Autocustodia — Multifirma
Multifirma BitcoinProg: BóvedaProg
Guía de BitcoinProg Wallet · actualizada el 28-sep-2026
BitcoinProg Wallet (2 de 3, 3 de 5 y cualquier M de N): guía y casos de recuperación.
01Las tres reglas que lo deciden todo
- Para gastar: M llaves + el descriptor. En un 2 de 3 hacen falta 2 llaves que firmen y saber cómo está armada la cartera. Con menos de M llaves no hay forma, ni para nosotros.
- Perder el aparato no es perder la llave. La llave son sus palabras (12 o 24). Si las tienes, la vuelves a meter en otro aparato de cualquier marca compatible, o en el teléfono.
- El descriptor se rehace con TODAS las llaves públicas. Sin descriptor no bastan las M que firman: hacen falta las N llaves públicas. Por eso la app guarda copias en varios sitios.
02Las piezas de una multifirma
- Llave del teléfono: la cartera de este teléfono. Vive en sus 12 palabras, protegida con el PIN.
- Hardware wallet: BitcoinProg/Jade, Coldcard, Trezor, Keystone, Passport, SeedSigner o Krux. Vive en sus 12 o 24 palabras.
- BóvedaProg: una semilla aparte, cifrada en tu teléfono con 5 palabras. Nuestro servidor solo guarda bytes que no puede leer y los entrega con tu 2FA o un código de respaldo. Trae dentro el descriptor.
- Descriptor: qué llaves y cuántas firmas. Está en la app, el PDF, el kit de emergencia, su copia cifrada, BóvedaProg y los aparatos donde lo registraste.
03Restaurar en una hardware wallet nueva
Sí se puede, con cualquier marca que admita multifirma, pero el aparato nuevo tiene que llevar la MISMA semilla de la llave que reemplaza (y la misma passphrase, si usabas una). Un aparato con semilla nueva es otra llave y no firma esta multifirma. Luego el aparato tiene que conocer la multifirma:
| Marca | Cómo conoce la multifirma | En la app |
|---|---|---|
| BitcoinProg / Jade | La app la registra: por cable o Bluetooth, o sola la primera vez que firma. | Automático |
| Coldcard (Mk4, Q) | QR animado (Q), archivo para la microSD (Mk4) o por cable (Android). | Botón en la app |
| Trezor | No hace falta registrar: la app le manda la multifirma en cada firma. | No hace falta |
| Keystone, Passport, SeedSigner, Krux | El mismo archivo de Coldcard por QR o microSD, o el QR del descriptor. Firman por QR en la app. | Firma por QR |
| Otro teléfono | Restauras las palabras como cartera en la app e importas el descriptor. | Funciona |
042 de 3 con BóvedaProg
El caso más común: teléfono + hardware wallet + BóvedaProg. «Perder» una llave aquí es perder el aparato y sus palabras.
