Seguridad

Última actualización: 8 de noviembre de 2026

Esta página explica quién controla tu dinero en Nodo, qué hace falta para moverlo y cómo protegemos la plataforma. Dónde está el dinero en cada producto lo explica Billetera y custodia; el resumen para equipos de cumplimiento está en Cumplimiento.

Resumen

1. Tu wallet

Al entrar a Nodo se crea tu wallet: una Safe en la red Base, una smart wallet que se controla con una clave que solo puede usar el titular. La crea Privy, nuestro proveedor de wallets.

• Nodo no guarda tu clave. La clave nunca se escribe en la base de datos de Nodo. Nodo guarda solo la dirección pública de tu wallet y comprueba que es tuya.
• Nodo no puede mover tus fondos. Cada envío lo firmas tú. Nodo no opera un saldo común de cripto de sus usuarios.
• Tus acciones y tu oro están en esa misma wallet, en Base, a tu nombre.

Si cambias de teléfono

Tu wallet no depende del teléfono. Entra a Nodo con el mismo método de siempre (Apple, Google o tu correo) y tu wallet vuelve a estar ahí, con la misma dirección y los mismos fondos.

Exportar tu clave

Si todavía puedes abrir Nodo, envía tus fondos desde la app. Estos pasos son para cuando ya no puedas. En la app, abre Perfil › Exportar wallet. Ahí ves la dirección de tu Safe y dos botones, Exportar la clave que firma y Abrir la Safe:

1. Dirección con el dinero. Es tu Safe en Base, donde está el USDC. Puedes copiarla.
2. Exportar la clave que firma. Abre login.nodoia.app/exportar. Entra con la misma cuenta de Nodo y copia la clave. Es la única clave que controla tu Safe.
3. Importa esa clave en MetaMask. Necesita un poco de ETH en Base para pagar la comisión de la red.
4. Abrir la Safe. Este botón abre tu Safe directamente en Safe Wallet, en la red Base. Conecta MetaMask y envía el USDC adonde quieras.

Quien tenga la clave puede mover tus fondos: no la compartas con nadie, tampoco con alguien que diga ser de Nodo.

2. Cómo se aprueba cada movimiento

• Entrar no basta para mover dinero. Cada envío, cada cambio de moneda y cada compra se aprueba en tu dispositivo con Face ID o Touch ID en la app, o con una passkey en el navegador.
• Cada aprobación vale para una sola operación. El servidor genera un reto para ese pago exacto, con su monto y su destino. Caduca a los 5 minutos y no sirve para otro movimiento.
• Dispositivos nuevos. Un dispositivo que agregas para aprobar movimientos espera 24 horas. Te enviamos un correo: si fuiste tú, puedes confirmarlo desde ahí y usarlo enseguida.
• Asistente de voz. El agente de voz de Nodo puede preparar un envío o un cambio, pero no puede aprobarlo. La aprobación siempre ocurre en tu dispositivo.
• Contratos de la mesa OTC. Se firman con Face ID o passkey en la app, o con un código por correo en la página del contrato. Cada contrato guarda la firma, la IP, el navegador y un hash SHA-256 de la evidencia y del PDF firmado.

3. Acceso a tu cuenta

• Formas de entrar. Apple, Google, un código por correo o la firma de una wallet.
• Sesiones. Cada sesión usa un token que se puede revocar. El equipo de Nodo entra con un acceso separado.
• Avisos por correo. Te avisamos cuando alguien entra desde un dispositivo nuevo, cuando se guarda una cuenta bancaria nueva y cuando se agrega un dispositivo que aprueba movimientos.

4. Cómo te contacta Nodo

Nodo solo contacta a sus clientes por correo, desde una dirección @nodoia.app. Nunca te pediremos tu clave, tus códigos ni que instales nada. Si alguien te guía por teléfono, WhatsApp u otro canal en nombre de Nodo, detente y escríbenos a info@nodoia.app.

5. Protección de la plataforma

• Todas las comunicaciones con la API van cifradas.
• Los permisos se comprueban en el servidor en cada solicitud.
• Las claves de los proveedores se guardan por entorno y nunca llegan a las aplicaciones.
• Hay límites de frecuencia en la API y en el inicio de sesión.
• Los avisos que nos envían Bridge y Stripe se verifican con su firma antes de procesarse.

6. Revisión de seguridad del código

En octubre de 2026 revisamos el código de las cinco aplicaciones de Nodo (backend, web, app, panel interno y escritorio) con herramientas de análisis estándar:

Después hicimos dos rondas de correcciones. Resultado:

• Sin hallazgos críticos en el código de producción.
• API, panel interno y escritorio: sin hallazgos críticos ni altos.
• Secretos: todos los encontrados en el historial se rotaron, desactivaron o eliminaron. Las claves vienen de variables de entorno, no del código.
• Web: sin alertas altas en el análisis de exposición.

7. Reportar un problema de seguridad

Si encuentras una vulnerabilidad, escríbenos a info@nodoia.app con los pasos para reproducirla. Te respondemos y te avisamos cuando esté corregida.