Custodia de claves en activos tokenizados: quién puede autorizar una transferencia

La pregunta «¿dónde se guarda el token?» suele dejar fuera una cuestión más concreta: quién puede autorizar una operación. En una infraestructura basada en blockchain, las claves privadas intervienen en la firma de instrucciones. Su custodia afecta al control operativo del activo digital, aunque no resuelve por sí sola quién es titular de los derechos económicos o jurídicos que representa.

La guía de tokenización para gestores de EFAMA identifica la pérdida de claves y la configuración incorrecta de monederos entre los riesgos operativos que requieren atención. Es una referencia sectorial para analizar procesos, no una certificación de seguridad ni una norma aplicable de forma automática a cualquier estructura inmobiliaria.

Una dirección no explica quién decide

Ver una dirección en una red permite observar determinados movimientos, pero no revela necesariamente qué personas pueden firmar, quién las supervisa o qué instrucciones tienen autorización para ejecutar. Un monedero puede depender de una sola clave o de una organización más compleja de permisos.

En una estructura inmobiliaria tokenizada conviene separar tres planos: el derecho recogido en la documentación, la anotación digital y las facultades técnicas para operar sobre ella. Una credencial de acceso no sustituye un contrato. Tampoco la posesión de una clave permite concluir, sin más, que su usuario es propietario del inmueble subyacente.

Esta distinción importa cuando la infraestructura admite restricciones de transferencia o funciones administrativas. La capacidad de ejecutar una instrucción puede estar sujeta a condiciones técnicas y jurídicas diferentes de las que imagina quien observa únicamente una transacción en la red.

Repartir firmas exige repartir responsabilidades

Una firma múltiple puede exigir la intervención de varias claves para autorizar una instrucción. Sin embargo, contar claves no basta para evaluar la independencia del control. Si una misma persona controla todos los dispositivos o puede ordenar a todos los firmantes, la separación aparente puede aportar menos de lo esperado.

Un ejemplo hipotético lo ilustra: un sistema requiere dos firmas de tres posibles. Si las tres claves están accesibles desde el mismo equipo y las mismas credenciales administrativas, el esquema no ofrece la misma separación operativa que tres custodias realmente diferenciadas. El umbral matemático describe una condición de firma; no demuestra por sí solo cómo se gobierna el proceso.

El análisis debe identificar quién propone una operación, quién la aprueba y quién puede modificar esos permisos. También debe aclarar qué controles existen cuando cambia una persona responsable. La salida de un empleado o de un proveedor no debería dejar una facultad de firma sin dueño conocido.

Recuperar el acceso no equivale a deshacer un movimiento

Perder un dispositivo, olvidar una credencial y comprometer una clave son incidentes distintos. Cada uno exige un procedimiento compatible con la arquitectura elegida. Algunas estructuras incorporan mecanismos de recuperación o sustitución de permisos; otras tienen restricciones diferentes. No es razonable dar por supuesta la posibilidad de restablecer el acceso.

La recuperación tampoco debe confundirse con la reversión de una transferencia ya ejecutada. Cambiar una clave o bloquear una función no significa necesariamente que pueda restaurarse un estado anterior. Importan el diseño del sistema, las facultades previstas y la documentación jurídica del instrumento.

Un procedimiento evaluable especifica cómo se identifica al solicitante, quién aprueba el cambio y qué registro deja la intervención. Si el mecanismo concede a un administrador capacidad de sustituir firmantes, esa facultad debe formar parte del análisis de control, no quedar escondida como una función puramente técnica.

Qué debe poder explicarse en una estructura inmobiliaria

Un expediente comprensible identifica a los responsables de las claves, las operaciones permitidas y los límites de cada intervención. Debe distinguir la custodia de credenciales de otras funciones como el registro de titulares o la administración del vehículo jurídico. Una misma entidad puede asumir varias tareas, pero esa coincidencia necesita explicación.

El criterio útil es poder reconstruir una autorización: qué instrucción se recibió, quién comprobó sus condiciones, qué claves intervinieron y qué evidencia quedó. La tokenización añade una forma de registrar y ejecutar instrucciones. La calidad del control depende también de las personas, los permisos y las responsabilidades que rodean a cada firma.