El estado de la autocustodia de criptomonedas en 2026

¿Qué se considera autocustodia y dónde está la línea divisoria?

Los casos claros son sencillos. Las monedas depositadas en una plataforma de intercambio están bajo custodia: el proveedor o su custodio controla las claves de firma, y la propiedad del cliente o sus derechos de reclamación en caso de insolvencia dependen del contrato, de los acuerdos de segregación y de la legislación aplicable, habiéndose tratado algunos tipos de cuentas en procedimientos recientes como créditos no garantizados, una lección que 2022 nos enseñó a gran escala. Una cartera de hardware cuya frase semilla solo existe en la caja fuerte del titular es de autocustodia: control total, responsabilidad total, sin contraparte. Entre ambos extremos se sitúan acuerdos que requieren que la pregunta se plantee con precisión. En un quórum de multifirma, la custodia sigue a las claves: un titular que posea todas las claves del quórum se encuentra en situación de autocustodia, mientras que uno que las comparta con un servicio se encuentra en una situación de custodia compartida. En las carteras MPC, donde las partes de la clave firman conjuntamente y la clave completa no tiene por qué existir nunca, la respuesta depende del diseño: quién posee qué partes, si la parte del proveedor puede firmar sin el titular y si el titular puede alcanzar un quórum de firma, o recuperarlo, en caso de que el proveedor desaparezca. Los diseños sólidos responden a estas preguntas a favor del titular; la etiqueta por sí sola no garantiza nada, y este informe trata la «autocustodia MPC» como una afirmación que debe verificarse según la implementación, más que como una categoría que zanja la cuestión.

La normativa de la UE establece una distinción similar. La MiCA define la custodia, en el artículo 3, apartado 1, punto 17, en torno a la guarda o el control de criptoactivos o de los medios de acceso a los mismos, y el artículo 75 asocia obligaciones a dicha actividad, incluida la segregación; por eso los proveedores que nunca controlan las claves de un cliente ni un quórum de firma se sitúan en una posición diferente a la de las plataformas de intercambio, y por eso el análisis se basa en los hechos y las circunstancias, más que en la denominación. La consecuencia práctica para los lectores: si un acuerdo constituye una autocustodia es una cuestión técnica sobre quién puede firmar, que se determina a partir del diseño y que conviene aclarar antes de que se transfieran fondos.

¿Qué cantidad de criptomonedas se encuentra realmente en autocustodia?

La tabla recoge las cifras principales, cada una de ellas identificada con lo que mide.

Hay tres aspectos de la tabla que merecen especial atención. En primer lugar, la conclusión principal: la autocustodia es la forma mayoritaria de tenencia de bitcoin, en términos de valor, y por un amplio margen. La narrativa popular según la cual los titulares habituales han cedido la custodia en su totalidad a las plataformas es una historia que los datos se niegan a respaldar. En segundo lugar, la composición de la minoría que recurre a la custodia se está profesionalizando: dentro de la custodia por terceros, la cuota de las plataformas de intercambio cayó de más de la mitad en 2021 a aproximadamente el 35 %, pasando a ocupar la mayoría los custodios institucionales regulados, un cambio que las quiebras de las plataformas de intercambio de 2022 contribuyeron en gran medida a forzar. En tercer lugar, el canal de más rápido crecimiento es aquel en el que las cuestiones de custodia son invisibles para el titular final: un inversor en un ETF posee un derecho sobre valores, un custodio retiene las monedas y es posible que el titular nunca se forme una opinión sobre las claves.

Las salvedades son de carácter estructural. Se trata de estimaciones basadas en la agrupación de direcciones, las tenencias declaradas y la heurística en cadena; describen el bitcoin, y no existe una autoridad equivalente para la larga cola de otros activos; además, la inactividad —que miden las dos últimas filas— no permite distinguir entre el almacenamiento en frío profundo y las claves perdidas, una limitación que River señala claramente y que este informe repite cada vez que aparecen las cifras.

¿Cuántas personas poseen criptomonedas y cuántas tienen sus propias claves?

