Reseña de Xverse wallet: seguridad, recuperación y la brecha de auditoría

Xverse es una billetera de Bitcoin de autocustodia de Secret Key Labs Limited, una empresa de Hong Kong, disponible como extensión de Chrome y como apps para iOS y Android. La billetera no cobra ninguna tarifa de instalación ni de almacenamiento y no añade comisión a un envío ordinario de Bitcoin. Los proveedores externos fijan el precio de las compras, swaps y servicios entre cadenas. El propio pool de stacking de STX de Xverse deduce una comisión de gestión de las recompensas.

El alcance de la billetera dentro de Bitcoin es amplio. Además de BTC, admite Ordinals, Runes y tokens BRC-20, así como Stacks, Starknet, Spark y Lightning, y emite una dirección de pago separada y direcciones Taproot para reducir el riesgo de que se seleccionen inscriptions o sats raros como entradas ordinarias de Bitcoin.  

Perfil de prueba

Qué probamos y qué no

Instalamos la extensión de Chrome en Windows, creamos una billetera desde cero, revisamos las pantallas de Enviar, Recibir, Comprar y Vender, registramos las cotizaciones de proveedores ofrecidas para una compra con tarjeta, luego eliminamos la extensión, la reinstalamos y restauramos la billetera desde su frase de recuperación.

No completamos una compra con tarjeta, no realizamos un pago entre cadenas, no usamos la app web externa de swaps, no emparejamos una billetera hardware ni probamos las apps móviles. Junto con la sesión, leímos el informe de auditoría publicado, las páginas de seguridad y privacidad, la base de conocimientos de soporte y los repositorios públicos de GitHub. Todo lo que provenga de esas fuentes y no de nuestro uso propio lleva una etiqueta indicándolo.

Xverse de un vistazo

Cómo configurar Xverse

La configuración consta de cuatro pantallas y termina en menos de un minuto.  

Probado en la versión 2.7.3, el 19 de agosto de 2026.

Paso 1. Crear una nueva billetera o restaurar una

La extensión se abre con dos botones.

Captura de pantalla: extensión de Chrome de Xverse 

Paso 2. Leer el aviso de recopilación de datos

La app advierte que recopilará datos anónimos de uso para comprender mejor a los usuarios y mejorar la app, y señala que la configuración puede cambiarse.  

Captura de pantalla: aviso de recopilación de datos

Paso 3. Establecer y confirmar la contraseña

La contraseña cifra las claves privadas en el dispositivo.

Captura de pantalla: configuración de la contraseña

Paso 4. La billetera se crea — sin copia de seguridad

En este punto la billetera ya existe y puede recibir fondos. Xverse no ofrece mostrar ni respaldar la frase de recuperación durante la configuración, y no exige que la anotes antes de que la billetera pueda usarse.

Captura de pantalla: finalización de la creación de la billetera 

El aviso de copia de seguridad llega después

La próxima vez que abres la extensión, Xverse ofrece hacer una copia de seguridad de la seed phrase.  

Captura de pantalla: recordatorio de copia de seguridad

Cómo organiza Xverse las direcciones

La pantalla de Recibir muestra dos direcciones de Bitcoin: una dirección Native SegWit y una dirección Nested SegWit.

Captura de pantalla: pantalla de Recibir de Xverse

Según la documentación de Xverse, la billetera separa las familias de activos por tipo de dirección, y mantiene Ordinals, Runes y tokens BRC-20 en una dirección Taproot distinta de las que contienen bitcoin gastable. Una billetera que agrupa cada satoshi en un único saldo puede seleccionar un satoshi que lleve una inscripción valiosa como entrada para un pago ordinario, y el artefacto se va con el cambio. La derivación separada hace que eso sea estructuralmente difícil.

Cómo recibe y envía bitcoin Xverse

La sección Enviar contiene tres pestañas.

Enviar a dirección toma una dirección del destinatario, un importe y una comisión de red. La comisión es ajustable, con niveles de prioridad Media y Alta seleccionables para una confirmación más rápida.

El material de soporte de Xverse explica que las comisiones se cotizan en satoshis por byte virtual y van a los mineros, y Secret Key Labs afirma que ni las controla ni obtiene beneficios de ellas. 

El tamaño de la transacción, y por tanto el coste, depende de cuántas entradas y salidas necesite un pago, así que un saldo formado por muchas piezas pequeñas cuesta más moverlo que la misma cantidad mantenida en una sola. 

