Aquí va una pregunta con una respuesta incómoda. Cuando una entidad te muestra una dirección de donación, ¿qué demuestra exactamente que esa dirección le pertenece?
Normalmente, nada. Estás confiando en que la página web que tienes delante es la página que publicó la entidad. Casi siempre es razonable confiar en eso, y es una garantía más débil de la que permite la tecnología.
Fuimos a buscar organizaciones que lo hagan mejor, como parte de la comprobación en origen de páginas de donación de cripto el 22 de octubre de 2026. Encontramos una que hace algo verdaderamente riguroso, y merece la pena describirlo porque marca el estándar al que los demás no llegamos.
La amenaza es la página, no la cadena
Las conversaciones sobre blockchain tienden a centrarse en si una transacción es segura. Para un donante, la transacción es la parte que funciona. El punto débil está antes: cómo llegó esa dirección a tu pantalla.
Formas en que la dirección que ves podría ser la equivocada sin que nadie rompa ninguna criptografía:
- El sitio de la entidad está comprometido y han cambiado la dirección.
- Un plugin del gestor de contenidos, un script de analítica o una etiqueta publicitaria de la página está comprometido.
- Llegaste a través de un nombre de dominio casi idéntico.
- El alojamiento o el DNS de la propia entidad ha sido secuestrado.
- Una extensión de tu navegador reescribe las direcciones de la página.
En todos esos casos, la criptografía funciona a la perfección. Envía tu donativo al atacante con toda fidelidad y de forma irreversible. La irreversibilidad es una virtud en todas partes menos aquí.
Qué aspecto tiene hacerlo con rigor
El proyecto Qubes OS publica sus direcciones de donación dos veces: en su página de donaciones y dentro de una versión firmada criptográficamente llamada Qubes Security Pack, con instrucciones documentadas para comprobar las firmas.
Eso cambia la pregunta por completo. Ya no te preguntas "¿es honesta esta página web?", sino "¿firmaron esta dirección las claves que firman las versiones de Qubes?", una pregunta que puedes responder sin conexión, sin confiar en el sitio web, en el alojamiento ni en la red.
Dos detalles más de su propia página que nos parecen buenas prácticas:
- Su fondo de Bitcoin está en un monedero multifirma para que, según la descripción del propio proyecto, ninguna persona por sí sola pueda gastar los fondos.
- Su dirección de Ethereum es un monedero de contrato inteligente solo en la red principal, y la página advierte, en un recuadro rojo, de que los activos enviados por otras redes pueden perderse.
El segundo punto es una advertencia de seguridad y no una prueba, pero nace del mismo instinto: decirle al donante, por adelantado y de forma imposible de pasar por alto, lo que podría destruir su donativo.
La GrapheneOS Foundation hace una versión más ligera: publica un handle de Cardano legible por personas que le pertenece junto a su dirección en bruto, más fácil de comprobar a ojo que un centenar de caracteres que empiezan por addr1, aunque sigue dependiendo de que la página sea honesta.
The Tor Project recibe Bitcoin a través de un BTCPay Server en su propio dominio y no de un procesador externo, lo que significa que las direcciones las genera una infraestructura que Tor controla. Eso es una garantía de custodia y no una prueba de autenticidad: te dice dónde acaba el dinero, no que la página no haya sido manipulada.
Cuatro cosas que puedes comprobar en menos de un minuto
De la mayoría de las entidades no vas a obtener una prueba criptográfica. Aun así puedes mejorar bastante tus probabilidades.
- Revisa el dominio con atención, carácter por carácter, sobre todo por si hay letras cambiadas o palabras añadidas. Después mira el candado del certificado.
- Consigue la dirección en dos sitios independientes: la página de donaciones y, por ejemplo, el repositorio oficial de la organización, un anuncio en su lista de correo o una cuenta verificada en redes sociales. Un atacante suele controlar uno, rara vez los dos.
- Prefiere una página que genere una dirección nueva por donativo antes que una dirección fija que lleva años en una plantilla. Una dirección fija y olvidada es lo más fácil de cambiar sin que nadie se dé cuenta.
- Envía primero una prueba pequeña cuando el importe importa, y confirma que se recibió antes de enviar el resto.
Y una que no cuesta nada: pregúntales. "¿Me podéis confirmar esta dirección por otro canal?" Una entidad que gestione el cripto con competencia no verá esa petición como algo raro. Escribimos más sobre cómo examinarlas en cómo comprobar si una organización que pide cripto es real.
Dónde nos deja esto, con honestidad
Deberíamos aplicarnos la pregunta a nosotros mismos, porque sería absurdo no hacerlo.
TraceGood no publica direcciones de donación firmadas criptográficamente. Los donativos nos llegan a través de un procesador de pagos que genera los datos de pago de cada donativo en el proceso de pago. Eso tiene una ventaja de seguridad real y un coste real.
La ventaja: en nuestro sitio no hay ninguna dirección fija de larga vida que cambiar. Un atacante no puede editar una plantilla sin hacer ruido y recaudar donativos durante meses.
El coste: no puedes verificar la dirección por adelantado, porque no existe hasta que inicias un donativo, y estás confiando tanto en nuestra página como en el proceso de pago del procesador. Pedimos la misma confianza que casi todos los demás, y preferimos decirlo a insinuar que hemos resuelto algo que no hemos resuelto.
Lo que sí ofrecemos es verificación a posteriori: cada donativo confirmado aparece en nuestro registro público con un enlace a la transacción en un explorador de bloques independiente, así que puedes comprobar que lo que enviaste es lo que llegó.
Eso es más débil que el enfoque de Qubes. Merece la pena decir en qué dirección va la diferencia.
Qué deberían llevarse de aquí las entidades
Si guardas tus propias claves, firmar tus direcciones no es difícil y casi nadie lo hace. Estarías en un grupo muy reducido, y es el tipo de cosa en la que los donantes técnicos se fijan.
Como mínimo:
- Publica la dirección en un segundo lugar independiente y pide a los donantes que las comparen.
- Indica la red, en negrita, junto a la dirección.
- Usa custodia multifirma para cualquier cantidad relevante, y di que lo haces.
- Audita los scripts de terceros de tu página de donaciones. Cualquiera de ellos puede reescribir la dirección.
- Saca las direcciones fijas de las plantillas que nadie ha revisado desde el día en que se escribieron.
Nuestra posición
Somos una organización de creación reciente cuyo registro como asociación sin ánimo de lucro en Estonia aún no está completo, y los donativos no son deducibles de impuestos en ningún país. Nuestra página Quiénes somos explica la situación completa.
Si ves algo que parezca incorrecto en nuestras páginas de donación, dínoslo de inmediato.
Cómo verificar un donativo en la cadena · Ver todas las monedas que aceptamos