Privacidad en la red: Tor, VPN y tu propio nodo

La privacidad en la red consiste en controlar quién conoce tu dirección IP mientras usas Bitcoin. Tu propio nodo evita que tus direcciones lleguen a servidores de desconocidos. Tor oculta tu dirección IP al pasar cada conexión por una cadena de equipos voluntarios, de modo que ninguno sabe a la vez quién eres y adónde te conectas. Una VPN oculta tu IP a todos salvo a una empresa, que entonces ve tanto quién eres como adónde te conectas. Tu dirección IP es el número que identifica tu conexión a internet. Apunta a tu proveedor y a tu ubicación aproximada.

Por qué importa: el análisis de la cadena lee la blockchain, pero mucha información se filtra antes de que llegue nada a ella. Cada consulta de saldo y cada pago es una solicitud que recibe alguna computadora junto con tu dirección IP. Si alguien vincula una de tus direcciones con esa IP, puede situar tus monedas en un lugar. Esta lección muestra quién ve qué, qué datos dejas en manos de una VPN y cómo conectar Sparrow y un nodo doméstico por Tor y verificar que funcionó.

Qué se revela en la capa de red

La capa de red abarca lo que tus equipos envían por internet: con quién te comunicas, cuándo y desde qué dirección IP. Al otro extremo hay cuatro tipos de equipos. Una billetera Lightning añade un quinto, que veremos al final de la lección.

Servidores Electrum públicos. Cuando una billetera como Sparrow o Electrum no está conectada a tu nodo, pregunta a un servidor Electrum (un servidor que indexa la blockchain por dirección) por todas las direcciones de tu billetera. Las consultas llegan juntas desde una misma dirección IP, así que el servidor puede vincular tus direcciones, sumar tu saldo y leer tu historial. Sparrow lo dice con claridad: «Si usas un servidor público, ese servidor puede ver tus transacciones».

Exploradores de bloques. Un explorador de bloques es un sitio web, como mempool.space, donde puedes consultar direcciones y transacciones. Si pegas una dirección tuya, le dices al sitio qué dirección te interesa y desde dónde la consultas. La política de privacidad de mempool.space indica que los registros del servidor guardan tu dirección IP con cada solicitud y se borran después de 10 días. Otros sitios pueden guardar más.

Pares de Bitcoin. Un par es otro nodo al que se conecta tu nodo. Tu nodo es el primero en anunciar las transacciones que envías, así que alguien conectado a muchos nodos puede adivinar dónde se originó una transacción. Un equipo de investigadores lo demostró en 2014. Desde Bitcoin Core 27.0 (abril de 2024), las conexiones entre dos nodos que admiten BIP 324 van cifradas por defecto, así que quien escuche la línea no puede ver su contenido. El propio par sigue viendo tu dirección IP.

Tu proveedor de internet. Ve todas las conexiones que haces. Una vez que usas Tor, según el Proyecto Tor, solo puede observar «que te comunicas con nodos de Tor».

En el otro extremo	Qué puede saber	Qué evita que lo sepa
Un servidor Electrum público	Todas tus direcciones vinculadas, tu saldo, tu historial y tu dirección IP	Tu propio nodo
Un explorador de bloques en la web	Cada dirección o transacción que consultas, junto con tu dirección IP	Tu propio explorador o Tor Browser
Pares de Bitcoin	Tu dirección IP y qué transacciones anunciaste primero	Tor (o I2P, otra red de anonimato) para tu nodo y difusión privada (más abajo)
Tu proveedor de internet	Que ejecutas un nodo o usas servicios de Bitcoin	Tor, con el que solo ve «Tor»
Un proveedor de servicios Lightning	Tu dirección IP, tu nodo y tus pagos	Tor para la dirección IP y tu propio nodo para los pagos

Con tu propio nodo eliminas la primera fila, porque tu billetera consulta tu equipo (la lección ¿Por qué ejecutar un nodo de Bitcoin?). Tor se ocupa de la dirección IP en el resto.

Tor y VPN: en quién confías

Tor es una red gratuita de miles de computadoras que operan voluntarios, llamadas repetidores. Tu conexión suele pasar por tres. Cada uno solo conoce el repetidor anterior y el siguiente. El primero (el de entrada) ve tu dirección IP, pero no el destino. El último (el de salida) ve el destino, pero no tu dirección IP.

