Cómo configurar una watchtower de Lightning

Por qué necesitas una watchtower de Lightning

Si ejecutas un nodo Lightning, como se describe en la guía Cómo ejecutar un nodo Lightning, la seguridad de tus fondos depende de que puedas vigilar la blockchain en busca de intentos de fraude. Si el otro nodo del canal difunde una transacción de compromiso anterior en la que tenía un saldo mayor, tienes un plazo limitado, normalmente de 144 a 2016 bloques, para responder con una transacción de penalización y reclamar todo el saldo del canal.

El problema es que tu nodo tiene que estar en línea para detectar esos intentos de fraude y responder a ellos. Si se corta la luz, te quedas sin internet o falla el hardware durante ese plazo, no podrás defenderte. Una watchtower vigila la blockchain por ti y, si detecta un intento de fraude, difunde automáticamente la transacción de penalización.

Con esta guía sabrás cómo proteger tu nodo Lightning con una watchtower, tanto si usas LND como si usas Core Lightning.

Cómo funcionan las watchtowers

Cómo se detecta un intento de fraude

1. Registro: cada vez que se actualiza el estado de un canal, tu nodo Lightning envía a la watchtower una pista de fraude y los datos cifrados de la penalización. Con ambas cosas, la watchtower puede construir una transacción de penalización sin conocer los saldos de tus canales ni tu historial de transacciones.
2. Vigilancia: la watchtower revisa cada bloque nuevo en busca de transacciones que coincidan con alguna de las pistas registradas.
3. Respuesta: si encuentra una coincidencia, es porque otro nodo difundió una transacción de compromiso anterior. La watchtower descifra los datos de penalización correspondientes y difunde la transacción de penalización, que envía a tu dirección el saldo del nodo que intentó hacer trampa.
4. Resultado: recibes ambos saldos. La penalización te entrega el del otro nodo y el estado anterior ya te asignaba el tuyo. La watchtower integrada de LND recoge ambos saldos en la misma transacción. Ni esa watchtower ni The Eye of Satoshi se quedan con una parte. Recuperas los fondos menos la comisión on-chain. Los pagos que seguían en curso en ese momento quedan fuera de la protección de ambas.

Qué pasa con la privacidad

Los protocolos de watchtower bien diseñados reducen al mínimo los datos a los que tiene acceso quien la opera.

• La watchtower solo obtiene información sobre un canal cuando de verdad se intenta cometer un fraude. Durante el funcionamiento normal, las pistas y los datos cifrados de penalización no revelan nada sobre tus canales.
• Con las pistas por sí solas, la watchtower no puede deducir los saldos de tus canales, con quién los tienes abiertos ni tu historial de pagos.
• La watchtower solo descubre los detalles de un canal si tiene que construir una transacción de penalización, algo que ocurre únicamente ante un intento real de fraude.

Con este diseño, usar una watchtower afecta poco a tu privacidad en Lightning (en inglés), aunque quien la opera puede ver desde qué dirección IP te conectas, salvo si usas Tor. La watchtower no conoce la clave pública de tu nodo. LND usa claves de sesión independientes para comunicarse con las watchtowers y el plugin de Core Lightning usa un par de claves propio.

Cómo configurar una watchtower en LND

LND incluye un cliente y un servidor de watchtower. Puedes usar un segundo servidor propio como watchtower o conectarte a la de alguien de confianza.

El cliente de watchtower está desactivado de forma predeterminada (wtclient.active=false). Actívalo en cuanto abras tu primer canal. La noche anterior a un viaje ya es tarde. Después de cada actualización del canal, tu nodo envía a la watchtower la penalización del saldo que acaba de revocar y nunca envía las de estados anteriores más tarde. Así que la watchtower solo protege los saldos que se revocan desde que activas el cliente. Hay más detalles en la lección Copias de seguridad y watchtowers en Lightning.

Requisitos

• Una versión actualizada de LND. A fecha de noviembre de 2026, la versión 0.21.6 o la 0.20.7, que son las que nuestro aviso de seguridad de Linux (en inglés) recomienda usar en nodos Lightning.
• Acceso a la línea de comandos o a la API de tu nodo LND. En Umbrel y Start9 bastan las pantallas de configuración del nodo, que se tratan más abajo.
• Si operas tu propia watchtower, un servidor o dispositivo separado con LND instalado.