| Qué se perdió | Resultado | Cómo se resuelve |
|---|---|---|
| El teléfono, pero tienes sus 12 palabras | Se recupera | Instalas la app en otro teléfono y restauras las 12 palabras. La multifirma vuelve con «Recuperar una multifirma» o el recuperador de descriptor. |
| El teléfono y sus 12 palabras | Se recupera | Hardware wallet + BóvedaProg (5 palabras + 2FA) = 2 de 3. «Recuperar una multifirma» trae el descriptor. Luego mueve todo a una multifirma nueva: ya no te queda margen. |
| La hardware wallet, pero tienes sus palabras | Se recupera | Restauras sus palabras en un aparato nuevo de cualquier marca compatible y le registras la multifirma («Registrar en una hardware wallet»). |
| La hardware wallet y sus palabras | Se recupera | Teléfono + BóvedaProg. Mueve todo a una multifirma nueva. |
| Las 5 palabras de BóvedaProg | Se recupera | Teléfono + hardware wallet siguen siendo 2 de 3. Crea una multifirma nueva con una BóvedaProg nueva: nadie puede abrir la vieja, tampoco nosotros. |
| El autenticador (2FA) de BóvedaProg | Se recupera | Con uno de tus 8 códigos de respaldo se abre al momento. Sin códigos, pides un 2FA nuevo firmando con tu hardware wallet y entra a los 15 días (o 30, si lo elegiste). Mientras, tu autenticador viejo lo puede cancelar. |
| Solo el descriptor (PDF borrado) | Se recupera | Sigue en la app, en el kit de emergencia, en su copia cifrada y dentro de BóvedaProg. También se rehace con las 3 llaves públicas. |
| El descriptor y las 5 palabras de BóvedaProg | Se recupera | Con la copia cifrada del descriptor (encendida por defecto): cualquiera de tus llaves la abre. Si la apagaste y no hay otra copia, se pierde: la llave pública de BóvedaProg solo existe en el descriptor. |
| Teléfono y hardware wallet (con sus palabras) | Se pierde | Solo queda BóvedaProg: 1 de 3. |
| Teléfono y BóvedaProg | Se pierde | Solo queda la hardware wallet: 1 de 3. |
| Hardware wallet y BóvedaProg | Se pierde | Solo queda el teléfono: 1 de 3. |
| BitcoinProg deja de existir | Se recupera | Teléfono + hardware wallet + descriptor (PDF, app o kit). El descriptor es estándar: Sparrow Wallet lo abre. |
| BitcoinProg desaparece y además pierdes el teléfono o la hardware wallet | Depende | Se salva si guardaste el kit de emergencia con BóvedaProg dentro: lo abres con las 5 palabras, sin internet. Si no, queda 1 de 3. |
052 de 3 sin BóvedaProg
Teléfono A + teléfono B + hardware wallet. No hay BóvedaProg: el descriptor está en los teléfonos, el PDF, el kit y su copia cifrada.
| Qué se perdió | Resultado | Cómo se resuelve |
|---|---|---|
| Cualquier 1 llave (aparato y palabras) | Se recupera | Las otras 2 firman. Mueve todo a una multifirma nueva. |
| Solo el descriptor | Se recupera | Está en la app de los teléfonos, en el kit y en su copia cifrada. O se rehace con las 3 llaves públicas. |
| El descriptor y 1 llave completa | Se recupera | Con la copia cifrada del descriptor (encendida por defecto). Si la apagaste y no hay otra copia, se pierde. |
| 2 o 3 llaves | Se pierde | Quedan menos de 2 llaves. |
063 de 5
«Máxima seguridad»: teléfono + BóvedaProg + 3 hardware wallets. Aguanta perder 2 llaves.
| Qué se perdió | Resultado | Cómo se resuelve |
|---|---|---|
| 1 llave, la que sea | Se recupera | Quedan 4; firman 3. Rehaz la multifirma sin prisa. |
| 2 llaves, las que sean | Se recupera | Quedan justo 3. Mueve todo YA a una multifirma nueva: no queda margen. |
| 3, 4 o 5 llaves | Se pierde | Quedan menos de 3. |
| El descriptor y 1 hardware wallet, con BóvedaProg a mano | Se recupera | El paquete de BóvedaProg trae el descriptor. |
| El descriptor, 1 llave y BóvedaProg | Se recupera | Con la copia cifrada del descriptor. Sin ella y sin otra copia, se pierde aunque queden 3 llaves. |
07Regla general para cualquier M de N
Se pueden perder N − M llaves y seguir: 2 de 2 → 0 · 2 de 3 → 1 · 3 de 3 → 0 · 3 de 5 → 2 · 5 de 7 → 2 · 4 de 7 → 3. El descriptor no tiene margen si no hay ninguna copia; por eso la app guarda varias.
