones pequeñas y medianas, el proceso manual es aceptable.

Prácticas recomendadas para pequeños negocios y cooperativas

La primera recomendación es documentar todo antes de configurar la billetera. ¿Quiénes serán los firmantes iniciales? ¿Cuál es el umbral mínimo de aprobación? ¿Cuáles son las causas para remover un firmante? ¿Qué sucede si el creador original se va? Escribir estas respuestas evita conflictos y confusión cuando las situaciones reales ocurren. Un documento constitutivo simple, incluso si no es legalmente vinculante, proporciona un punto de referencia común.

La segunda recomendación es hacer una migración piloto. Comience con una pequeña cantidad de dinero en la billetera multisig. Haga una transacción de prueba. Confirme que todos los firmantes pueden recibir las notificaciones de aprobación, acceder a su billetera, y completar el proceso. Resuelva cualquier problema técnico o de comunicación antes de depositar la cantidad total de los fondos que necesita guardar.

La tercera recomendación es establecer un cronograma de revisión regular. Una vez al mes o al trimestre, todos los firmantes deben revisar juntos el historial de transacciones, el saldo actual, y cualquier cambio en la política o membresía. Esto mantiene a todos informados y reduce la probabilidad de que algún firmante no entienda lo que está aprobando.

La cuarta recomendación es asumir que la seguridad es una responsabilidad compartida pero verificable. No confíe únicamente en que los otros firmantes protegen sus claves privadas. Utilice hardware wallets para los que manejan el dinero con frecuencia. Implemente autenticación de dos factores si la billetera de cada firmante está en una aplicación o extensión de navegador. Entienda que incluso con todas estas precauciones, la criptografía es de riesgo asimétrico: un error de una persona puede comprometer todo.