A: conéctate a una watchtower que ya existe

Lo más sencillo es usar una watchtower que opere otra persona, como el nodo LND de un amigo con la función activada. LND aconseja no publicar la clave de la watchtower. Así que sus operadores suelen compartirla por canales privados. Pide a quien la opera el URI de la watchtower (pubkey@host:port).

1. Activa el cliente de watchtower en tu archivo lnd.conf.

[wtclient]
wtclient.active=true

2. Para aplicar la configuración, reinicia LND. Si se ejecuta como un servicio de systemd llamado lnd, usa este comando.

sudo systemctl restart lnd

3. Añade una watchtower con su clave pública y su dirección.

lncli wtclient add pubkey@host:port

4. Comprueba la conexión.

lncli wtclient towers

El comando enumera todas las watchtowers registradas y su estado. Deberías ver la watchtower que añadiste. Dentro de session_info, active_session_candidate: true indica que tu nodo puede abrir nuevas sesiones de copias de seguridad con esa watchtower. num_sessions indica cuántas sesiones ha abierto el nodo hasta ahora. En el paso siguiente verás si las copias de seguridad están llegando de verdad a tus watchtowers.

5. Comprueba que se estén creando sesiones.

lncli wtclient stats

El comando muestra la cantidad de actualizaciones de las copias de seguridad que tu nodo ha enviado a las watchtowers (num_backups). La cifra debería subir a medida que hagas transacciones por Lightning, mientras num_failed_backups sigue en cero.

B: opera tu propio servidor de watchtower

Si buscas la máxima autonomía, ejecuta tu propia watchtower en un dispositivo separado. Así no tienes que confiar en un operador externo.

1. En el servidor de tu watchtower, instala LND y activa el servicio de watchtower en lnd.conf.

[watchtower]
watchtower.active=true
watchtower.listen=0.0.0.0:9911

2. Inicia LND en el servidor de la watchtower y crea su billetera, como harías en cualquier nodo LND. La clave de la watchtower se deriva de esa billetera. La watchtower empieza a escuchar en el puerto 9911 y no necesita canales ni fondos propios.

3. Obtén la clave pública de la watchtower.

lncli tower info

El comando muestra la clave pública de la watchtower y las direcciones en las que escucha. Su URI se forma con esa clave pública, una @ y la dirección y el puerto que tu nodo usará para conectarse, como en pubkey@host:9911. Si además configuras watchtower.externalip con la dirección IP de la watchtower en su lnd.conf, el campo uris del comando te mostrará el URI completo.

4. En tu nodo Lightning principal, añade la watchtower como se indica en la opción A. Usa el URI del paso 3.

Hardware sugerido: una computadora pequeña de bajo consumo con una conexión estable a internet, como una Raspberry Pi, puede funcionar como watchtower. Como cualquier nodo LND, la watchtower necesita una fuente de bloques nuevos. Puede ser un nodo Bitcoin Core o Neutrino, el cliente ligero integrado de LND, que sigue la cadena a través de nodos completos de otras personas. LND también funciona con un nodo podado de Bitcoin Core, que solo guarda bloques recientes, aunque de ese modo es más lento y consume más ancho de banda. La guía de seguridad de LND recomienda usar un nodo sin podar. The Eye of Satoshi, que se trata más abajo, necesita Bitcoin Core.

Cómo configurar una watchtower en Umbrel y Start9

Si usas Umbrel o Start9, activa el cliente y añade watchtowers en la configuración del propio nodo. Puedes hacerlo sin usar la línea de comandos. A fecha de noviembre de 2026, estos pasos corresponden a Lightning Node de Umbrel (versión 0.21.6) y a StartOS 0.4.

En Umbrel, usa la aplicación Lightning Node, que ejecuta LND.

1. Abre Lightning Node, haz clic en el menú de tres puntos de la pantalla principal y elige Advanced Settings.
2. Abre el grupo Watchtower, activa Watchtower Client y haz clic en Save and Restart Node.
3. Cuando el nodo vuelva a estar disponible, abre Advanced Settings otra vez, pega el URI de la watchtower (pubkey@host:port) en el campo debajo de Watchtower Client y haz clic en Add. Cada watchtower que añadas aparecerá en la lista de abajo.

