Seguridad, en detalle

Entiende tus claves

Clave pública, clave privada y frase de recuperación — qué son y cómo protegerlas

CLAVE PÚBLICA (tu dirección) Piensa en ella como la dirección de tu casa — o tu buzón. Cualquiera puede conocerla: es lo que compartes para recibir fondos. Ver tu dirección no permite a nadie tocar tu dinero, igual que saber dónde vives no abre la puerta de tu casa. Aunque no da acceso a tu casa, la blockchain de Arbitrum One y el exchange Hyperliquid permiten que cualquiera que conozca tu dirección pública mire por la ventana y vea la cantidad de USDC que hay en la cartera y el historial en el exchange. Entonces es mejor que tú también reveles esa dirección a la menor cantidad de personas posible; idealmente, solo tú y el servicio que usas para depositar y retirar USDC de la cartera deben tener acceso a esta dirección.

CLAVE PRIVADA (la llave de la puerta) Es la llave que abre la puerta y demuestra que los fondos son tuyos. Quien tiene la clave privada controla el dinero — sin "olvidé mi contraseña" ni banco al que llamar. La aplicación cifra tu clave privada en tu teléfono (Android Keystore) y nunca la envía por internet.

FRASE DE RECUPERACIÓN (12 palabras) Es el molde maestro que recrea tu clave privada en cualquier dispositivo. Con ella, puedes importar tu cartera si necesitas instalar la aplicación de nuevo en otro teléfono, o tomar el control directo de los activos usando una cartera de criptomonedas.

BUENAS PRÁCTICAS 1. Anota las 12 palabras en PAPEL — nunca en fotos, capturas, notas, email, WhatsApp o la nube. Todo lo digital puede ser hackeado o filtrado. 2. Guarda el papel en un lugar seguro y privado — idealmente dos copias en dos lugares distintos, protegidas de fuego y agua. 3. NUNCA compartas la frase. Ningún soporte, sitio web o persona legítima te la pedirá jamás. Quien la pide intenta robarte. 4. El orden importa: las palabras solo funcionan en la secuencia exacta mostrada. 5. Revisa cada palabra justo después de anotarla — una sola letra errónea hace inútil la copia de seguridad. 6. Si puedes, prueba la recuperación en un segundo dispositivo antes de depositar cantidades grandes. 7. Perder la frase y perder el teléfono = fondos perdidos para siempre. Que alguien encuentre tu frase = tus fondos pueden ser robados de forma irreversible. No hay forma de revertir transacciones en la blockchain.

SI LA APLICACIÓN FALLA: tus fondos nunca quedan atrapados en la aplicación. Están en la blockchain (Arbitrum One/Hyperliquid), no en tu teléfono. Si alguna función deja de funcionar, importa tu frase de recuperación en otra cartera (ej.: MetaMask) para ver y mover tus fondos directamente. Para retirar de Hyperliquid, también puedes acceder a app.hyperliquid.xyz con la misma cartera. La frase de recuperación es tu llave maestra — la aplicación es solo un control remoto.

Eres el único custodio

Tus semillas se generan en el dispositivo, se cifran con AES-256/GCM y se almacenan en Android Keystore. Nunca se envían a ningún servidor.

Cómo están protegidas tus claves

Derivación	BIP-44 (m/44'/60'/0'/0/0)
Cifrado	AES-256 / GCM
Almacenamiento	Android Keystore
¿Sale del dispositivo?	Nunca

Protección del Android Keystore

El Android Keystore es un sistema de seguridad integrado en Android — no en la aplicación. Guarda la clave que cifra tu frase de recuperación. La clave nunca sale del hardware: en dispositivos con TEE o StrongBox ni el root puede copiarla. Eso protege la clave en reposo, no su uso. Como el robot necesita firmar 24 horas al día, la clave funciona sin pedir tu huella — y, en un dispositivo con root, cualquier aplicación con permiso de root puede usar esa clave en nombre de 0x2ALL y leer tu frase de recuperación. No uses 0x2ALL en un dispositivo con root o con el bootloader desbloqueado.

Protección por hardware	Cuando está disponible
Extracción de clave	No exportable con TEE
Disponibilidad	Android 7.0 o superior

Protección contra capturas de pantalla y aprendizaje del teclado

Las capturas y grabaciones de pantalla están bloqueadas en todas las pantallas de la aplicación: una foto de la pantalla saldría toda negra. Y los campos donde escribes tu frase de recuperación se tratan como contraseñas — el teclado no memoriza esas palabras y nunca las sugerirá después.

Integridad del dispositivo

La aplicación comprueba en el propio dispositivo señales de root o de bootloader desbloqueado. Si las encuentra, avisa al abrir y bloquea crear cartera, importar, hacer on-ramp y depositar — porque, con root, cualquier aplicación con permiso de root puede leer tu frase de recuperación. Retirar, enviar y revelar la frase siguen disponibles: la aplicación avisa y bloquea la entrada, nunca la salida.

La comprobación es local (no se envía nada y no se lee ningún identificador del dispositivo) y es indicativa: no es prueba de que el dispositivo esté limpio.

Advertencia de riesgo

Los derivados apalancados pueden liquidar una posición. La mayoría de los traders minoristas pierden dinero. Usa solo lo que puedas perder sin afectar tu vida.

Autenticidad de la aplicación

Cada APK está firmado con una clave criptográfica propia del desarrollador. De esa clave deriva un valor público — la huella digital del certificado (SHA-256) — que identifica quién firmó el archivo. El valor de abajo es el de la versión oficial actual:

…

Abre Seguridad → Autenticidad de la aplicación en el teléfono y compara los dos valores. Si son distintos, el archivo que recibiste no es el oficial: no importes tu frase de recuperación, desinstala y vuelve a descargar desde este sitio.

La huella digital es pública por diseño: no revela la clave privada ni da acceso a fondos. Solo sirve para comprobar el origen del archivo — la misma verificación que Android hace en cada actualización.

Ir a la página de descarga

Actualizaciones: solo las que tú eliges

Esta aplicación nunca se actualiza sola. No consulta ningún servidor para buscar versiones nuevas, no descarga APK en segundo plano y no instala nada sin ti.

La versión instalada solo cambia si descargas el APK en la página de descarga de este sitio y lo instalas manualmente encima. Android rechaza la instalación si la firma no es la misma; por eso publicamos arriba la huella del certificado.

Sin custodia, sin registro

No tenemos servidor de cuentas: la aplicación no pide correo electrónico, no tiene inicio de sesión y no ve tus claves. Los fondos y las decisiones quedan bajo tu control exclusivo.