Configurar MetaMask: las doce palabras que mandan sobre tus criptos

Configurar MetaMask no llega a diez minutos, y en esos diez minutos se toman las dos decisiones que determinan qué pasa con tu saldo: de dónde descargas el software y qué ocurre con las doce palabras que el asistente de configuración te muestra una sola vez. Casi todo lo demás puedes cambiarlo después; esos dos puntos, no.

Este texto te guía por la configuración y explica por el camino los términos que te encuentras en el asistente sin que allí te los expliquen: frase de recuperación, contraseña, red, identificador de cadena, aprobación. Al final sabrás qué pasos son únicos, cuáles repites con regularidad y en qué puntos entran en juego en Alemania la agencia tributaria y el supervisor.

Qué es MetaMask y qué no te guarda el software

MetaMask es un monedero de autocustodia, en inglés una self-custody o non-custodial wallet. Eso significa que el software genera un par de claves en tu dispositivo y las cifra ahí. Nadie en el fabricante guarda una copia, nadie puede restablecer el acceso y no hay ninguna línea de atención que desbloquee tu cuenta. La diferencia con un exchange es exactamente esta: en un exchange tienes una cuenta, aquí tienes una clave.

De ahí se deriva todo lo demás. Un monedero, en este sentido, no es un recipiente en el que reposan las monedas. Las monedas están en la cadena de bloques, y el monedero es la herramienta con la que demuestras que son tuyas. Si borras el software, las monedas siguen donde están. Si pierdes la clave, también siguen donde están, solo que entonces ya nadie llega a ellas, tú incluido.

Extensión o aplicación

MetaMask existe como extensión de navegador para el ordenador y como aplicación para Android e iOS. Ambas recurren a la misma frase de recuperación cuando la importas y muestran entonces las mismas direcciones. Para empezar basta con una versión. Quien usa las dos no ha creado por ello una copia de seguridad, sino dos accesos a la misma clave.

La instalación de MetaMask: solo dos fuentes son auténticas

El minuto más peligroso de toda la configuración está antes del primer clic en el asistente. Extensiones de monedero falsas aparecen con regularidad en los directorios oficiales de extensiones de los navegadores, a menudo con nombres como «Ethereum Wallet» y con un icono parecido al auténtico. Esas falsificaciones no esperan para robarte algo más adelante. La frase de recuperación se captura justo en el momento en que el asistente la genera, o en el que tú importas una existente, y desde ahí sale hacia fuera sin llamar la atención.

Contra eso ayuda exactamente una costumbre: instalas la extensión solo a través del botón de descarga de la página del fabricante metamask.io, nunca desde un resultado de búsqueda, nunca desde un enlace de un mensaje, un vídeo o una entrada de foro. En el móvil descargas la aplicación de la tienda oficial y miras antes quién la publica y cuántas instalaciones tiene. Una extensión con unos cientos de usuarios es una señal de alarma en un monedero de este tamaño.

Que también puede salir algo mal en el propio fabricante lo mostró a comienzos de octubre un incidente de seguridad confirmado en partes de la infraestructura de MetaMask, en el que los validadores de Ethereum afectados fueron retirados de la red. Qué ocurrió exactamente allí y a quién afectó está en nuestro informe sobre el incidente de seguridad de MetaMask. Para la configuración eso no cambia nada de la regla, solo la afila: cuantos menos sitios conozcan tu clave, menos sitios pueden perderla.

Doce palabras del generador aleatorio: la Secret Recovery Phrase

En el primer arranque MetaMask genera una serie de doce palabras y la llama Secret Recovery Phrase, en español frase de recuperación, antes también frase semilla. Esas doce palabras no son una ayuda para la memoria ni una contraseña. De ellas se calcula la clave privada. Quien las tiene tiene el monedero, en cualquier dispositivo, en cualquier país, sin que tú te enteres de nada. El fabricante lo plantea con la misma claridad en su guía para crear un monedero nuevo: nadie en MetaMask puede restaurar la frase cuando se ha perdido.