En el mismo grupo, Watchtower Service permite usar este nodo como watchtower para otras personas y muestra su URI cuando guardas los cambios y reinicias. También está Watchtower Client Sweep Fee Rate, el ajuste wtclient.sweep-fee-rate de LND (10 sat/vB de forma predeterminada).

Para comprobar tus watchtowers desde la línea de comandos, abre Settings de umbrelOS. Entra en Advanced settings, luego en Terminal y App, y elige Lightning Node. Así se abre una terminal dentro del contenedor de LND, donde lncli wtclient towers y lncli wtclient stats funcionan como se indicó arriba. Si te conectas por SSH (ssh umbrel@umbrel.local), escribe docker exec -it lightning_lnd_1 delante de cada comando, como en docker exec -it lightning_lnd_1 lncli wtclient towers.

En Start9, usa el servicio LND.

1. Abre el servicio LND y entra en su página actions & config.
2. En Watchtower, abre Watchtower Client Settings, pon Enable Watchtower Client en Enabled y añade el URI de cada watchtower en Add Watchtowers. LND se reinicia y añade las watchtowers de la lista cada vez que arranca.

Si vas a ofrecer una watchtower a otras personas, elige en Watchtower Server la dirección a la que podrán conectarse. De forma predeterminada se usa su dirección onion de Tor. Watchtower Server Info muestra el URI que puedes compartir. El servicio Core Lightning de StartOS tiene sus propios ajustes de watchtower, que se tratan en la sección siguiente. Para la administración general del nodo, consulta la guía Cómo configurar un nodo Lightning para uso personal.

Opciones de watchtower para Core Lightning

El ecosistema de Core Lightning (CLN) usa implementaciones externas de watchtower. LND, en cambio, tiene un sistema integrado.

The Eye of Satoshi (teos)

TEOS es una implementación independiente de watchtower compatible con CLN. El proyecto sigue las propuestas de especificación BOLT para watchtowers. Su última versión etiquetada, la v0.2.0, es de febrero de 2023 y el cambio más reciente del repositorio es de octubre de 2025. Sigue funcionando como se describe abajo, pero recibe poco mantenimiento. Por eso conviene compilarlo a partir del código fuente actual y mantener actualizado el equipo que aloja la watchtower.

En Start9, el servicio Core Lightning ya incluye The Eye of Satoshi, tanto el plugin cliente como la watchtower. En la página actions & config, Watchtower Settings incluye un interruptor Watchtower Client con una lista de URI de watchtowers (tower_id@host:port) y un interruptor Watchtower Server. Watchtower Client Info muestra qué watchtowers usa tu nodo. Hay voluntarios que comparten watchtowers públicas en la lista de watchtowers altruistas del proyecto. La mayoría de las entradas son de 2022 y 2023, así que, después de registrar una watchtower, comprueba que aparezca como accesible. La sección Cómo comprobar el funcionamiento de las watchtowers se ocupa de esa comprobación. Los pasos siguientes son para un nodo Core Lightning que tú mismo hayas configurado.

1. Instala el servidor de watchtower teos en el dispositivo secundario. Estos comandos de la guía de instalación del proyecto compilan teos con la herramienta cargo de Rust e instalan dos programas en ~/.cargo/bin, teosd (la watchtower) y teos-cli (la herramienta para controlarla).

git clone https://github.com/talaia-labs/rust-teos.git
cd rust-teos
cargo install --locked --path teos

2. Configura teos con tus credenciales de RPC de Bitcoin Core en un archivo teos.toml dentro de su carpeta de datos (~/.teos/ de forma predeterminada).