Xverse también señala que algunas billeteras expresan la misma tarifa en satoshis por unidad de peso, donde 1 sat/vB equivale a 0,25 sat/WU — una tarifa copiada entre billeteras sin conversión queda mal por un factor de cuatro.

Captura de pantalla: pantalla Enviar de Xverse

Lightning presenta una sola línea de dirección.

Captura de pantalla: pantalla de pago Lightning

Cross-chain cambia entre stablecoins en distintas redes y muestra una advertencia de que el pago se gestiona a través de Flashnet.

Captura de pantalla: pantalla de pago entre cadenas

Tres pestañas, tres modelos de liquidación, un botón Enviar. On-chain espera bloques, Lightning liquida fuera de la cadena, y la ruta entre cadenas depende de un tercero del que la mayoría de los usuarios no habrá oído hablar y que no eligió.  

Cómo comprar bitcoin con tarjeta en Xverse

Xverse no vende bitcoin directamente. Presenta varias opciones para comprar cripto, una de las cuales es una transferencia con tarjeta de crédito, y esa ruta permite elegir entre una lista de proveedores disponibles.

Captura de pantalla: pantalla Comprar de Xverse

Las billeteras que integran un único on-ramp ocultan cuánto habría costado la alternativa; una billetera que enumera proveedores competidores convierte la elección de nuevo en una decisión, y en compras repetidas esa decisión se acumula. Cada proveedor de esa lista fija el precio de su propio servicio, y la billetera sirve como una especie de escaparate.

La pantalla Comprar ofrece una alternativa etiquetada como Pagar con cripto, y al seleccionarla se te redirige a portfolio.xverse.app/swap, donde conectas una billetera para iniciar una transacción.

Captura de pantalla: app de swap de Xverse

La documentación de soporte de Xverse nombra a Changelly como el proveedor detrás de los swaps entre cadenas, con una tolerancia al slippage fijada en 10% y sin posibilidad de ajuste.

Cómo retirar efectivo

La pantalla Vender mueve BTC o stablecoins a una tarjeta bancaria o mediante transferencia SEPA.

Captura de pantalla: pantalla Vender de Xverse

Ambas direcciones pasan por terceros. La disponibilidad de SEPA también implica un corredor europeo, lo que significa que el conjunto de opciones casi con certeza cambia según la región.

Cómo hacer swap 

Xverse tiene una pantalla de swap, y funciona sin redirigirte a ningún sitio. No convierte entre ecosistemas. Los pares ofrecidos permanecen en la cadena de Bitcoin, cubriendo un conjunto definido de activos nativos de Bitcoin. Ethereum, Solana y otras redes no aparecen como opciones, así que quien espere intercambiar ETH por SOL aquí no encontrará el par.

Captura de pantalla: pantalla Swap de Xverse

Un swap limitado a una sola cadena mueve valor solo dentro de Bitcoin. Quien quiera mantener otra cosa aún tiene que exchange Bitcoin (BTC) mediante un servicio externo, y Xverse ofrece una ruta para hacerlo a través de exchanges de terceros (mediante Changelly). 

Redes y activos compatibles

Xverse cubre la capa base de Bitcoin y un conjunto de cadenas construidas en torno a ella: BTC, Ordinals, Runes, tokens BRC-20 y Rare Sats en el propio Bitcoin, luego Stacks con sus tokens SIP-10, Starknet, Spark, sBTC y Lightning. La compatibilidad con stablecoins cubre USDC y USDB, y la pestaña Cross-chain de la pantalla Enviar mueve stablecoins entre redes.

Hay tres matices importantes.

Los activos de otros ecosistemas llegan mediante conversión, no mediante almacenamiento. Tener Solana (SOL) o Ethereum (ETH) en forma nativa sigue necesitando una segunda billetera.

Las capas liquidan de forma distinta entre sí. Bitcoin espera bloques, Lightning liquida fuera de la cadena, y Stacks y Starknet ejecutan cada una su propio modelo de confirmación. Una sola interfaz cubre varios conjuntos de reglas sobre cuándo el dinero ha llegado realmente.

Y la lista crece. Xverse añade capas de forma constante, así que conviene comprobar la app y no ningún conjunto publicado, incluida esta reseña.

Qué más hay en la app

Xverse ha crecido mucho más allá del almacenamiento, y la mayoría de las incorporaciones traen consigo a un tercero:

• Productos de rendimiento, que cubren staking de Stacks mediante el pool de Xverse, staking nativo de WBTC mediante el validador de Xverse y staking de BTC a través de Lombard. El propio sitio de Xverse afirma que las tasas de rendimiento son variables y nunca están garantizadas.
• Xverse Cash, una pestaña para stablecoins y pagos a través de Spark y Starknet.
• Herramientas para desarrolladores: una API pública, un servicio Bitcoin RPC, la biblioteca Sats Connect y una billetera agente para uso programático.