Algunos servicios funcionan dentro de Tor. Estos servicios onion tienen direcciones que terminan en .onion. La conexión nunca sale de Tor: no hay repetidor de salida, el tráfico va cifrado de extremo a extremo y la dirección IP del servicio también queda oculta. No necesitan que abras un puerto en tu router. Por eso se puede llegar a un nodo doméstico por Tor sin tocar el router. Así, cuando el nodo se comunica con pares .onion, todo el recorrido queda dentro de Tor. Si se conecta a una dirección de internet normal (clearnet) por Tor, depende de un repetidor de salida que opera un desconocido.

Una VPN (red privada virtual) envía todo tu tráfico por un túnel cifrado a un servidor de una empresa. Así, los pares y los sitios web ven la dirección IP de la empresa en lugar de la tuya. La confianza que antes depositabas en tu proveedor de internet pasa a esa empresa. La guía de Electronic Frontier Foundation (revisada en julio de 2026) dice que «el proveedor de VPN puede ver todos» tus datos de navegación, que prometer que no guardará registros «no garantiza un buen comportamiento» y que pagar con tarjeta de crédito vincula la cuenta contigo. Lo resume así: «Una VPN no es una herramienta de anonimato».

	Tor	VPN
Ve tu dirección IP real	El primer repetidor, que no conoce el destino	La empresa de la VPN
Ve adónde te conectas	El repetidor de salida, que no conoce tu dirección IP. .onion no necesita salida	La empresa de la VPN
Una sola parte que ve ambos datos	Ninguna, por diseño	La empresa de la VPN
Qué ve tu proveedor de internet	Que usas Tor	Que usas esa VPN
Cuenta y pago	Ninguno. Tor es gratuito	Suele haber cuenta y pago, que pueden identificarte

Tor es más lento. La guía de Sparrow dice que Bitcoin Core por Tor es «relativamente lento». Aun así, muchos usuarios de Bitcoin lo prefieren para su nodo y su billetera porque ninguna empresa tiene todos los datos.

Ninguna de las dos herramientas cambia lo que registra la blockchain, así que el control de monedas sigue importando. Tampoco ocultan tus direcciones al servidor que decides consultar. Eso solo lo hace tu propio nodo. Tailscale, que Umbrel recomienda para conectarte al nodo desde fuera de casa, es otra clase de herramienta: conecta tus dispositivos entre sí. Tu nodo sigue llegando a sus pares desde la dirección IP de tu casa (la lección Cómo configurar tu nodo de Bitcoin paso a paso explica qué ven los servidores de Tailscale).

Cómo conectar Sparrow por Tor

Sparrow lleva todas sus conexiones externas por Tor en dos casos: cuando la dirección del servidor termina en .onion, lo que activa el Tor incorporado, o cuando tú configuras un proxy Tor (un programa que se conecta por ti).

Con tu propio nodo

En una Raspberry Pi configurada como en la lección Cómo configurar tu nodo de Bitcoin paso a paso, Sparrow ya llega a Bitcoin Core por una dirección .onion. Con un servidor Electrum como Electrs o Fulcrum, cambia los datos de conexión de la aplicación a Tor y escribe su dirección .onion en Sparrow. En casa puedes usar una dirección local como 192.168.1.45: el tráfico se queda en tu red doméstica y Sparrow no usa el proxy para direcciones locales.

Con un servidor público

1. Descarga Tor Browser solo de torproject.org y verifica su firma con las instrucciones del Proyecto Tor (la lección Cómo verificar el software de Bitcoin antes de instalarlo explica por qué importa). Han circulado instaladores falsos de Tor Browser que sustituyen las direcciones de Bitcoin que copias (la lección Las estafas que vacían las billeteras de autocustodia).
2. Deja abierto Tor Browser: ejecuta un proxy Tor en el puerto 9150. También puedes ejecutar el servicio independiente tor (un paquete en la mayoría de los sistemas Linux). Escucha en el puerto 9050 y sigue funcionando sin navegador.
3. En Settings de Sparrow, abre la pestaña Server y elige Public Server. Activa Use Proxy, introduce 127.0.0.1 y el puerto, y haz clic en Test Connection.

El servidor ya no ve tu dirección IP, pero sigue viendo tus direcciones de Bitcoin y tu saldo. Tómalo como un paso hacia tu propio nodo.