08Robos, no pérdidas
| Qué robaron | Riesgo | Qué hacer |
|---|---|---|
| El teléfono (bloqueado) | 1 llave, tras el PIN | Con BóvedaProg no le basta: le faltan las 5 palabras y el 2FA de tu OTRO aparato. Además, la llave del teléfono no puede pedir un 2FA nuevo. Mueve todo con hardware wallet + BóvedaProg. |
| La hardware wallet | 1 llave, tras su PIN | Mueve todo a una multifirma nueva con las otras llaves. Si alguien pide cambiar tu 2FA, la app te avisa en rojo y lo cancelas. |
| Las palabras de una llave | 1 llave en otras manos | Mueve todo cuanto antes: si le cae una segunda llave, se lleva el dinero. |
| El PDF o el descriptor | Sin llaves | No puede gastar, pero ve tu saldo y tus movimientos. Solo privacidad. |
09Hasta dónde podemos ayudar
- Sí: guiarte paso a paso y darte las herramientas de la app para cada caso.
- No, por diseño: abrir BóvedaProg sin tus 5 palabras, entregarla sin tu 2FA (o un código de respaldo, o la espera firmando con otra llave), recuperar palabras perdidas o firmar por ti. Eso mismo te protege, y nos protege si alguien nos lo exige.
- Imposible para cualquiera: gastar con menos de M llaves, o rehacer el descriptor si falta una llave pública y no hay ninguna copia.
10Herramientas de la app para cada caso
| Herramienta | Para qué | Dónde |
|---|---|---|
| Paquete de respaldo (PDF) | Descriptor, llaves, los casos de tu multifirma y una hoja «Para quien herede esto». Al teléfono, Dropbox o Drive. | Ajustes |
| Kit de emergencia | Una página que funciona sin internet y sin BitcoinProg. Si lo activas, lleva BóvedaProg dentro. | Pantalla de respaldo · versión en blanco · GitHub |
| Copia cifrada del descriptor | La abre cualquiera de tus llaves; nosotros no. Encendida por defecto. | Ajustes |
| Recuperar una multifirma | Con una hardware wallet + BóvedaProg, o la copia cifrada. | Añadir cartera |
| Recuperador de descriptor | Importarlo en cualquier formato, o rehacerlo con las llaves públicas. | Ajustes |
| BóvedaProg: códigos y espera | 8 códigos de respaldo del 2FA y espera de 15 o 30 días para cambiarlo. | Ajustes |
| Registrar en una hardware wallet | Que un aparato, también uno nuevo, conozca la multifirma. | Ajustes |
| Firmar por QR | Keystone, Passport, SeedSigner, Krux, Jade o Coldcard Q. | Al enviar |
| ¿Qué pasa si pierdo…? | Marcas lo que perdiste y te dice si se recupera y cómo. | Ajustes |
Tu multifirma, recuperable en todos los casos posibles
Baja BitcoinProg Wallet, crea tu multifirma y guarda el paquete de respaldo en varios sitios. Si algo falla, esta guía y la app te dicen qué hacer.
Descargar la wallet →Self-custody — Multisig
BitcoinProg Multisig: BóvedaProg
BitcoinProg Wallet guide · updated 28-Sep-2026
BitcoinProg Wallet (2 of 3, 3 of 5 and any M of N): guide and recovery cases.
01The three rules that decide everything
- To spend: M keys + the descriptor. A 2 of 3 needs 2 keys that sign and knowing how the wallet is built. With fewer than M keys there’s no way, not even for us.
- Losing the device isn’t losing the key. The key is its words (12 or 24). If you have them, you load it into another device of any compatible brand, or into the phone.
- The descriptor is rebuilt from ALL the public keys. Without a descriptor the M signing keys aren’t enough: all N public keys are needed. That’s why the app keeps copies in several places.
02The parts of a multisig
- Phone key: this phone’s wallet. It lives in its 12 words, protected by the PIN.
- Hardware wallet: BitcoinProg/Jade, Coldcard, Trezor, Keystone, Passport, SeedSigner or Krux. It lives in its 12 or 24 words.