La frase debe quedar, por tanto, fuera de línea. Una hoja de papel es mejor que un archivo, y una placa de metal es mejor que el papel porque resiste el agua y el fuego. Lo que nunca haces: fotografiarla, teclearla en una aplicación de notas, dejarla en un gestor de contraseñas alojado en la nube o leérsela a alguien que por teléfono se hace pasar por soporte. No hay ningún caso en el que un empleado real necesite esas palabras.

Dos papeles en dos lugares

Una copia en un único sitio es una pérdida total que solo espera una tubería rota. Dos copias en dos lugares físicamente separados, ninguno de ellos la casa de un conocido con acceso, son el compromiso habitual. Quien tiene importes mayores no parte la frase en mitades, porque eso reduce la seguridad más de lo que asegura contra la pérdida.

Aprobaciones de tokens: qué significa un límite de gasto ilimitado para tu saldo

El punto en el que surgen la mayoría de las pérdidas llega después de la configuración, y no aparece en ninguna pantalla de bienvenida. En cuanto usas una aplicación descentralizada, esta pide una aprobación, en inglés token approval o spending cap. Con ella permites a un contrato mover una determinada cantidad de un determinado token desde tu dirección. No es un fallo del sistema, sino el requisito para que intercambiar, depositar o hacer staking funcione siquiera.

Lo decisivo es la cuantía. Muchas aplicaciones proponen una aprobación ilimitada porque resulta cómoda y ahorra comisiones en cada uso posterior. El permiso permanece entonces hasta que lo revocas, también meses después, incluso cuando hace tiempo que te olvidaste de la aplicación. Si el contrato se traspasa más adelante, o no valía nada desde el principio, ese permiso antiguo basta para vaciar tu saldo sin que haya que confirmar nada más.

En la ventana de configuración puedes sobrescribir la cantidad propuesta y fijarla en el importe que realmente estás moviendo. Las aprobaciones concedidas las ves después en la vista de cartera de MetaMask y puedes retirarlas ahí; el fabricante describe el camino en su guía para revocar aprobaciones. Está soportado, entre otras, para la red principal de Ethereum, Polygon, la BNB Chain, Optimism y Base. Una revocación es en sí misma una transacción y cuesta comisión de red. Cómo es una firma que en realidad es un poder lo desmenuzamos con el ejemplo de los wallet drainers y sus firmas.

La contraseña solo desbloquea este dispositivo

Justo después de la frase, el asistente pide una contraseña. Aquí los principiantes confunden con regularidad dos cosas. La contraseña descifra el almacén de claves en exactamente este navegador o este móvil. Protege, por tanto, de que alguien que se siente un momento ante tu ordenador envíe dinero. En un dispositivo nuevo no te sirve de nada, porque allí MetaMask no pregunta por la contraseña, sino por las doce palabras.

En la práctica eso significa que la contraseña puede ser larga y reposar cómodamente en un gestor de contraseñas; la frase de recuperación, nunca. Si olvidas la contraseña, configuras el monedero de nuevo con la frase y asignas otra. Si olvidas la frase, la contraseña no te ayuda.

Añadir redes: Ethereum, Solana y el identificador de cadena como protección contra falsificaciones

Tras la configuración, tu cuenta está primero en la red principal de Ethereum. Junto a eso, MetaMask trae ya cuentas multicadena: una cuenta cubre, además de las redes EVM, cadenas como Solana, cuyas direcciones surgen de la misma frase de recuperación según el estándar de derivación BIP-44. Para eso no necesitas una frase adicional.

Las demás redes las añades a mano. MetaMask pide entonces cinco datos: nombre, dirección RPC, identificador de cadena, símbolo de la moneda de la red y la dirección de un explorador de bloques. El identificador de cadena es la protección de verdad: una cifra que se asigna de forma única a cada cadena, y dos redes con el mismo no pueden existir. Una página fraudulenta que te ofrece configurar una red «oficial» fracasa ante ese número en cuanto lo comparas con el dato de la documentación de la cadena.