Los datos demográficos proceden de fuentes con distintos grados de fiabilidad. La Encuesta sobre Economía Doméstica y Toma de Decisiones de la Reserva Federal de EE. UU., la serie nacional más rigurosa, reveló que el 10 % de los adultos estadounidenses utilizaba o poseía criptomonedas en 2025: el 9 % como inversión y el 2 % para transacciones, concentrándose esta última proporción entre las personas sin cuenta bancaria, de las cuales el 6 % utilizaba criptomonedas para realizar transacciones. La serie alcanzó su máximo en el 12 % en 2021, cayó al 7 % en 2023 y se ha recuperado durante dos años consecutivos. El estudio de consumo de la FCA de 2025, realizado a través de YouGov en agosto y septiembre de 2025 con más de tres mil entrevistas, reveló que el 91 % de los adultos del Reino Unido conocía los criptoactivos y que, entre los usuarios británicos, el 73 % adquiría monedas a través de plataformas de intercambio centralizadas, lo que supone un aumento de cuatro puntos en un año; el 25 % de los usuarios afirmó que invertiría más si existiera un régimen regulatorio más claro en el Reino Unido. El Índice de Adopción Global de Chainalysis de 2025, que mide la actividad en lugar de las personas, situó a la India en primer lugar y a Estados Unidos en segundo, siendo Asia-Pacífico la región de más rápido crecimiento, con un aumento interanual del 69 % y más de 1,2 billones de dólares en compras brutas de bitcoins a través de pares con monedas fiduciarias en las plataformas de intercambio centralizadas analizadas entre julio de 2024 y junio de 2025.

Ahora, la laguna. Las encuestas sobre tenencia se limitan a preguntar «¿posees criptomonedas?» y rara vez preguntan dónde están las claves; la investigación de la FCA mide cómo compran los usuarios, lo que dice poco sobre dónde acaban los activos; el análisis en cadena observa las direcciones y puede estimar las cuotas de valor, pero no puede contabilizar a las personas que hay detrás de ellas. Si comparamos estas dos familias de instrumentos, el vacío que hay en medio resulta evidente: sabemos aproximadamente cuántas personas poseen criptomonedas en las jurisdicciones encuestadas y, a grandes rasgos, qué porcentaje del valor del bitcoin se encuentra en custodia propia, pero no disponemos de datos rigurosos sobre a cuántas personas pertenecen esas claves, qué opinan sobre sus modalidades de custodia o cuántas podrían recuperar realmente sus activos mañana. Las cuotas de valor y el número de titulares también divergen por su propia naturaleza, ya que el valor en autocustodia se concentra entre los grandes titulares y los de largo plazo, mientras que la mayoría de la población tiene contacto con las criptomonedas a través de las plataformas de intercambio y los fondos. Está previsto que las futuras ediciones de este informe aborden directamente el aspecto de la percepción con datos de encuestas específicas; la metodología se publicará junto con los resultados y, hasta entonces, este informe se abstiene de inventar cifras.

¿Qué impulsó a los titulares hacia la autocustodia y qué les aleja de ella?

Este impulso tiene fechas y cifras. A lo largo de 2022, las plataformas de rendimiento —entre ellas Celsius, Voyager y BlockFi, y posteriormente FTX en noviembre— quebraron con los activos de los clientes en su interior; el conjunto de datos brutos de incidentes de River asocia más de 100 000 BTC —aproximadamente 2 000 millones de dólares en aquel momento— con los servicios de rendimiento que quebraron solo en ese año; los clientes perdieron el acceso y se convirtieron en acreedores, y la serie no tiene en cuenta las recuperaciones parciales que algunos procedimientos pagaron posteriormente. La frase «si no son tus claves, no son tus monedas» dejó de ser un eslogan y se convirtió en una lección práctica de los procedimientos, varios de los cuales trataron determinados tipos de cuentas como créditos no garantizados de la masa de la quiebra, con resultados que dependían de los términos contractuales, los acuerdos de segregación y la legislación aplicable. Los datos de custodia muestran la respuesta: la cuota de bitcoin en custodia de las plataformas de intercambio cayó de más de la mitad en 2021 a aproximadamente el 35 %, y las que sobrevivieron se orientaron hacia la publicación de pruebas de reservas y compromisos de segregación, mientras que los custodios institucionales —cuyas ofertas suelen estructurarse en torno a compromisos de segregación que varían según la licencia y la jurisdicción— se hicieron con la mayor parte de lo que quedó en manos de terceros.