Con Tor activo, Sparrow también cambia cómo envía los pagos. Pasa cada transacción nueva por Tor a exploradores de bloques públicos, como mempool.space, en sus direcciones .onion. Solo usa tu servidor si todos fallan. Sus preguntas frecuentes explican por qué: alguien que vigile la red puede, con esfuerzo, averiguar en qué nodo se originó una transacción nueva. Así, ningún par ve la dirección IP de tu casa cuando la transacción aparece por primera vez.

Cómo conectar tu nodo por Tor

Hay dos cosas que ocultar: que ejecutas un nodo en casa y dónde se originan tus transacciones. A fecha de noviembre de 2026, por defecto, la aplicación Bitcoin Node de Umbrel se conecta a pares por clearnet, Tor e I2P. StartOS usa todas las redes a las que puede llegar y ofrece Tor como servicio aparte. Bitcoin Core sin plataforma usa clearnet y solo añade Tor si encuentra en el equipo un servicio Tor que tiene permiso para controlar. Cualquier par de clearnet ve la dirección IP de tu casa.

En Umbrel

1. Abre Bitcoin Node → Settings → Peer Settings.
2. En Outgoing Peer Connections, desmarca Clearnet y deja Tor. Si mantienes I2P, tu nodo tendrá una segunda red privada para encontrar pares.
3. Guarda los cambios. Bitcoin Core se reinicia.

La opción alternativa, Make All Outgoing Connections to Clearnet Peers Over Tor, conserva los pares de clearnet, pero se conecta a ellos por repetidores de salida de Tor. Umbrel la describe como una forma de preservar tu anonimato «a costa de algo menos de seguridad».

En StartOS

1. Instala Tor desde la tienda de StartOS e inícialo.
2. En el servicio Bitcoin Core, ejecuta la acción Peer Settings. En Onlynet, selecciona solo onion (Tor) y, si quieres, i2p. Si no seleccionas nada, Bitcoin Core usa todas las redes.
3. Guarda los cambios.

Bitcoin Core en tu computadora

Con Tor en marcha, añade estas líneas a bitcoin.conf y reinicia. Están pensadas para el servicio independiente tor en el puerto 9050. Con Tor Browser, escribe 9150 y deja el navegador abierto mientras el nodo esté en marcha.

proxy=127.0.0.1:9050
onlynet=onion

La primera línea envía todas las conexiones de tu nodo por Tor. La segunda hace que solo elija pares .onion, así que nada sale por un repetidor de salida. Cuando configuras un proxy, Bitcoin Core también deja de aceptar conexiones entrantes y de pedirle al router que abra un puerto, a menos que vuelvas a activar esas opciones. Las guías antiguas indican onlynet=tor. Bitcoin Core 31.0 (abril de 2026) eliminó ese nombre y ahora se niega a arrancar con él (“Unknown network specified in -onlynet”), así que escribe onion. En la aplicación de escritorio, la pestaña Network de Options (en el menú Settings, o en el menú Bitcoin Core en Mac) tiene “Connect through SOCKS5 proxy (default proxy)”, que hace lo mismo que la primera línea. Si quieres que otros nodos lleguen al tuyo por Tor, sigue nuestra guía de configuración de un nodo completo.

Difusión privada: oculta dónde se originan tus transacciones

Bitcoin Core 31.0 añadió una opción, privatebroadcast. Cada transacción sale por Tor o I2P hacia unos pocos pares elegidos al azar, por conexiones nuevas y breves que solo llevan esa transacción. Así, los pares no ven tu dirección IP y nadie puede vincular dos pagos tuyos por compartir una conexión. La transacción entra en la mempool de tu nodo (su lista de transacciones sin confirmar) solo cuando un par normal se la retransmite. Desde octubre de 2026, Bitcoin Core indica que es experimental y promete «ocultar en lo posible» dónde se originó la transacción.

La opción cubre las transacciones que llegan al nodo por el comando sendrawtransaction, que usan Electrs, Fulcrum y Sparrow (conectada directamente a Bitcoin Core) para enviar tus pagos. Importa sobre todo para las billeteras que pasan los pagos a tu nodo, como Sparrow en casa con una dirección local. Sparrow por Tor ya envía por exploradores de bloques. La billetera integrada de Bitcoin Core queda fuera.

