¿Qué sucede realmente con tu clave privada cuando tocas “Iniciar sesión con Google” para abrir un monedero de criptomonedas? Tu monedero “iniciar sesión con Google” vuelve a generar la clave privada en tu dispositivo cada vez que inicias sesión. Google nunca posee esa clave. Google solo responde una pregunta: ¿es esta persona quien dice ser? Después de eso, otro sistema toma el control. Aquí es lo que realmente sucede: Tu clave se divide en 3 partes. Cualquier 2 la reconstruyen. Parte A: en tu dispositivo Parte B: bloqueada detrás de tu inicio de sesión, almacenada en sus servidores Parte C: recuperación (contraseña, copia de seguridad, otro dispositivo) Cuando tocas “Iniciar sesión con Google/Apple”: 1. Google o Apple verifican que eres tú y le entregan a tu aplicación un token de inicio de sesión. 2. Tu aplicación no envía ciegamente ese token a un solo servidor. Primero envía un hash del token a su red de nodos, espera hasta que suficientes nodos lo hayan reconocido, y luego revela el token. Esto está diseñado para evitar que un nodo malicioso capture tu inicio de sesión y se haga pasar por ti. 3. Cada nodo verifica el token por su cuenta y devuelve su parte de tu clave de cifrado. 4. Más de la mitad de los nodos deben ser honestos para que la clave de cifrado se vuelva a reconstruir. Generar claves nuevas es más estricto: más de tres cuartos de los nodos deben ser honestos. Su documentación dice que eligieron esos umbrales intencionalmente. Prefieren que todo el sistema falle antes de que un ladrón reconstruya claves. 5. Esa clave de cifrado desbloquea la parte B desde el almacenamiento. 6. La parte B más la parte A, que está en tu dispositivo, reconstruyen la clave privada real del monedero. Dos puntos en una línea, la clave en la intersección. El nombre técnico es interpolación de Lagrange. 7. Ahora puedes firmar. Cuando cierras sesión, se supone que la clave reconstruida desaparece. Al iniciar sesión nuevamente, se vuelve a reconstruir. Entonces, “sin frase semilla” no significa sin clave. Significa que otra red decide cuándo recuperas tu clave. Esa es la capa que se rompió en el reciente hack de Keplr. Web3Auth dice que el problema estuvo en su propia infraestructura y expuso claves para algunos monederos de Keplr con inicio de sesión por Google/Apple. El inicio de sesión social es adecuado para polvo de airdrop. Para dinero que te importaría perder, usa una frase semilla que controles tú, o un dispositivo hardware. ¿Aún mantendrías dinero real en un monedero con inicio de sesión social?