La tendencia es más reciente y presenta un aspecto más pulido. Desde que EE. UU. aprobó los ETF de bitcoin al contado en enero de 2024, la exposición intermediada se ha convertido en el canal de custodia de más rápido crecimiento: aproximadamente 300 000 millones de dólares a través de ETF y sociedades de gestión de activos para 2025, con hasta 50 millones de estadounidenses con exposición indirecta según las estimaciones de River, frente a los aproximadamente 30 millones que poseen monedas en las plataformas de intercambio o con custodios. El inversor en ETF cuenta con canales familiares, extractos de corretaje y ninguna ceremonia de entrega de claves; además, obtiene un derecho de reclamación en lugar de un activo, riesgos de contraparte y de estructura en lugar del riesgo de clave, y no tiene la posibilidad de retirar monedas. El índice de Chainalysis atribuye gran parte del crecimiento del 49 % de la actividad en Norteamérica precisamente a esta demanda institucional y de ETF. Ninguna de estas tendencias constituye un veredicto definitivo. La «presión» enseñó que los intermediarios fallan; la «atracción» demuestra que la mayor parte del dinero nuevo sigue prefiriendo a los intermediarios cuando estos vienen acompañados de regulación e interfaces familiares. Una interpretación madura es que la población se está clasificando según su temperamento y su interés: los titulares directos con gran convicción concentran el valor en la autocustodia, la adopción amplia y superficial llega a través de intermediarios, y la pregunta interesante para los próximos cinco años es en qué dirección se moverá el segmento intermedio a medida que las herramientas de autocustodia se vuelvan más fáciles de usar y la custodia regulada resulte más barata.

¿Cuánto le cuesta la autocustodia a sus usuarios?

El registro de pérdidas, según la investigación de River: se estima que se han perdido o robado más de 3 millones de BTC a lo largo de la historia del bitcoin, de los cuales la heurística de inactividad de River considera que aproximadamente 1,57 millones se han perdido de forma permanente, y el 98 % de las pérdidas estimadas se produjeron antes de 2020. River afirma que no puede determinar qué parte de esa cantidad se perdió específicamente a través de la autocustodia, considerando razonable únicamente que la mayor parte se encontrara fuera de las plataformas de custodia, y que la estimación no demuestra por sí sola que las herramientas modernas hayan reducido la tasa de pérdidas, ya que la inactividad no prueba la pérdida y las monedas más recientes han tenido menos tiempo para cumplir cualquier regla de inactividad. En contraposición, el registro de custodia: más de 100 000 BTC asociados, en términos brutos, a las plataformas de rendimiento fallidas de 2022, recuperaciones no compensadas, aproximadamente 2 600 millones de dólares desviados por intermediarios desde 2020, y el historial más antiguo de quiebras de plataformas de intercambio que se remonta a Mt. Gox. QuadrigaCX sigue siendo el ejemplo aleccionador en materia de gobernanza: el regulador de valores de Ontario concluyó que la plataforma funcionaba como un fraude, y que el dinero de los clientes se perdió en operaciones de negociación y no por ningún accidente de custodia. La pérdida, en otras palabras, es una característica de todos los modelos de custodia; lo que difiere es el modo de fallo: error operativo en uno, comportamiento de la contraparte en el otro. Todas estas cifras tienen las limitaciones propias de sus instrumentos: la inactividad no puede demostrar una pérdida ni identificar el acuerdo de custodia subyacente; las pérdidas documentadas son mínimos; y ninguno de los dos registros permite clasificar el riesgo a lo largo de la vida útil de los modelos para un titular concreto, ya que este depende en gran medida de las prácticas de dicho titular.