Ese último punto merece estar en una reseña porque es una decisión de diseño, no un bug. Cada ventana emergente entrena al usuario para descartar un modal sin leerlo, y una billetera gasta su credibilidad restante en los modales que más importan —los que piden una firma—. El hábito es barato de crear y caro de desaprender.

Observa lo que cuesta la amplitud en otras partes. Cada integración es un lugar donde código que Xverse no escribió solicita una aprobación, y la postura de seguridad de la billetera solo es tan buena como la más débil de esas partes. Ese es el intercambio que el producto hace deliberadamente, y es razonable, pero debe hacerse con los ojos abiertos.

Qué puedes verificar por tu cuenta

Aquí es donde el marketing y la evidencia se separan.

• Código fuente. Secret Key Labs publica la extensión del navegador, la biblioteca principal y Sats Connect en GitHub. No encontramos un repositorio público para las aplicaciones de iOS o Android. Para la extensión del navegador, el código fuente está disponible bajo una licencia personalizada no comercial.
• Auditorías — una, de 2021. Encontramos una auditoría pública de terceros: la revisión de 2021 de Least Authority de la entonces actual billetera móvil de Stacks. No encontramos ningún informe publicado que cubra la versión actual de la extensión, los activos nativos de Bitcoin, Starknet, Spark, Lightning, los swaps o la agregación de proveedores.
• Privacidad — parcialmente verificable. La página de seguridad de Xverse dice que el servicio no rastrea direcciones de cuenta ni saldos. Su política de privacidad es más amplia: permite la recopilación de direcciones de billetera, detalles de transacciones, datos de uso, identificadores de dispositivo, direcciones IP, datos del navegador y del sistema operativo, e información procesada por funciones de terceros. Estas dos descripciones oficiales no son totalmente coherentes.

Nada de esto hace que la billetera sea insegura. Significa que las dos garantías en las que más se apoya un usuario cuidadoso son más débiles de lo que parecen.

Incidentes de seguridad

Un incidente divulgado es un breve registro público, y Xverse lo gestionó emitiendo un aviso propio que nombraba la causa, las versiones afectadas, las condiciones de exposición y la solución, publicado en el plazo de un día.

La falla no estuvo en la criptografía sino en una suposición sobre el entorno que la sustentaba: una función de contraseña que funcionaba según lo diseñado mientras el navegador escribía igualmente el secreto en disco. Xverse señaló que la exposición requería una máquina ya comprometida.

Recuperación: ¿funciona la copia de seguridad?

Una copia de seguridad que nadie ha probado es solo una esperanza. Eliminamos la extensión de Chrome, la reinstalamos en una máquina Windows y restauramos desde la frase de recuperación, almacenada como debe almacenarse una frase de recuperación.

El flujo de restauración pregunta qué billetera recuperar en lugar de asumir una.

Captura de pantalla: pantalla de restauración de billetera

Xverse usa el selector de billetera de origen para elegir la ruta de derivación usada por el cliente original. Elegir una fuente incorrecta puede producir direcciones inesperadas o un saldo vacío incluso cuando la frase de recuperación es correcta.

Las direcciones coinciden carácter por carácter, y el saldo y el historial volvieron con ellas. Ese es el resultado que quieres, y merece decirse claramente porque la sección que más importa en cualquier reseña de billetera es la que demuestra que la salida funciona.

Una salvedad que la prueba no cubre: verificamos la dirección Native SegWit. Quien tenga Ordinals, Runes o tokens BRC-20 debería confirmar la dirección Taproot por separado después de una restauración, ya que ahí es donde residen esos activos, y un saldo BTC coincidente no dice nada sobre ellos.

Dónde nos confundió la interfaz

La billetera existe antes que la copia de seguridad. La configuración se completa, la billetera puede recibir fondos y la frase de recuperación aún no se ha mostrado. El aviso llega en el siguiente lanzamiento y puede descartarse. Nada en el flujo marca la billetera como no respaldada mientras tanto, y la secuencia invierte en silencio la regla que enseña cualquier guía de billeteras.

Los modales promocionales compiten con los avisos de seguridad. Los pop-ups aparecen con suficiente frecuencia durante el uso normal como para convertirse en ruido de fondo.