De dónde viene la dirección RPC

La dirección RPC es el punto de acceso por el que tu monedero habla con la cadena. Quien la proporciona ve qué direcciones consultas y qué transacciones envías, y en caso de duda podría mostrarte saldos falsos. Tómala, por tanto, de la documentación oficial de la red o de un proveedor en el que tengas cuenta tú mismo, y no de un directorio recopilatorio que te pone delante una página ajena.

La comisión por un intercambio en la aplicación es del 0,875 %

MetaMask en sí no cuesta nada. El monedero gana dinero con la función de intercambio integrada: cada intercambio dentro de la aplicación soporta una comisión de servicio del 0,875 %, y eso con independencia de la red. Se indica en la oferta que te aparece antes de confirmar.

A eso se suman dos partidas más que no van a MetaMask. La comisión de red la pagas a la cadena por la que te mueves; varía con la carga y no tiene nada que ver con el importe del intercambio. Y los centros de negociación por los que el intercambio discurre realmente cobran por su parte una comisión y entregan, según la profundidad del mercado, un precio peor de lo que la pantalla deja suponer al principio. Con importes pequeños en una red caprichosa en precio, la comisión de red puede suponer la mayor parte de los costes.

Para compras recurrentes, el camino a través de un exchange con cuenta en euros suele ser por eso más barato, y el monedero pasa a ser el destino y no el lugar de compra. Cómo se desenvuelven para ello los distintos monederos de software está en nuestra comparativa de wallets de software.

Wallet de hardware en lugar de navegador: la clave privada no sale del dispositivo

A partir de un importe cuya pérdida te dolería, el siguiente paso merece la pena. MetaMask se puede conectar con un dispositivo de hardware, y entonces cambia el reparto de papeles: el monedero sigue siendo la interfaz con la que manejas aplicaciones, pero la clave privada está en el dispositivo y no sale nunca de él. Cada transacción tienes que confirmarla allí con un botón. Un programa malicioso en el ordenador puede entonces preparar una transacción, pero no firmarla.

En la extensión de navegador MetaMask admite, entre otros, Ledger, Trezor y Lattice; en la aplicación móvil, entre otros, Keystone, Ledger y NGRAVE ZERO. Conviene conocer dos limitaciones antes de comprar un dispositivo: de Ledger solo se pueden integrar cuentas EVM, y la conexión con Trezor trabaja exclusivamente con la ruta de derivación BIP-44. Ambas constan en la ayuda del fabricante, y ambas solo se notan cuando el dispositivo ya está en casa.

El dispositivo no sustituye a la frase

Un dispositivo de hardware trae su propia frase de recuperación, y esa vale entonces para las cuentas de ese dispositivo. Tu antigua frase de MetaMask queda al margen y sigue protegiendo las cuentas que creó el navegador. Quien se muda traslada los saldos expresamente a las nuevas direcciones y trata después las dos frases como igual de valiosas.

¿Necesita un monedero de autocustodia una licencia de la BaFin?

No, y el motivo está en el propio reglamento europeo de criptoactivos, MiCA. Se regulan los proveedores que custodian o administran criptoactivos por cuenta de otros. Un software en el que solo tú tienes la clave y en el que el fabricante únicamente entrega el programa no custodia nada para nadie y por eso no queda sujeto a la obligación de licencia. Eso vale para MetaMask igual que para otros monederos de pura autocustodia y para los dispositivos de hardware sin servicios de custodia propios.

El límite pasa por donde un monedero ofrece servicios adicionales. Quien custodia criptoactivos para clientes, explota un cambio contra euros o ejecuta órdenes presta un servicio de criptoactivos y necesita para ello en Alemania una autorización de la BaFin o una notificación válida de otro Estado miembro.

Para ti como usuario eso tiene una cara incómoda. Como detrás no hay ningún supervisor, tampoco hay garantía de depósitos, ni servicio de reclamaciones, ni derecho a indemnización si algo sale mal. La libertad de la autocustodia y la ausencia completa de una red de seguridad son la misma moneda.

Impuestos en Alemania: mudarse al monedero propio no es una venta

Enviar monedas de un exchange a tu propia dirección de MetaMask no es una operación de transmisión. No intercambias nada ni realizas ninguna ganancia, solo cambias el lugar de guarda. Los datos de adquisición continúan, y con ellos el plazo que importa.