El registro se amplió con una nueva entrada justo al cierre de esta edición, lo que complica cualquier interpretación simplista de que el historial de pérdidas sea cosa del pasado. El 30 de julio de 2026, el fabricante de Coldcard reveló un fallo en la generación de semillas en el firmware derivado de una versión de marzo de 2021. Las generaciones afectadas no estaban expuestas por igual: Coinkite estimó de forma preliminar un espacio de búsqueda efectivo de aproximadamente 40 bits para las semillas afectadas de los modelos Mk2 y Mk3, y de aproximadamente 72 bits para las semillas afectadas de los modelos Mk4, Q y Mk5 afectadas, mientras que un análisis independiente realizado por Block no encontró entropía criptográfica que entrara en la ruta de generación vulnerable de los modelos Mk2/Mk3 y solo detectó una regeneración de la semilla de 32 bits en el elemento seguro de los modelos posteriores, advirtiendo que los límites máximos del espacio de búsqueda que incluyen el temporizador no equivalen a seguridad criptográfica. La explotabilidad práctica dependía del estado del dispositivo, la sincronización y el historial de llamadas al generador de números aleatorios (RNG), y las estimaciones seguían siendo preliminares mientras continuaba la investigación; los barridos posteriores demostraron que, en la práctica, el espacio era rastreable. Los barridos de carteras vulnerables se sucedieron en oleadas; Galaxy Research, según informó CoinDesk, atribuyó 1 367 BTC —aproximadamente 88 millones de dólares a principios de agosto— sustraídos de unas 4 585 direcciones a tres oleadas, y señaló por separado una cuarta oleada sospechosa de unos 449 BTC que elevaría la estimación a unos 114 millones de dólares, una atribución basada en la coincidencia de patrones sin que se hubiera confirmado aún ninguna víctima al cierre de esta edición. El 1 de agosto de 2026 se lanzó una versión corregida del firmware, y se indicó a los usuarios que generaran nuevas semillas y migraran, ya que el nuevo firmware no puede reparar una clave que ya era débil desde el principio. Un trabajo forense independiente permitió aclarar el panorama. El investigador de seguridad Vladimir S., que escribe bajo el seudónimo de «Officer’s Notes», documentó un barrido inicial de aproximadamente 1 195 direcciones en unos 41 minutos y dos oleadas simultáneas cuyos ingresos se consolidaron en el mismo bloque, en el mismo minuto, lo que apunta a un único actor en lugar de a atacantes rivales; Chainalysis observó que las carteras de alto valor fueron atacadas desde el principio, lo que sugiere que el atacante había estudiado a las víctimas antes de actuar. Hay dos detalles importantes para el argumento de este informe. «Officer’s Notes» informó de que las direcciones del conjunto examinado eran de firma única. Además, las semillas creadas con cincuenta o más tiradas de dados proporcionadas por el usuario, o protegidas por frases de contraseña BIP39 largas y únicas, quedaban fuera del conjunto vulnerable, ya que tanto la entropía añadida por el usuario como un segundo secreto sobrevivieron al fallo del firmware. Los recuentos difieren entre los rastreadores y los momentos de corte, por lo que, según la metodología de este informe, cada uno se cita con su instrumento en lugar de fusionarse. La lección estructural de este informe es clara: el riesgo operativo de la autocustodia incluye la calidad de implementación de las propias herramientas, una vulnerabilidad que ninguna disciplina por parte del usuario puede detectar desde el exterior, y que aboga por diseños en los que la aleatoriedad de un único dispositivo, o cualquier otro componente individual, no pueda resultar fatal por sí sola. Todas las cifras aquí presentadas corresponden a principios de agosto de 2026 y se revisarán en el próximo informe trimestral.

Hay dos costes que no figuran en los libros de contabilidad. El primero es la propia carga: la gestión de claves, la disciplina en las copias de seguridad, el diseño de la sucesión y la higiene de las firmas suponen un trabajo real; los modos de fallo son implacables, y el informe de pérdidas de esta academia documenta cómo afectan. El segundo llegó con el auge de las criptomonedas: un titular que se sabe que controla sus propias claves puede ser coaccionado, y CertiK documentó un récord de 72 ataques físicos a titulares en 2025. Ambos costes pueden abordarse mediante mejores herramientas, diseños de custodia sin un solo secreto extraíble y discreción, y ambos deben figurar en cualquier análisis honesto de lo que implica mantener tus propias claves. Ha surgido una literatura especializada en torno al problema de la coacción, y el investigador de seguridad Vladimir S., bajo el seudónimo de Officer’s Notes, enumera su variedad: códigos PIN de coacción que abren una pequeña cartera señuelo mientras alertan o borran datos, palabras clave preacordadas que avisan silenciosamente a contactos de confianza, quórums con bloqueo temporal que ralentizan y hacen visibles las transferencias forzadas y, en el ámbito experimental, métodos de ocultación esteganográfica y física, con la sensata advertencia de que las capas de ocultación complementan una arquitectura de custodia sólida, pero nunca la sustituyen.

¿Cómo está cambiando la tecnología de la autocustodia?