Captura de pantalla: pop-ups promocionales de Xverse 

Fortalezas

• Las direcciones separadas de pago de Bitcoin y Taproot reducen el riesgo de gastar accidentalmente inscriptions y sats raros.
• La recuperación probada restauró la dirección Native SegWit, el saldo y el historial en menos de un minuto.
• Las cotizaciones de compra se comparan entre varios proveedores en lugar de ocultarse detrás de una sola integración.
• La billetera admite activos nativos de Bitcoin junto con Stacks, Starknet, Spark, Lightning y rutas de pago con stablecoins.
• Xverse publicó un aviso detallado y una corrección por parte de la propia empresa tras el problema de la extensión en 2023.

Limitaciones

• La extensión y la biblioteca principal tienen código disponible bajo una licencia restrictiva no comercial, no open source.
• No se encontró ningún repositorio público oficial del cliente móvil.
• La única auditoría pública de terceros encontrada data de 2021 y precede a la mayoría de las funciones actuales.
• El marketing de privacidad de Xverse y su política de privacidad describen la recopilación de datos de forma diferente.
• Las funciones de swap, pago, Lightning, compra, venta y rendimiento dependen de varios proveedores externos.
• La configuración permite que la billetera sea utilizable antes de que la frase de recuperación esté respaldada.

A quién le conviene Xverse y a quién no

Si mantienes Ordinals, Runes o Rare Sats

La derivación separada de Taproot es una protección estructural precisamente para estos activos. Una billetera que agrupa todos los satoshis puede gastar una inscripción valiosa como parte de una comisión, y ninguna precaución en el momento del envío lo evita de forma fiable.

Si compras bitcoin con tarjeta con regularidad

Trece opciones con comparación de proveedores hacen algo que la mayoría de las billeteras no hacen: te permiten ver lo que cotizan las alternativas en lugar de ocultarlas detrás de una sola integración. En compras repetidas, esa visibilidad vale más que el pulido de la interfaz.

Si lees código antes de confiar en él

Las apps móviles no tienen un repositorio público que pudiéramos encontrar, y la única auditoría publicada data de 2021 y cubre un producto que ya no se parece a este. La extensión es la única versión que puedes inspeccionar.

Si quieres una superficie de ataque pequeña

Compras, ventas, staking, pagos entre cadenas, una app externa de swaps y una billetera agente la amplían, y los modales promocionales frecuentes entrenan exactamente el reflejo del que depende un prompt malicioso. Una billetera que solo envía y recibe bitcoin te da menos lugares donde aprobar algo que no leíste del todo.

Si esta fuera tu primera billetera

El orden de configuración va en contra. Una billetera que se puede usar antes de mostrarte la frase de recuperación pone la carga de detectar el riesgo en alguien que todavía no sabe qué debe detectar.

Veredicto

Xverse es más fuerte para usuarios que gestionan activamente Bitcoin, Ordinals, Runes y otros activos nativos de Bitcoin desde una sola interfaz. Su flujo de recuperación funcionó bien en el escenario probado de Xverse a Xverse, pero su historia de verificación es más débil de lo que sugiere el marketing de “open source y auditado regularmente”. Es una billetera de uso activo con muchas funciones, no la opción más clara para usuarios que priorizan una superficie de ataque mínima, código de cliente totalmente abierto y cobertura de auditorías reciente.

Alternativas

• Exodus — mantiene Bitcoin junto con docenas de otros activos, con un on-ramp con tarjeta y soporte por chat en vivo dentro de la app. Su aplicación principal no es open source, así que el intercambio frente a Xverse va en la otra dirección: cobertura más amplia y ayuda más rápida, menos para inspeccionar. Elige Exodus en lugar de Xverse si mantienes una cartera mixta y valoras la respuesta del soporte por encima del manejo de activos nativos de Bitcoin.
• Trust Wallet — cubre Bitcoin, Ethereum, Solana y otros desde una sola frase de recuperación, con compras con tarjeta en la app. No ofrece manejo de Ordinals, Runes ni BRC-20, así que quien mantenga artefactos nativos de Bitcoin pierde la separación de direcciones en la que se basa Xverse. Cabe señalar que la extensión de navegador de Trust Wallet sufrió una vulneración confirmada en diciembre de 2025, afectando a la versión 2.68 y resuelta en la 2.69 — una categoría de evento que aún no aparece en el registro público de Xverse.
• Rabby — construido exclusivamente para redes EVM, sin soporte de Bitcoin en absoluto, por lo que es un complemento más que un sustituto para la mayoría de los usuarios de Xverse. La razón para mencionarlo aquí es la postura de auditoría: Rabby publica una serie de informes de terceros con fecha, que es el estándar frente al cual debe leerse el único documento de Xverse de 2021. Elige Rabby si tus activos son solo EVM y la verificabilidad pesa más que la amplitud de activos.

