Principios de Seguridad

Diseño sin custodia

TZUR Wallet es totalmente sin custodia. Tus claves privadas nunca se almacenan en servidores, y TZUR no tiene ninguna capacidad para acceder, congelar ni mover tus fondos. No hay cuentas que crear, no hay almacenamiento en la nube de los datos de la billetera, y no hay registro del lado del servidor de tus tenencias de Bitcoin. Tus claves existen únicamente en tu computadora, protegidas por la seguridad de Windows y, cuando esté habilitado, por el TPM de tu computadora. Si los servidores de TZUR desaparecieran mañana, tu Bitcoin seguiría siendo totalmente accesible. Podés recuperar tu billetera usando tu frase semilla y cualquier aplicación de billetera compatible con BIP-39.

Generación y derivación de claves

Las claves privadas se generan localmente en tu computadora. La aleatoriedad criptográfica la proporciona el generador de números aleatorios seguro del sistema operativo (BCryptGenRandom en Windows). TZUR sigue BIP-32 para la derivación jerárquica determinista de claves, lo que significa que toda tu billetera se deriva de una única semilla maestra. Para la generación de direcciones, TZUR implementa BIP-84 para producir direcciones Native SegWit (bech32) usando la ruta de derivación m/84'/0'/0'. Esto es totalmente determinista: la misma semilla siempre producirá la misma secuencia de direcciones. Nunca se genera material de claves en un servidor remoto ni se transmite a uno.

Seguridad de la frase semilla

Tu frase semilla de 12 palabras se genera localmente conforme al estándar BIP-39. Esta frase semilla es el único mecanismo de recuperación de tu billetera. TZUR no almacena, transmite ni tiene ningún acceso a tu frase semilla. La frase se muestra una vez durante la creación de la billetera y puede verse nuevamente en Ajustes con fines de respaldo. Nunca se envía por la red, nunca se escribe en registros del servidor, y nunca se incluye en los datos de analíticas. Si perdés tu frase semilla y tu computadora, tu Bitcoin no puede ser recuperado por nadie, incluido TZUR.

Manejo de la memoria

El material de las claves privadas se trata como datos tóxicos. Las claves se cargan desde el almacenamiento seguro únicamente cuando se necesitan para firmar transacciones. Una vez que la transacción está firmada, todo el material de claves se borra de inmediato de la memoria. Las claves privadas nunca se almacenan en caché en el estado de la aplicación, nunca se escriben en archivos temporales, nunca se registran, y nunca se conservan en un almacenamiento desprotegido.

Almacenamiento seguro

Los datos sensibles de la billetera, incluida la semilla cifrada, se almacenan en un archivo de secretos local sellado con Windows DPAPI (la Windows Data Protection API). DPAPI vincula los datos a tu cuenta de usuario de Windows, de modo que no puedan trasladarse a otra máquina ni intercambiarse sin conexión. En computadoras equipadas con un Trusted Platform Module (TPM), también podés sellar la semilla cifrada al TPM. La clave del TPM no es exportable y nunca abandona el hardware, de modo que un archivo de secretos copiado no puede ser atacado sin conexión en otra máquina, incluso con el PIN. La aplicación está protegida por un PIN, reforzado con PBKDF2-HMAC-SHA256 a 600.000 iteraciones, y, donde esté disponible, por Windows Hello. TZUR no almacena datos sensibles en archivos en texto plano ni en ningún mecanismo de almacenamiento desprotegido.

Bloqueo de la app y protección contra capturas

TZUR se bloquea detrás de tu PIN (y de Windows Hello, donde esté habilitado) al iniciarse y tras un período de inactividad. El intervalo de bloqueo automático es configurable (1 minuto, 10 minutos, 1 hora o 6 horas). La aplicación también habilita la protección contra captura de pantalla en pantallas sensibles para reducir el riesgo de espionaje por encima del hombro y de malware de grabación de pantalla.

Modelo de confianza de red y Electrum

TZUR se comunica con servidores públicos de Electrum para obtener datos de la blockchain. Los servidores de Electrum no son de confianza. Sirven únicamente como proveedores de datos. Toda la construcción y firma de transacciones ocurre localmente en tu computadora. TZUR nunca envía claves privadas, frases semilla ni datos personales por la red. Las conexiones usan TLS. La integridad de las transacciones se verifica usando pruebas Merkle.

Analíticas que respetan la privacidad

TZUR Wallet puede recopilar analíticas de uso anónimas para mejorar la aplicación. Las analíticas son totalmente opcionales y pueden desactivarse en cualquier momento en Ajustes.

Las analíticas nunca incluyen:

Direcciones de billetera ni claves públicas
Saldos de cuenta ni datos de UTXO
Montos, destinos o historial de transacciones
Frases semilla ni ningún material de claves
Claves privadas ni rutas de derivación
Identidad personal, nombre ni ubicación

TZUR Wallet no incluye SDK de publicidad, tecnologías de rastreo de terceros ni bibliotecas de fingerprinting. No vendemos, compartimos ni monetizamos ningún dato de los usuarios.

Divulgación responsable

Si descubrís una vulnerabilidad de seguridad en TZUR Wallet, informala a contact@tzur.live. Tomamos todos los informes en serio y responderemos con prontitud.

Última actualización: 4/6/2026