- BóvedaProg: a separate seed, encrypted on your phone with 5 words. Our server only keeps bytes it can’t read and releases them with your 2FA or a backup code. It carries the descriptor inside.
- Descriptor: which keys and how many signatures. It’s in the app, the PDF, the emergency kit, its encrypted copy, BóvedaProg and the devices where you registered it.
03Restoring onto a new hardware wallet
Yes, with any brand that supports multisig, but the new device must hold the SAME seed as the key it replaces (and the same passphrase, if you used one). A device with a new seed is a different key and won’t sign this multisig. Then the device must know the multisig:
| Brand | How it learns the multisig | In the app |
|---|---|---|
| BitcoinProg / Jade | The app registers it: by cable or Bluetooth, or by itself the first time it signs. | Automatic |
| Coldcard (Mk4, Q) | Animated QR (Q), microSD file (Mk4) or by cable (Android). | Button in the app |
| Trezor | No registration needed: the app sends the multisig on every signature. | Not needed |
| Keystone, Passport, SeedSigner, Krux | The same Coldcard file by QR or microSD, or the descriptor QR. They sign by QR in the app. | QR signing |
| Another phone | Restore the words as a wallet in the app and import the descriptor. | Works |
042 of 3 with BóvedaProg
The most common case: phone + hardware wallet + BóvedaProg. “Losing” a key here means losing the device and its words.
| What was lost | Result | How to solve it |
|---|---|---|
| The phone, but you have its 12 words | Recoverable | Install the app on another phone and restore the 12 words. The multisig comes back with “Recover a multisig” or the descriptor recovery tool. |
| The phone and its 12 words | Recoverable | Hardware wallet + BóvedaProg (5 words + 2FA) = 2 of 3. “Recover a multisig” brings the descriptor. Then move everything to a new multisig: you have no margin left. |
| The hardware wallet, but you have its words | Recoverable | Restore its words on a new device of any compatible brand and register the multisig on it (“Register on a hardware wallet”). |
| The hardware wallet and its words | Recoverable | Phone + BóvedaProg. Move everything to a new multisig. |
| The 5 BóvedaProg words | Recoverable | Phone + hardware wallet are still 2 of 3. Create a new multisig with a new BóvedaProg: nobody can open the old one, not even us. |
| The BóvedaProg authenticator (2FA) | Recoverable | With one of your 8 backup codes it opens right away. Without codes, request a new 2FA by signing with your hardware wallet; it takes effect after 15 days (or 30, if you chose it). Meanwhile, your old authenticator can cancel it. |
| Only the descriptor (PDF deleted) | Recoverable | It’s still in the app, the emergency kit, its encrypted copy and inside BóvedaProg. It can also be rebuilt from the 3 public keys. |
| The descriptor and the 5 BóvedaProg words | Recoverable | With the encrypted descriptor copy (on by default): any of your keys opens it. If you turned it off and there’s no other copy, it’s lost: the BóvedaProg public key only exists in the descriptor. |
| Phone and hardware wallet (with their words) | Lost | Only BóvedaProg is left: 1 of 3. |
| Phone and BóvedaProg | Lost | Only the hardware wallet is left: 1 of 3. |
| Hardware wallet and BóvedaProg | Lost | Only the phone is left: 1 of 3. |
| BitcoinProg stops existing | Recoverable | Phone + hardware wallet + descriptor (PDF, app or kit). The descriptor is standard: Sparrow Wallet opens it. |
| BitcoinProg disappears and you also lose the phone or the hardware wallet | Depends | Saved if you kept the emergency kit with BóvedaProg inside: open it with the 5 words, offline. If not, 1 of 3 is left. |
052 of 3 without BóvedaProg
Phone A + phone B + hardware wallet. No BóvedaProg: the descriptor is in the phones, the PDF, the kit and its encrypted copy.