Preguntas frecuentes

¿Cuánto cuesta Xverse?

Nada por instalar y nada por mantener activos, y Secret Key Labs no se lleva ninguna comisión de la operación de la billetera. Pagas comisiones de red de Bitcoin on-chain, con niveles de prioridad ajustables en la pantalla de envío. Más allá de eso, los terceros fijan sus propios cargos: el proveedor de compra en una adquisición con tarjeta, y Flashnet en un pago entre cadenas.

¿Es seguro usar Xverse?

Es de autocustodia, y Xverse afirma que no puede congelar ni acceder a los fondos. Hay un incidente en el registro público, de junio de 2023, cuando las frases de recuperación llegaron a un log de Chrome sin cifrar; no se reportaron pérdidas y se corrigió en días. Nuestra prueba de recuperación pasó sin problemas. Los puntos más débiles se refieren a la verificación, no a incidentes.

¿Xverse es open source?

Lo es en parte. La extensión del navegador, la biblioteca principal y Sats Connect aparecen en GitHub, y el propio aviso de seguridad de Xverse de 2023 limita esa afirmación a la extensión. No encontramos un repositorio público para las apps de iOS o Android, así que los usuarios móviles no pueden inspeccionar el código que ejecutan. Xverse comercializa el producto como open source, mientras que los dos principales repositorios públicos de la billetera usan una licencia personalizada restrictiva.

¿Xverse ha sido auditada?

Una vez, públicamente. Least Authority completó un informe el 27 de agosto de 2021, cubriendo lo que describió como una aplicación de billetera móvil para la blockchain de Stacks. No encontramos ningún informe publicado que cubra Ordinals, Runes, la agregación de proveedores o cualquier capa de Bitcoin añadida después. La frase “auditada regularmente” se apoya en ese único documento de hace cinco años.

¿Por qué Xverse me muestra dos direcciones de Bitcoin?

La pantalla Recibir muestra una dirección Native SegWit y una Nested SegWit. Xverse separa las familias de activos por tipo de dirección, y su documentación sitúa Ordinals, Runes y tokens BRC-20 en una dirección Taproot aparte de los bitcoin gastables, para que una inscripción valiosa nunca se seleccione como entrada para un pago ordinario y se pierda como cambio.

¿Puedo intercambiar monedas dentro de Xverse?

Xverse tiene varias rutas de conversión y pago en lugar de un único motor universal de swap. Los swaps de BTC a STX se realizan dentro de la billetera mediante Changelly. Los swaps de Runes comparan varios mercados y proveedores de liquidez. Una aplicación web separada gestiona conversiones desde ecosistemas externos como Ethereum o Solana, mientras que la ruta entre cadenas de la pantalla Enviar es un flujo de pago con stablecoins que implica a Flashnet.

¿Xverse exige verificación de identidad?

No para crear o mantener una billetera — la configuración pide una contraseña, nada más. Comprar o vender es diferente, porque esas operaciones pasan por proveedores externos que aplican sus propios controles antes de liberar fondos o dinero. Xverse lo indica en su propio sitio en lugar de dejar que lo descubras por tu cuenta.

¿La frase de recuperación restaura todo?

En nuestra prueba, sí para Bitcoin. Reinstalamos la extensión en Windows, introdujimos la frase y la dirección Native SegWit coincidió carácter por carácter, con saldo e historial intactos en menos de un minuto. Los tenedores de Ordinals o Runes deberían verificar la dirección Taproot por separado, ya que un saldo BTC coincidente no prueba nada sobre esos activos.

Fuentes

Todos los enlaces comprobados el 19.08.2026.

• Sitio oficial de Xverse, página de seguridad y FAQ
• Página de seguridad y auditoría de Xverse
• Auditoría de Least Authority de Secret Key Labs Xverse Wallet, 27 de agosto de 2021
• Índice de auditorías publicadas de Least Authority
• Aviso de seguridad de Xverse: problema de cifrado en la extensión de Chrome, 7 de junio de 2023
• Repositorios públicos de Secret Key Labs
• Soporte de Xverse: cómo hacer swap de ETH o SOL a BTC
• Soporte de Xverse: saldo insuficiente al incluir la comisión de transacción
• Soporte de Xverse: cómo se estiman las comisiones de transacción
• Documentación para desarrolladores de Xverse
• Xverse en Chrome Web Store