Lo determinante es el artículo 23 de la ley alemana del impuesto sobre la renta. Si vendes dentro del año siguiente a la compra, la ganancia es imponible; pasado un año está exenta. Para las ganancias a corto plazo existe un límite de 1.000 euros por año natural, y la palabra límite hay que tomarla al pie de la letra: quien se queda por debajo no paga nada; quien lo alcanza tributa por la ganancia completa y no solo por la parte que excede.

Dos cosas hace el monedero propio más difíciles que una cuenta en un exchange. Primero, tienes que llevar tú mismo los datos de adquisición, porque ningún proveedor te manda un resumen a final de año. Segundo, en cada transferencia surgen comisiones de red cuyo tratamiento no es evidente. Un intercambio dentro de MetaMask, en cambio, sí es un hecho relevante a efectos fiscales, porque en él entregas un criptoactivo y recibes otro.

Trampas de phishing en torno a la frase de recuperación

Los ataques a los usuarios de monederos casi nunca apuntan a la técnica, sino al momento en que alguien está bajo presión. Cinco patrones se repiten una y otra vez:

• Un supuesto mensaje de soporte en un chat o foro, poco después de que hayas hecho allí una pregunta, pidiendo la «verificación» de tu monedero.
• Un formulario que parece el asistente de configuración auténtico y pide las doce palabras porque tu monedero supuestamente tiene que «sincronizarse».
• Una llamada en la que alguien se hace pasar por empleado y habla de un «incidente de seguridad» que exigiría actuar de inmediato.
• Una página de airdrop que en lugar de una aprobación pide directamente una firma cuyo texto nadie lee.
• Una segunda extensión de navegador que se presenta como complemento o comprobación de seguridad de tu monedero.

La contrarregla es la misma en los cinco casos y bastante sencilla para recordarla: las doce palabras se introducen en exactamente dos sitios, en la primera configuración y al restaurar en un dispositivo nuevo. Cualquier otra petición es un ataque, sin excepción y con independencia de lo convincente que parezca la página. Quien dude cierra la ventana y empieza de nuevo desde un marcador guardado por él mismo.

MetaMask frente a Trust Wallet y Phantom

MetaMask es el monedero de software más extendido en el entorno de Ethereum, y esa difusión es su mayor ventaja práctica: casi todas las aplicaciones descentralizadas lo admiten, hay guías para cada caso particular y los dispositivos de hardware son compatibles en todos los casos. El precio es que también es el objetivo más frecuente de falsificaciones y páginas de phishing.

Trust Wallet viene del móvil y cubre de serie más cadenas, mientras que la extensión de escritorio resulta menos madura. Phantom tiene su fuerza en el entorno de Solana y allí suele ser la opción más cómoda, aunque ya admite más redes. Para quien se mueve principalmente en Ethereum y en las redes que se apoyan en él, MetaMask sigue siendo el monedero de partida evidente, y un cambio merece más la pena cuando el centro de gravedad se desplaza de forma duradera.

MetaMask: cómo proceder ahora

1. Configura el monedero en una tarde tranquila, no entre dos citas. Descarga la extensión exclusivamente a través de la página del fabricante, escribe las doce palabras en papel o metal y guarda dos copias en lugares separados. A partir de qué importe merece la pena en su lugar un dispositivo lo muestra nuestra comparativa de wallets de hardware.
2. En el primer contacto con una aplicación, baja la aprobación a mano al importe que estés moviendo. Apúntate una fecha fija cada trimestre para retirar las aprobaciones antiguas. Qué wallet de software encaja con tu uso principal está en la comparativa de wallets de software.
3. Desde la primera transferencia, anota fecha, cantidad y coste de adquisición. Sin esos datos el plazo de un año no se podrá justificar más adelante, y es justo ese plazo el que decide el impuesto. Las herramientas que lo llevan de forma automática las encuentras en la comparativa de software fiscal y de seguimiento de cartera.

(6 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)