La primera generación otorgaba a un único dispositivo la clave completa y a una sola frase —la frase semilla— el poder de restaurarla: sencilla, soberana y frágil, con un único objeto que robar y otro que perder. Las carteras de hardware, la segunda generación, trasladaron la clave de los dispositivos conectados a Internet a hardware de firma dedicado, un auténtico avance frente al malware que dejaba la propia frase semilla como único punto de fallo; el artículo de la academia sobre la frase semilla analiza esa anatomía. El fallo de entropía de la Coldcard de 2026 añadió la salvedad de esta generación: el aislamiento protege una clave solo en la medida en que lo hizo el código del proveedor al generarla, por lo que la calidad de la implementación y la revisión independiente deben formar parte de cualquier evaluación de hardware. La multifirma, la tercera generación, interpone un quórum de claves independientes entre los activos y cualquier fallo individual; las configuraciones heredadas y basadas en rutas de script pueden revelar la política en la cadena, mientras que las firmas agregadas mediante rutas de clave de Taproot no tienen por qué hacerlo, y la mecánica varía según la cadena. La cuarta generación, la firma por umbral MPC, especificada en esquemas como FROST, traslada el quórum al interior de la criptografía: las partes de clave que poseen diferentes partes firman conjuntamente sin que se ensamble la clave completa en el momento de su uso, y en los diseños que utilizan la generación distribuida de claves, la clave completa no tiene por qué existir en absoluto. Las instituciones fueron las primeras en adoptar la MPC, por razones operativas que se tratan en el artículo sobre custodia institucional, y desde entonces las carteras MPC para consumidores han llevado la misma estructura a los particulares, a veces combinadas con diseños basados en guardianes o en la recuperación del quórum que sustituyen por completo a la frase semilla.

La línea conductora es más importante que el marketing de cualquier generación. Cada paso aborda el punto único de fallo, la característica estructural que, según la investigación sobre pérdidas de esta academia, se encuentra detrás de la mayoría de los resultados catastróficos en todos los modelos de custodia. Y las afirmaciones de cada paso son condicionales: una multisig cuyas claves comparten una copia de seguridad es un punto único de fallo disfrazado, y las garantías de una cartera MPC dependen de quién posea qué partes, cómo se generaron y qué permiten las vías de recuperación y administrativas. La disciplina de evaluación es la misma en todas las generaciones, y los artículos comparativos de la academia la aplican: hay que preguntarse qué le reporta a un atacante un componente robado, cuánto le cuesta al titular la pérdida de un componente y quién, si es que hay alguien, puede actuar sin ti.

¿Hacia dónde se dirige la autocustodia de aquí a 2027?

Hay tres tendencias que parecen lo suficientemente sólidas como para señalarlas. En primer lugar, el panorama regulatorio se está desarrollando jurisdicción por jurisdicción, en lugar de converger en una única norma. La MiCA de la UE define la custodia en torno a la custodia o el control de los activos o de sus medios de acceso, y le atribuye obligaciones; el nuevo régimen de criptoactivos del Reino Unido está previsto que entre en vigor en octubre de 2027; y Estados Unidos sigue siendo un mosaico fragmentado de marcos normativos federales y estatales. Lo que comparten los regímenes desarrollados es una tendencia a razonar desde el control, lo que seguirá clasificando los productos según su arquitectura de firma real, más que según su marca. En segundo lugar, el canal intermediado seguirá creciendo en términos absolutos mientras exista el acceso al estilo de los ETF, y sus titulares seguirán necesitando formación sobre qué es exactamente lo que poseen —un derecho— y qué es lo que no poseen —monedas—. En tercer lugar, el coste operativo de la autocustodia parece estar disminuyendo: la maduración de los diseños de hardware, quórum y MPC, así como el crecimiento de las arquitecturas de recuperación sin claves únicas, apuntan en esa dirección, y la concentración de las pérdidas estimadas de River antes de 2020 concuerda con ello, aunque una estimación de inactividad no puede por sí sola demostrar una tasa de pérdidas actual, y el fallo de Coldcard de 2026 es un recordatorio constante de que el riesgo de implementación de los proveedores no disminuye con la habilidad del usuario. Lo que este informe se niega a hacer es pronosticar cuotas de mercado. El impulso de 2022 fue imprevisto, la magnitud de la retirada de los ETF sorprendió a sus propios patrocinadores y los flujos de custodia siguen a los acontecimientos. El compromiso es, en cambio, la medición: las cifras anteriores se volverán a verificar trimestralmente, la laguna en la encuesta que identifica este informe está incluida en su hoja de ruta, y los lectores que citen el informe deben indicar cada cifra junto con su instrumento y fecha.