Úsala solo en Bitcoin Core 32.1 o posterior. La versión 32.1 (octubre de 2026) corrigió un caso en el que, si el nodo se conectaba directamente a pares de clearnet, una conexión de difusión privada podía saltarse Tor y revelar tu dirección IP. La serie 31.x, incluida la versión 31.2 publicada al mismo tiempo, no tiene esa corrección.

• Umbrel: activa Privately Broadcast Transactions en Peer Settings (a fecha de noviembre de 2026, solo está disponible con Bitcoin Core 32.1).
• StartOS: Peer Settings tiene una opción Private Broadcast, pero a fecha de noviembre de 2026 el paquete de Bitcoin Core sigue en la versión 31.2, que no incluye la corrección. Espera a que salga un paquete con la versión 32.1.
• Bitcoin Core: en la versión 32.1 o posterior, añade privatebroadcast=1. Bitcoin Core se niega a arrancar con esa opción si no puede conectarse ni a Tor ni a I2P.

Verifica que de verdad usa Tor

Fíjate en lo que indica el software, no en el aspecto de un interruptor:

Configuración	Dónde mirar	Qué deberías ver
Sparrow	Barra de estado, abajo a la derecha	Un icono de Tor que dice “Internal Tor proxy enabled” o “External Tor proxy enabled” al pasar el cursor por encima. Si no hay icono, no hay Tor. Si es rojo, Sparrow no puede llegar al proxy Tor, normalmente porque Tor Browser o el servicio tor no están en marcha.
Tu proxy Tor	curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip (9150 con Tor Browser)	"IsTor":true
Umbrel	Aplicación Bitcoin Node: gráfico de pares en Home y tabla Peers en Insights	Solo pares de Tor e I2P
StartOS	Comprobaciones de estado de Bitcoin Core	La comprobación de Clearnet dice “Excluded by onlynet” y la de Tor pasa (puede añadir “Outbound only”)
Bitcoin Core	bitcoin-cli -netinfo o Window → Peers en la aplicación de escritorio	Pares solo en onion (y i2p); “Onion” en la columna Network
Bitcoin Core, en detalle	bitcoin-cli getnetworkinfo	ipv4 y ipv6 muestran "reachable": false. onion muestra tu proxy

Vuelve a comprobarlo después de actualizar o restaurar. Una configuración predeterminada nueva puede reactivar clearnet sin avisarte.

Privacidad en Lightning: lo básico

El enrutamiento cebolla de Lightning evita que los nodos intermedios de un pago sepan quién paga a quién. Cada uno solo ve el nodo anterior y el siguiente (la lección sobre canales y enrutamiento en Lightning). Funciona por separado de Tor y no oculta tu dirección IP a los nodos a los que te conectas directamente. Otras tres cosas determinan qué información revelas.

Qué ve tu proveedor de servicios Lightning

Un proveedor de servicios Lightning (LSP) es una empresa que abre y gestiona canales para tu billetera. Una billetera para el teléfono suele tener un solo canal con su LSP, así que todos los pagos que envías o recibes pasan por esa empresa. La empresa conoce tu nodo y la transacción on-chain con la que financiaste el canal, y ve el importe y la hora de cada pago. Si no usas Tor, también ve tu dirección IP.

El LSP de Phoenix es ACINQ, su creadora. Ve más porque Phoenix pasa cada pago al nodo de ACINQ para que encuentre la ruta. Las preguntas frecuentes de Phoenix dicen: «Nosotros (ACINQ) conocemos el destino final y el importe de los pagos». ACINQ no puede gastar ni congelar tus fondos. Phoenix puede usar Tor para ocultar tu dirección IP al nodo de ACINQ y al servidor Electrum con el que vigila la blockchain. Tanto en Android como en iOS, necesitas una aplicación Tor aparte, como Orbot. La aplicación de Android avisa de que Tor «puede causar problemas de rendimiento y hacer que no lleguen algunos pagos». Tor oculta dónde estás, pero ACINQ sigue viendo los pagos que enruta. Para que no los vea, los pagos tienen que salir de tu propio nodo (la lección Comparación de billeteras Lightning: Phoenix, Zeus, Fedimint y otras).

