![\"Phantom](\"https:\/\/lh3.googleusercontent.com\/sitesv\/AG8ngQUHlQyXDHIU-qKVh2q8zG1fIAPwOEVVsL6ULQFQ-gJgmocdgfd2GrWCCsU7QRNpFna-SsNYUWLPJRouIiTEyuxCHV5ONXGgQig4CfIN7zXZCAeOpVhBaF62tq1rSV1u3bg00QIpcBNgliTbeTtUpkxfIfhEiJRnZmx9bMLpiyP7JQ6oGw5zmyWZ6EtH4LhpUdf6lPq3ObIWvFCg6j_WwEU\")
<\/p>\nUna empresa que maneja criptomonedas \u2014ya sea el tesorero de una peque\u00f1a compa\u00f1\u00eda que administra reservas operativas o una organizaci\u00f3n aut\u00f3noma descentralizada que distribuye fondos\u2014 se enfrenta a un problema estructural que el software de billeteras comerciales no fue dise\u00f1ado originalmente para resolver. La autocustodia individual funciona cuando una persona controla una clave privada. Sin embargo, los activos compartidos requieren m\u00faltiples aprobaciones, registros de auditor\u00eda, separaci\u00f3n de roles y mecanismos de recuperaci\u00f3n que impiden que una sola persona mueva todo el tesoro. El dise\u00f1o de Phantom Wallet enfatiza el control individual y la facilidad de uso, lo que representa tanto una oportunidad como una limitaci\u00f3n para los equipos que intentan implementar la gobernanza sobre el capital compartido.<\/p>\n
La cuesti\u00f3n pr\u00e1ctica no es si Phantom puede gestionar los activos empresariales \u2014de hecho, puede hacerlo mediante la creaci\u00f3n de cuentas b\u00e1sicas y el control de autocustodia\u2014. La verdadera pregunta es si una organizaci\u00f3n puede utilizar las funciones de Phantom para implementar los controles que exige una gesti\u00f3n responsable de los activos. Esto requiere comprender la separaci\u00f3n de cuentas, la integraci\u00f3n con la cartera de hardware Ledger, las direcciones de solo lectura, los flujos de trabajo de revisi\u00f3n de transacciones y las limitaciones de una cartera de un solo usuario cuando varias personas necesitan coordinarse. La respuesta determina si Phantom puede formar parte de la gesti\u00f3n de tesorer\u00eda de una empresa o si debe seguir siendo una herramienta para la tenencia individual de activos.<\/p>\n
La autocustodia implica que el propietario de la billetera posee la clave privada, controla todas las transacciones y es totalmente responsable en caso de p\u00e9rdida o robo. Phantom implementa este modelo deliberadamente: la billetera no puede revertir transacciones, congelar cuentas ni recuperar frases de recuperaci\u00f3n perdidas, ya que no existe una autoridad central que medie entre el usuario y la cadena de bloques. Este dise\u00f1o protege a los usuarios de la interferencia de la plataforma y de fallos en la custodia. Tambi\u00e9n significa que Phantom no puede implementar los controles que un tesorero o un consejo de administraci\u00f3n suelen requerir para autorizar gastos, limitar los importes de las transacciones o exigir m\u00faltiples firmas antes de la liquidaci\u00f3n.<\/p>\n
Las transacciones multifirma (multisig), por el contrario, son una caracter\u00edstica de la cadena de bloques. Una direcci\u00f3n multifirma requiere la aprobaci\u00f3n de varias claves privadas antes de autorizar una transacci\u00f3n. Phantom no es una billetera multifirma en el sentido de que no puede generar direcciones multifirma ni coordinar la firma entre varios titulares. Sin embargo, Phantom puede interactuar con direcciones multifirma mediante una conexi\u00f3n de navegador a aplicaciones compatibles o mediante la firma de billeteras de hardware. Si una empresa ha establecido una tesorer\u00eda multifirma utilizando una herramienta especializada como Gnosis Safe o Squads Protocol en Solana, los miembros del equipo podr\u00edan usar Phantom como interfaz de firma sin que Phantom gestione la l\u00f3gica multifirma por s\u00ed mismo.<\/p>\n