Preguntas frecuentes

¿La mayor parte de las criptomonedas se mantiene en las plataformas de intercambio?

En el caso del bitcoin, no. El estudio de River de 2025 estima que aproximadamente el 65 % del suministro se encuentra en custodia propia y, dentro del resto gestionado por terceros, la cuota de las plataformas de intercambio ha descendido de más de la mitad en 2021 a aproximadamente el 35 %, a medida que han crecido los custodios institucionales. No existe una estimación comparable para la mayoría de los demás activos, y los patrones de tenencia varían según el activo y el tipo de titular.

¿Cuántas personas conservan sus propias claves?

Nadie lo sabe con certeza, y este informe lo trata como una conclusión. Las encuestas miden la propiedad y los canales de compra; el análisis en cadena mide el valor y las direcciones; ninguno de los dos cuenta a los titulares de claves. La cifra que más se suele solicitar —qué porcentaje de titulares podría recuperar realmente sus activos sin ayuda— no cuenta con una medición pública rigurosa, lo que constituye la laguna que las futuras ediciones de este informe pretenden abordar.

¿Es la autocustodia más peligrosa que dejar las monedas en una plataforma?

Conllevan riesgos diferentes, más que una cuestión de mayor o menor riesgo. Las pérdidas de la autocustodia son de carácter operativo: pérdida de claves, fallos en las copias de seguridad y, como demostró el incidente de Coldcard en 2026, fallos en las propias herramientas; la estimación de River, basada en la inactividad, concentra el 98 % de las pérdidas estimadas antes de 2020, aunque señala que no puede atribuir las pérdidas específicamente a la autocustodia. Las pérdidas en la custodia son eventos relacionados con la contraparte, la insolvencia, el uso indebido y el fraude, y el año 2022 registró las mayores cifras recientes. El riesgo que predomine para un titular concreto depende de sus prácticas, su participación y sus alternativas, por lo que las guías de esta academia tratan la elección como una decisión de diseño más que como un veredicto.

¿Tienen bitcoin los inversores en ETF?

Tienen una exposición regulada al precio del bitcoin: un derecho sobre un fondo cuyos custodios mantienen las monedas. Esto resulta adecuado para muchos inversores y difiere de poseer el activo: una posición en un ETF no puede retirarse en forma de monedas, ni negociarse en la cadena de bloques, ni mantenerse al margen de la estructura del fondo. Vale la pena comprender esta distinción antes de elegir cualquiera de las dos vías, y, según las estimaciones de River, hasta 50 millones de estadounidenses podrían encontrarse en el lado de la exposición.

¿Qué es la autocustodia MPC y se trata realmente de autocustodia?

Las carteras MPC dividen el poder de firma en partes que cooperan para firmar sin necesidad de reunir la clave completa, y gracias a la generación distribuida de claves, nunca es necesario que exista una clave completa. Que una cartera MPC concreta sea de autocustodia es una cuestión que depende de los hechos y las circunstancias: depende de quién posea qué partes, de si alguna de las partes puede firmar o bloquear la firma sin el titular, y de si el titular puede recuperar un quórum de forma independiente. Los diseños sólidos responden a estas preguntas a favor del titular y publican suficientes detalles para poder verificarlo; la etiqueta por sí sola no resuelve nada.

Fuentes y lecturas recomendadas

Fuentes primarias de esta edición, actualizadas a agosto de 2026. Las cifras se vuelven a verificar cada trimestre y los cambios se indican en el historial de revisiones.