# ~/.teos/teos.toml
btc_network = "mainnet"
btc_rpc_user = "your_rpc_user"
btc_rpc_password = "your_rpc_password"
btc_rpc_connect = "127.0.0.1"
btc_rpc_port = 8332
# the default, 127.0.0.1, only accepts connections from this machine
api_bind = "0.0.0.0"
api_port = 9814

3. Inicia el servidor teos.

teosd

4. En tu nodo CLN, instala el plugin cliente de teos. Este instala un programa llamado watchtower-client en ~/.cargo/bin.

git clone https://github.com/talaia-labs/rust-teos.git
cd rust-teos
cargo install --locked --path watchtower-plugin

5. Carga el plugin en CLN.

lightning-cli plugin start ~/.cargo/bin/watchtower-client

Si inicias el plugin así, se detendrá cuando CLN se reinicie. Así que también se interrumpen las copias de seguridad. Para cargarlo en cada arranque, añade una línea como plugin=/home/you/.cargo/bin/watchtower-client al archivo de configuración de CLN (~/.lightning/config de forma predeterminada). Usa la ruta de tu propio directorio personal.

6. Registra tu nodo en el servidor teos con el identificador que muestra teos-cli gettowerinfo en la watchtower.

lightning-cli registertower tower_id@host:port

Buenas prácticas para configurar watchtowers

Usa varias watchtowers

Si el otro nodo intenta hacer trampa mientras tu nodo y tu única watchtower están sin conexión, nadie responderá. Por eso conviene tener varias. Los dos clientes las usan de maneras distintas.

• Core Lightning: el plugin envía cada actualización a todas las watchtowers que registres. Así que cada una guarda una copia completa. Si una se queda sin conexión, las otras siguen cubriendo todos los saldos.
• LND: el cliente envía cada actualización a una sola watchtower. Completa con ella una sesión de hasta 1024 actualizaciones (wtclient.max-updates) y abre la siguiente sesión con la siguiente watchtower de tu lista. Así, las watchtowers se reparten el historial y, en un nodo con pocos pagos, una sola puede guardar todas las actualizaciones recientes durante mucho tiempo. Si el otro nodo publica un saldo anterior, la watchtower que lo guarda tiene que estar en línea. Con LND importa más la fiabilidad de cada watchtower que cuántas tengas. Empieza con una propia en hardware separado.

Con cualquiera de los dos clientes, una watchtower que añadas más tarde solo guarda las actualizaciones posteriores al momento en que la añadiste. Cada cliente funciona con su propio tipo de watchtower. El de LND usa watchtowers LND (puerto 9911) y el plugin de Core Lightning usa watchtowers The Eye of Satoshi (puerto 9814). Procura tener entre 2 y 3 watchtowers independientes.

• Una watchtower propia en hardware separado
• Una o dos watchtowers mantenidas por la comunidad
• Si quieres, una watchtower alojada en un VPS en otra región

Cómo comprobar el funcionamiento de las watchtowers

Comprueba periódicamente que las conexiones con tus watchtowers estén activas.

# Check tower status
lncli wtclient towers

# Check backup statistics
lncli wtclient stats

Las estadísticas deberían mostrar que aumenta el número de copias de seguridad con la actividad de tus canales. Si las cifras no suben mientras haces pagos, comprueba la conexión con la watchtower. Si num_pending_backups sigue subiendo, la watchtower que usa LND no está recibiendo las copias. Añade otra watchtower y ejecuta lncli wtclient remove seguido de la clave pública de la que está atascada. Así, LND pasa las copias pendientes a tus otras watchtowers.

En Core Lightning, lightning-cli listtowers muestra el estado de cada watchtower, que debería ser reachable. Si ves subscription error, se agotó tu suscripción con esa watchtower. Con la configuración predeterminada, dura 10 000 actualizaciones o alrededor de un mes. Ejecuta registertower otra vez para renovarla.

Distribución geográfica

Usa infraestructura distinta para tu watchtower y tu nodo principal. Si ambos funcionan en el mismo equipo, una sola falla deja fuera al nodo y a su protección. Si los tienes en la misma casa, un corte de luz apaga los dos. Lo ideal es tener el nodo principal en casa y alojar la watchtower en un servidor independiente o en casa de un amigo de confianza.

Almacenamiento

Los servidores de watchtower guardan una pista de fraude y una penalización cifrada por cada actualización de canal de cada cliente registrado. El espacio necesario aumenta con la cantidad de clientes y la frecuencia con que se actualizan sus canales, pero cada actualización ocupa poco, unos cientos de bytes (alrededor de 330 en LND). Una watchtower que atienda a unas decenas de nodos necesita muy poco espacio adicional.

¿Cuándo necesitas de verdad una watchtower?