Es fundamental comprender esta distinci\u00f3n. Phantom ofrece gesti\u00f3n de cuentas, revisi\u00f3n de transacciones y conectividad con monederos de hardware. Una empresa debe a\u00f1adir la funcionalidad de multifirma mediante una infraestructura adicional dise\u00f1ada para la gobernanza del equipo. Intentar lograr la protecci\u00f3n de multifirma mediante la separaci\u00f3n de cuentas dentro de un \u00fanico monedero Phantom \u2014por ejemplo, creando varias cuentas y coordinando manualmente qu\u00e9 persona usa cada una\u2014 crea una apariencia de control sin la aplicaci\u00f3n criptogr\u00e1fica necesaria. Una sola persona con acceso a la frase de recuperaci\u00f3n puede transferir fondos desde cualquier cuenta del monedero, lo que anula el prop\u00f3sito declarado de la separaci\u00f3n.<\/p>\n
La medida de seguridad fundamental consiste en separar el **modelo de custodia de claves** del **modelo de gesti\u00f3n de cuentas**. La separaci\u00f3n de cuentas en Phantom es \u00fatil para la claridad organizativa y la reducci\u00f3n de errores humanos; no sustituye a la multifirma. Para que una empresa o DAO logre un control multifirma genuino, son imprescindibles las carteras de hardware, las plataformas multifirma especializadas y la distribuci\u00f3n intencionada de claves entre diferentes personas.<\/p>\n
Phantom permite a los usuarios crear varias cuentas dentro de una misma billetera, cada una con su propia direcci\u00f3n y saldo, todas derivadas de la misma frase de recuperaci\u00f3n. Esta funci\u00f3n resulta \u00fatil para una mejor organizaci\u00f3n, incluso sin ofrecer separaci\u00f3n criptogr\u00e1fica. Un tesorero podr\u00eda crear cuentas con las etiquetas \u00abReservas Operativas\u00bb, \u00abN\u00f3mina de Desarrolladores\u00bb, \u00abGastos Legales y Cumplimiento\u00bb y \u00abFondo de Contingencia\u00bb para visualizar las diferentes categor\u00edas de gastos. Cada cuenta tiene su propio historial de transacciones, visualizaci\u00f3n del saldo y agrupaci\u00f3n de activos. Un miembro del equipo que revise la lista de cuentas puede identificar r\u00e1pidamente qu\u00e9 direcci\u00f3n corresponde a cada prop\u00f3sito.<\/p>\n
Las ventajas operativas son reales, pero no deben confundirse con el control de acceso. Todas las cuentas permanecen bajo el control de quien posee la frase de recuperaci\u00f3n. Si la frase de recuperaci\u00f3n se ve comprometida, todas las cuentas se ven comprometidas simult\u00e1neamente. Si se roba el dispositivo con Phantom instalado, un atacante con acceso puede autorizar transacciones desde cualquier cuenta sin autenticaci\u00f3n adicional (dependiendo de la configuraci\u00f3n de la pantalla de bloqueo del dispositivo y la configuraci\u00f3n de seguridad local de Phantom). Por lo tanto, la separaci\u00f3n de cuentas debe entenderse como una herramienta de etiquetado y seguimiento, no como un l\u00edmite de permisos.<\/p>\n
La separaci\u00f3n de cuentas resulta valiosa al combinarse con otros controles. Por ejemplo, una empresa podr\u00eda designar una cuenta Phantom como direcci\u00f3n de \"revisi\u00f3n y firma\" que recibe paquetes de transacciones de un sistema multifirma externo, mientras que otras cuentas mantienen reservas a largo plazo. En esta configuraci\u00f3n, la billetera Phantom act\u00faa como interfaz de firma en lugar de como custodio principal. La direcci\u00f3n multifirma subyacente aplica la regla de gobernanza; Phantom proporciona la interfaz de usuario y la conectividad de la billetera de hardware para firmar en nombre de dicha direcci\u00f3n.<\/p>\n