• River, Informe sobre la custodia de bitcoins de 2025: cuotas de custodia, exposición indirecta, cuentas inactivas y estimaciones de pérdidas, con las limitaciones indicadas. https://river.com/content/bitcoin-custody-report-2025
• Junta de la Reserva Federal, Informe sobre el bienestar económico de los hogares estadounidenses en 2025 (SHED), conclusiones sobre banca y criptomonedas. https://www.federalreserve.gov/publications/2026-economic-well-being-of-us-households-in-2025-banking.htm
• Autoridad de Conducta Financiera, Nota de investigación: Estudio de mercado sobre criptoactivos 2025. https://www.fca.org.uk/publications/research-notes/cryptoassets-consumer-research-2025
• Chainalysis, Índice global de adopción de criptomonedas 2025. https://www.chainalysis.com/blog/2025-global-crypto-adoption-index/
• Chainalysis, Informe sobre delitos relacionados con las criptomonedas de 2026: análisis de fondos sustraídos. https://www.chainalysis.com/blog/crypto-hacking-stolen-funds-2026/
• ESMA, MiCA, artículo 3, apartado 1, punto 17: definición de «custodia» como la guarda o el control de criptoactivos o de los medios de acceso a los mismos. https://www.esma.europa.eu/publications-and-data/interactive-single-rulebook/mica/article-3-definitions
• AEVM, artículo 75 de la MiCA: obligaciones a la hora de prestar servicios de custodia y administración de criptoactivos, incluida la segregación. https://www.esma.europa.eu/publications-and-data/interactive-single-rulebook/mica/article-75-providing-custody-and
• FCA, el nuevo régimen regulador de criptoactivos del Reino Unido y su calendario de entrada en vigor. https://www.fca.org.uk/firms/new-regime-cryptoasset-regulation
• Bitcoin BIP 327, MuSig2: Firmas agregadas de ruta de clave Taproot y su huella en la cadena. https://bips.dev/327/
• RFC Editor, RFC 9591: el esquema de firma con umbral FROST (informativo). La generación de claves queda fuera del alcance del RFC, que incluye un ejemplo de «distribuidor de confianza» en un apéndice; la generación distribuida de claves se especifica en otro documento. https://www.rfc-editor.org/rfc/rfc9591.html
• Centro de Denuncias de Delitos en Internet del FBI, Informe sobre delitos en Internet de 2025. https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf
• CertiK, Informe sobre los ataques «Skynet Wrench»: incidentes y pérdidas por ataques físicos en 2025. https://www.certik.com/ko/skynet-report/skynet-wrench-attacks-report
• Coinkite, aviso de seguridad sobre Coldcard: fallo de entropía en la generación de semillas, firmware afectado y medidas que deben tomar los usuarios (30 de julio de 2026, actualizado el 1 de agosto de 2026). https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/
• Coinkite, análisis técnico en profundidad del problema de entropía, incluidas sus estimaciones preliminares del espacio de búsqueda de 40 y 72 bits. https://blog.coinkite.com/entropy-technical-backgrounder/
• Block Engineering, análisis independiente del mecanismo de reserva del RNG y la regeneración de 32 bits en el firmware de COLDCARD, así como de los límites de las estimaciones del espacio de búsqueda. https://engineering.block.xyz/blog/predictable-rng-fallback-and-32-bit-reseed-in-coldcard-firmware
• Repositorio de firmware de COLDCARD: la actualización de marzo de 2021 que introdujo la ruta de generación afectada. https://github.com/Coldcard/firmware/commit/b18723dddb6d751c39978e4364b56b2414f68b47
• CoinDesk, informe sobre el seguimiento en cadena realizado por Galaxy Research de las operaciones de barrido de Coldcard (2 y 3 de agosto de 2026). https://www.coindesk.com/tech/2026/08/03/coldcard-wallet-losses-may-near-usd114-million-as-possible-fourth-sweep-emerges
• Vladimir S. (Notas del oficial), El robo de Coldcard: cuando el generador de números aleatorios no fue aleatorio: análisis forense independiente de las oleadas de retiros, el fallo de entropía y las recomendaciones para los titulares. https://x.com/officer_secret/status/2083379158357364841
• Vladimir S. (Notas del agente), guía de métodos extremos de protección de la autocustodia, herramientas contra el secuestro y seguridad operativa. https://x.com/officer_secret/status/2078446259694682517
• Chainalysis, análisis en cadena de la operación de barrido de Coldcard y del patrón de selección de víctimas (31 de julio de 2026). https://x.com/chainalysis/status/2083258384396996713
• Comisión de Valores de Ontario, informe de revisión de QuadrigaCX. https://www.osc.gov.on.ca/quadrigacxreport/
• FCA, declaración sobre problemas habituales en el marketing de criptomonedas. https://www.fca.org.uk/news/statements/common-issues-crypto-marketing

Para citar este informe: Bron Academy, «The State of Crypto Self-Custody 2026», primera edición, agosto de 2026, bron.org/academy.