| What was lost | Result | How to solve it |
|---|---|---|
| Any 1 key (device and words) | Recoverable | The other 2 sign. Move everything to a new multisig. |
| Only the descriptor | Recoverable | It’s in the phones’ app, the kit and its encrypted copy. Or rebuild it from the 3 public keys. |
| The descriptor and 1 whole key | Recoverable | With the encrypted descriptor copy (on by default). If you turned it off and there’s no other copy, it’s lost. |
| 2 or 3 keys | Lost | Fewer than 2 keys are left. |
063 of 5
“Maximum security”: phone + BóvedaProg + 3 hardware wallets. It survives losing 2 keys.
| What was lost | Result | How to solve it |
|---|---|---|
| 1 key, any of them | Recoverable | 4 are left; 3 sign. Rebuild the multisig without hurry. |
| 2 keys, any of them | Recoverable | Exactly 3 are left. Move everything NOW to a new multisig: no margin left. |
| 3, 4 or 5 keys | Lost | Fewer than 3 are left. |
| The descriptor and 1 hardware wallet, with BóvedaProg at hand | Recoverable | The BóvedaProg package carries the descriptor. |
| The descriptor, 1 key and BóvedaProg | Recoverable | With the encrypted descriptor copy. Without it and no other copy, it’s lost even with 3 keys left. |
07General rule for any M of N
You can lose N − M keys and carry on: 2 of 2 → 0 · 2 of 3 → 1 · 3 of 3 → 0 · 3 of 5 → 2 · 5 of 7 → 2 · 4 of 7 → 3. The descriptor has no margin if there’s no copy at all; that’s why the app keeps several.
08Theft, not loss
| What was stolen | Risk | What to do |
|---|---|---|
| The phone (locked) | 1 key, behind the PIN | BóvedaProg isn’t enough for them: they lack the 5 words and the 2FA on your OTHER device. And the phone’s key can’t request a new 2FA. Move everything with hardware wallet + BóvedaProg. |
| The hardware wallet | 1 key, behind its PIN | Move everything to a new multisig with the other keys. If someone requests a change of your 2FA, the app warns you in red and you cancel it. |
| A key’s words | 1 key in other hands | Move everything as soon as possible: with a second key they take the money. |
| The PDF or the descriptor | No keys | They can’t spend, but they see your balance and history. Privacy only. |
09How far we can help
- Yes: guide you step by step and give you the app’s tools for each case.
- No, by design: open BóvedaProg without your 5 words, release it without your 2FA (or a backup code, or the wait signing with another key), recover lost words or sign for you. That same thing protects you, and protects us if anyone demands it.
- Impossible for anyone: spending with fewer than M keys, or rebuilding the descriptor when a public key is missing and there’s no copy.
10App tools for each case
| Tool | What for | Where |
|---|---|---|
| Backup package (PDF) | Descriptor, keys, your multisig’s cases and a “For whoever inherits this” sheet. To the phone, Dropbox or Drive. | Settings |
| Emergency kit | A page that works offline and without BitcoinProg. If you turn it on, it carries BóvedaProg inside. | Backup screen · blank version · GitHub |
| Encrypted descriptor copy | Any of your keys opens it; we can’t. On by default. | Settings |
| Recover a multisig | With a hardware wallet + BóvedaProg, or the encrypted copy. | Add wallet |
| Descriptor recovery | Import it in any format, or rebuild it from the public keys. | Settings |
| BóvedaProg: codes and waiting period | 8 2FA backup codes and a 15- or 30-day wait to change it. | Settings |
| Register on a hardware wallet | So a device, even a new one, knows the multisig. | Settings |
| Sign by QR | Keystone, Passport, SeedSigner, Krux, Jade or Coldcard Q. | When sending |
| What if I lose…? | Tick what you lost and it tells you if it’s recoverable and how. | Settings |
Your multisig, recoverable in every possible case
Get BitcoinProg Wallet, create your multisig and keep the backup package in several places. If something goes wrong, this guide and the app tell you what to do.
Get the wallet →