Qué revela una factura

Una factura Lightning estándar (BOLT 11, la cadena que empieza por lnbc) identifica al nodo que cobra mediante su ID de nodo, su clave pública. La clave no cambia mientras exista el nodo. Cualquiera que vea la factura conoce ese ID, el importe y la descripción. Así que:

• Todas las facturas de tu nodo llevan el mismo ID y se pueden vincular.
• Un nodo con canales públicos los anuncia junto con las direcciones en las que acepta conexiones: una dirección IP o una dirección .onion. Busca tu ID de nodo en un explorador Lightning para ver qué ve quien te paga.
• Si recibes por un canal privado, se añade una pista de enrutamiento que identifica ese canal y el nodo del otro extremo. El ID corto real del canal se forma con la altura del bloque y la posición de la transacción de financiación. Así, apunta a tus monedas en la blockchain. La especificación permite que el software use un alias aleatorio en su lugar (option_scid_alias).

Las ofertas BOLT 12 pueden ocultar el nodo que cobra tras una ruta cegada, un tramo final que cifra quien recibe. Así, quien paga solo sabe dónde empieza ese tramo. Phoenix añadió las ofertas en 2024. Nuestra guía de BOLT 11 y BOLT 12 compara los formatos.

Tu propio nodo Lightning

Con tu propio nodo, el LSP deja de intervenir en tus pagos (la lección Cómo operar un nodo Lightning: gana sats y contribuye a la red). La configuración de red del nodo determina quién ve tu dirección IP. La documentación de LND advierte de que conectarse directamente con pares de clearnet «revelará la dirección IP de origen del nodo». A fecha de noviembre de 2026, las instalaciones nuevas de Lightning Node en Umbrel hacen justo eso, porque vienen en Hybrid Mode. Para usar solo Tor, abre el menú de tres puntos de la aplicación → Advanced Settings → Tor & Clearnet y desactiva Hybrid Mode. Umbrel indica que esto puede reducir la fiabilidad. Después, abre Node ID en el mismo menú. Si solo muestra una dirección Tor y ninguna de Clearnet, tu nodo no anuncia ninguna dirección IP.

Pon a prueba lo aprendido

1. La aplicación Bitcoin Node de tu Umbrel muestra pares de Clearnet, Tor e I2P, y Sparrow llega al nodo por una dirección .onion. ¿Está oculta la dirección IP de tu casa para la red de Bitcoin?

Respuesta

No. La dirección .onion solo protege el enlace entre Sparrow y tu nodo. Los pares de clearnet de tu nodo siguen viendo la dirección IP de tu casa, así que saben que ahí funciona un nodo. Cualquier transacción que envíe tu nodo (desde otra billetera, o desde Sparrow si fallan los exploradores de bloques) puede salir por clearnet. Desmarca Clearnet en Outgoing Peer Connections (o conecta con los pares de clearnet por Tor), considera usar difusión privada en Bitcoin Core 32.1 y confirma que la lista de pares solo muestre Tor e I2P.

2. Usas Sparrow con un servidor Electrum público a través de una VPN. ¿Qué sabe el servidor y qué sabe la empresa de la VPN?

Respuesta

El servidor sigue conociendo todas las direcciones de tu billetera, vinculadas entre sí, con tu saldo y tu historial. La diferencia es que ve la dirección IP de la VPN en lugar de la tuya. La empresa de la VPN ve tu dirección IP real y cuándo te conectas a ese servidor. Si guarda registros y la cuenta está a tu nombre, se pueden cruzar esos datos. Con tu propio nodo prescindes del servidor. Con Tor no hay una sola empresa que vea ambos extremos.

3. Envías a un amigo una factura BOLT 11 desde tu nodo Lightning en casa, que anuncia una dirección IP de clearnet. ¿Qué podría averiguar alguien curioso que te paga?

Respuesta

El ID de tu nodo, que figura en la factura. En un explorador Lightning, el ID muestra tus canales públicos y las direcciones anunciadas. En este caso, revela la dirección IP de tu casa y, por tanto, tu ubicación aproximada. Todas las facturas del nodo llevan el mismo ID, así que tus pagos se pueden vincular. La pista de enrutamiento de un canal privado, a menos que use un alias, apunta a su transacción de financiación. Un nodo que solo usa Tor anuncia solo una dirección .onion. Una oferta BOLT 12 con una ruta cegada puede ocultar el propio nodo.