El flujo de trabajo pr\u00e1ctico ser\u00eda el siguiente: (1) un proceso de gobernanza multifirma determina que los fondos deben transferirse desde la tesorer\u00eda; (2) un coordinador prepara una transacci\u00f3n y la difunde a los firmantes a trav\u00e9s de una interfaz compartida o comunicaci\u00f3n directa; (3) cada firmante requerido utiliza Phantom (posiblemente con un dispositivo Ledger conectado) para revisar y firmar la transacci\u00f3n; (4) una vez que se acumula el n\u00famero de firmas requerido, la transacci\u00f3n se liquida en la cadena de bloques. La funci\u00f3n de vista previa de transacciones de Phantom resulta particularmente valiosa en este contexto: mostrar la direcci\u00f3n de destino, el monto y los activos afectados permite a los firmantes verificar que la transacci\u00f3n coincide con la instrucci\u00f3n autorizada antes de firmar.<\/p>\n
La capacidad de Phantom para conectarse a las carteras de hardware Ledger resuelve uno de los problemas de seguridad m\u00e1s importantes para la gesti\u00f3n de activos empresariales. Un dispositivo Ledger almacena las claves privadas en un entorno seguro y nunca las exporta. Cuando Phantom se conecta a un Ledger y el usuario inicia una transacci\u00f3n, el software de la cartera prepara los detalles de la transacci\u00f3n y los env\u00eda al dispositivo. El Ledger muestra la transacci\u00f3n en su pantalla, el usuario la revisa y confirma f\u00edsicamente su aprobaci\u00f3n mediante los botones del dispositivo. La transacci\u00f3n firmada regresa a Phantom y se transmite a la red. Durante todo este proceso, la clave privada nunca sale del dispositivo y Phantom nunca tiene acceso directo a ella.<\/p>\n
Esta arquitectura es mucho m\u00e1s dif\u00edcil de vulnerar que una billetera de software por s\u00ed sola. El malware en una computadora con Phantom instalado a\u00fan puede mostrar detalles de transacciones falsos, pero no puede firmar transacciones autom\u00e1ticamente sin la confirmaci\u00f3n expl\u00edcita del usuario en la pantalla de Ledger. Un dispositivo robado con Phantom instalado, sin el dispositivo Ledger asociado, no puede transferir fondos. Un atacante que robe el dispositivo Ledger sin el PIN no puede gastar los fondos sin adivinar una clave secreta adicional.<\/p>\n
Para una empresa, la configuraci\u00f3n t\u00edpica consiste en distribuir dispositivos Ledger entre varios firmantes, cada uno con su propia frase de recuperaci\u00f3n y PIN. El dispositivo de una persona podr\u00eda guardarse en una caja fuerte, el de otra en una ubicaci\u00f3n diferente y el de una tercera en poder de un firmante de respaldo designado. Si la empresa requiere tres de cinco firmas (una multifirma 3 de 5), ninguna persona puede mover unilateralmente fondos de tesorer\u00eda y ninguna ubicaci\u00f3n concentra todas las claves. Phantom, que se ejecuta en un ordenador de la oficina, puede comunicarse con cualquier dispositivo Ledger conectado a dicho ordenador, lo que permite que diferentes personas utilicen el mismo equipo de oficina para firmar en distintos momentos.<\/p>\n
El modelo de seguridad sigue dependiendo de un uso cuidadoso. El PIN que protege cada dispositivo Ledger debe ser \u00fanico y no compartirse con otros propietarios. La frase de recuperaci\u00f3n de cada Ledger debe almacenarse de forma segura sin conexi\u00f3n a internet, y su ubicaci\u00f3n solo debe ser conocida por el propietario del dispositivo (o un contacto de emergencia designado). Los miembros del equipo deben comprender que confirmar una transacci\u00f3n en la pantalla del Ledger constituye una autorizaci\u00f3n vinculante, y deben verificar cuidadosamente los detalles de la transacci\u00f3n antes de pulsar los botones. La documentaci\u00f3n y la capacitaci\u00f3n son tan importantes como la tecnolog\u00eda en s\u00ed.<\/p>\n