Estos son los escenarios que importa tener en cuenta al decidir si necesitas una watchtower.

• Nodo sin conexión durante mucho tiempo: si tu nodo se queda sin conexión más allá de su plazo de espera más corto, alrededor de un día en canales LND pequeños, el otro nodo del canal, si actúa de mala fe, podría difundir un estado anterior y quedarse con el saldo que ese estado le daba. Las watchtowers protegen tus fondos durante ese plazo.
• Falla del hardware: si falla el almacenamiento de tu nodo y pierdes los estados de los canales, no podrás responder a los intentos de fraude por tu cuenta. Una watchtower conserva las pistas de fraude por separado.
• Desastres naturales: un incendio, una inundación u otro suceso puede destruir tu hardware. Una watchtower que esté en otra región sigue vigilando.

En la práctica, los intentos de fraude son extremadamente raros en la red Lightning. El incentivo económico desanima a quien piense en hacer trampa, porque, si el intento falla, la penalización le quita todos los fondos del canal. Aun así, como operar una watchtower cuesta tan poco, vale la pena tenerla como seguro, en especial a medida que crecen tus saldos. Una buena gestión de los canales, combinada con una watchtower, ofrece la protección más fuerte para tus fondos en Lightning.

Cuánto cuesta una watchtower

Opción	Esfuerzo de configuración	Costo de funcionamiento	Nivel de confianza
Watchtower de la comunidad	5 minutos	Sin costo para ti	Confías en quien la opera
Watchtower propia en una Raspberry Pi	Entre 1 y 2 horas	La electricidad que consume una computadora pequeña	La controlas tú
Watchtower en un VPS	30 minutos	Un plan básico de VPS	Confías en el proveedor del VPS

Para la mayoría de quienes operan un nodo en casa, combinar una watchtower propia con una de la comunidad da una buena protección a un costo mínimo. Encontrarás más sobre la operación y la seguridad del nodo en nuestra guía completa.

Preguntas frecuentes

¿Una watchtower puede ver mis pagos por Lightning o los saldos de mis canales?

No. Durante el funcionamiento normal, la watchtower solo guarda pistas de fraude y datos cifrados de penalización que no puede descifrar. Solo descubre los detalles de un canal si hay un intento real de fraude y necesita construir una transacción de penalización. En condiciones normales se mantienen en privado tu historial de pagos, los saldos de tus canales y la identidad de las personas con las que los tienes abiertos.

¿Qué pasa si mi watchtower se queda sin conexión al mismo tiempo que mi nodo?

Si tu nodo y tu watchtower están sin conexión a la vez, nadie vigila durante ese tiempo. Por eso conviene ejecutar la watchtower en hardware distinto del nodo y con su propio suministro eléctrico y su propia conexión a internet. Así, un solo corte de luz, una interrupción de internet o un desastre no pueden dejar a los dos sin conexión. Con Core Lightning, cada watchtower que registres guarda todas las actualizaciones. Así que una segunda o tercera te protege mientras una esté sin conexión. LND envía cada actualización a una sola watchtower. Así que importa más la fiabilidad de cada una que el número de watchtowers. Empieza con una propia en hardware separado.

¿Una watchtower puede robarme los fondos?

No. La watchtower solo tiene los datos necesarios para construir transacciones de penalización, que envían fondos a tu dirección. No puede construir transacciones que desvíen los fondos a una dirección propia. Lo peor que puede hacer una watchtower maliciosa es no actuar ante un intento de fraude. Si operas la tuya, eliminas esa duda. Con Core Lightning también puedes registrar varias watchtowers y cada una guarda todas las actualizaciones.

¿Necesito una watchtower si mi nodo siempre está en línea?

Un nodo que se mantiene en línea 24/7, como se describe en la guía Cómo ejecutar un nodo Lightning en casa, puede detectar los intentos de fraude y responder por su cuenta. Aun así, por fiable que sea, ningún sistema está «siempre en línea». A todo el mundo le acaba fallando el hardware o el software, o se le corta la luz o internet. Una watchtower cuesta muy poco y sirve de seguro ante esos fallos inevitables. La pregunta es cuándo se quedará tu nodo sin conexión y si tendrás protección cuando ocurra.