Phantom admite direcciones de solo lectura, que permiten a un usuario ver los saldos y el historial de transacciones sin necesidad de tener la clave privada para firmarlas. Para un tesorero empresarial, una direcci\u00f3n de solo lectura proporciona visibilidad del saldo de la tesorer\u00eda sin tener que custodiarlo. Por ejemplo, todos los miembros del equipo podr\u00edan a\u00f1adir una direcci\u00f3n de tesorer\u00eda multifirma a Phantom como de solo lectura, lo que permite a todos ver el saldo actual y el historial de transacciones en una interfaz coherente. Esto reduce la dependencia de exploradores de bloques externos y permite a los miembros del equipo consultar una \u00fanica fuente de informaci\u00f3n fiable dentro de la billetera.<\/p>\n
Las direcciones de solo lectura no requieren que se importe la frase de recuperaci\u00f3n ni la clave privada a Phantom. En su lugar, el usuario solo proporciona la direcci\u00f3n p\u00fablica. Phantom consulta la cadena de bloques y muestra el saldo, los tokens y el historial de transacciones de la direcci\u00f3n. La interfaz es similar a la de una cuenta normal, pero no se pueden iniciar transacciones desde una direcci\u00f3n de solo lectura dentro de Phantom. Si una transacci\u00f3n debe firmarse, un miembro del equipo utilizar\u00eda su dispositivo Ledger u otro mecanismo de firma externo a Phantom para autorizarla; una vez que Phantom se haya liquidado en la cadena, mostrar\u00e1 la transacci\u00f3n confirmada.<\/p>\n
Esta funci\u00f3n resulta especialmente \u00fatil para la monitorizaci\u00f3n de equipos distribuidos. Un equipo podr\u00eda a\u00f1adir la direcci\u00f3n de tesorer\u00eda multifirma como de solo lectura a la instalaci\u00f3n de Phantom de cada miembro, lo que permite comprobar al instante si los gastos recientes coinciden con la autorizaci\u00f3n del consejo. Un responsable de cumplimiento normativo podr\u00eda mantener una lista de solo lectura con todas las direcciones de las principales empresas, lo que permite realizar comprobaciones puntuales sin necesidad de acceder a las claves de firma. El modelo de solo lectura elimina un riesgo operativo com\u00fan: la tentaci\u00f3n de importar una clave privada a una cartera de escritorio solo para comprobar el saldo, lo que aumenta inadvertidamente la vulnerabilidad.<\/p>\n
En una organizaci\u00f3n peque\u00f1a, el dispositivo Phantom de una sola persona podr\u00eda contener varias direcciones de solo lectura correspondientes a diferentes direcciones de tesorer\u00eda empresarial, mientras que el dispositivo Ledger de esa persona almacena la clave de firma. En una organizaci\u00f3n m\u00e1s grande, las direcciones de solo lectura en Phantom pueden servir como herramienta de auditor\u00eda y conciliaci\u00f3n, incluso si la firma se realiza a trav\u00e9s de una plataforma de gobernanza independiente.<\/p>\n
Phantom muestra los detalles de la transacci\u00f3n antes de que el usuario la firme, incluyendo la direcci\u00f3n de destino, el importe, la red, el tipo de token y las tarifas de gas estimadas. Este paso de vista previa es b\u00e1sico, pero crucial cuando varios miembros del equipo revisan la misma transacci\u00f3n. Un tesorero que prepara un pago puede generar los detalles de la transacci\u00f3n y compartirlos con un aprobador verbalmente, por correo electr\u00f3nico o mediante un registro de aprobaci\u00f3n documentado. El aprobador puede revisar esos detalles en la pantalla de vista previa de Phantom y verificar que la direcci\u00f3n, el importe y el tipo de token coincidan con la instrucci\u00f3n autorizada antes de firmar.<\/p>\n
El riesgo que se mitiga es com\u00fan: un usuario podr\u00eda firmar una transacci\u00f3n con la intenci\u00f3n de enviar 100 USDC a un proveedor, pero aprobar accidentalmente una transacci\u00f3n que env\u00eda 100 SOL (o una cantidad mucho mayor) a una direcci\u00f3n diferente debido a una revisi\u00f3n descuidada o a t\u00e9cnicas de ingenier\u00eda social. La vista previa de Phantom permite detectar este error antes de que sea irreversible. Un segundo aprobador que revise la misma vista previa de forma independiente crea un punto de control adicional.<\/p>\n
Sin embargo, las vistas previas de transacciones por s\u00ed solas no constituyen un mecanismo de multifirma. Si una \u00fanica billetera Phantom contiene varias cuentas y varios miembros del equipo tienen acceso al mismo dispositivo, cualquiera de ellos puede crear y firmar una transacci\u00f3n sin el conocimiento de los dem\u00e1s. La vista previa seguir\u00eda mostrando los detalles, pero no existe una pausa obligatoria que requiera la aprobaci\u00f3n expl\u00edcita de una segunda persona. Los flujos de trabajo de aprobaci\u00f3n genuinos requieren (1) una funcionalidad de multifirma donde la propia cadena de bloques exige m\u00faltiples firmas, o (2) un proceso documentado donde una persona prepara la transacci\u00f3n, una segunda persona la revisa antes de firmarla y una tercera persona la audita despu\u00e9s de que se registra en la cadena.<\/p>\n
Phantom puede brindar soporte en la documentaci\u00f3n de este proceso. Las notas detalladas sobre el prop\u00f3sito comercial de cada transacci\u00f3n, vinculadas al hash de la transacci\u00f3n y las firmas de aprobaci\u00f3n, crean un registro de auditor\u00eda. Con el tiempo, este registro permite a la gerencia revisar las decisiones de gasto e identificar actividades no autorizadas o inusuales. Phantom no crea estas notas autom\u00e1ticamente (esto requiere una disciplina deliberada del equipo), pero la interfaz de la billetera permite tomar capturas de pantalla o exportar el historial de transacciones en un formato adecuado para el registro.<\/p>\n
Phantom es compatible con m\u00faltiples blockchains, incluyendo Solana, Ethereum, Base, Polygon, Bitcoin y otras. Una empresa que gestiona activos en varias redes se enfrenta a un desaf\u00edo de coordinaci\u00f3n: cada blockchain tiene estructuras de comisiones, tiempos de confirmaci\u00f3n, est\u00e1ndares de tokens y formatos de direcciones diferentes. Una sola billetera Phantom puede albergar cuentas en m\u00faltiples redes, pero los miembros del equipo deben comprender en qu\u00e9 red est\u00e1n operando y asegurarse de que las transacciones se dirijan al destino previsto.<\/p>\n
Consideremos un escenario en el que una empresa posee USDC tanto en Ethereum como en Polygon. Las direcciones de las cuentas parecen similares, pero est\u00e1n en redes diferentes, y enviar USDC de Ethereum a una direcci\u00f3n de Polygon resultar\u00eda en la p\u00e9rdida de fondos. La interfaz de Phantom muestra la red en el encabezado de la cuenta y en la vista previa de la transacci\u00f3n, pero un usuario que trabaje con rapidez o bajo presi\u00f3n podr\u00eda no percatarse. La capacitaci\u00f3n y las listas de verificaci\u00f3n se vuelven esenciales: antes de firmar cualquier transacci\u00f3n, un miembro del equipo debe verificar (1) la red blockchain, (2) el formato de la direcci\u00f3n de destino (las direcciones de Ethereum comienzan con 0x; las direcciones de Solana est\u00e1n codificadas en base58; las direcciones de Bitcoin utilizan formatos diferentes) y (3) que el destino coincida con una direcci\u00f3n aprobada para esa red.<\/p>\n
Las alertas de estafa integradas en Phantom ofrecen una protecci\u00f3n adicional. Si una transacci\u00f3n parece enviar fondos a una direcci\u00f3n maliciosa conocida o sigue un patr\u00f3n de phishing conocido, Phantom puede mostrar una advertencia. Estas alertas son \u00fatiles, pero incompletas: no detectan todas las estafas y es posible que no reconozcan los patrones de ataque m\u00e1s recientes. Por lo tanto, Phantom debe ser una capa m\u00e1s dentro de una defensa integral, no la \u00fanica protecci\u00f3n contra el fraude.<\/p>\n