Cómo funciona Anzen

🏦 El Vault: una UTXO con superpoderes

Todo empieza con una sola transacción: mandás tus bitcoin a una dirección del vault.

Pero esa dirección no es una dirección común. Está controlada por un script de Bitcoin que dice:

• "Se puede gastar si firman AMBAS llaves juntas" (gasto grande)
• "O si pasó un timelock y firma SOLO la HW" (recuperación si perdés el teléfono)
• "O si pasó un timelock más largo y firma SOLO el teléfono" (recuperación si perdés la HW)

En este momento el vault tiene todos tus fondos. Nadie puede gastarlos sin tu HW.

✍️ Pre-firmás 12 allowances mensuales

Antes de guardar la hardware wallet, hacés una sesión de firma:

• Creás 12 transacciones, una por mes
• Cada una mueve 1/12 del vault a una hot wallet del teléfono
• Cada transacción tiene un timelock: solo se puede ejecutar en su mes correspondiente
• Firmás las 12 con ambas llaves (teléfono + HW)

Guardás estas transacciones pre-firmadas en el teléfono. La HW vuelve al cajón. Solo la necesitás una vez por año para renovar.

📱 El día a día: gastás desde el teléfono

Cada mes, el teléfono transmite la transacción pre-firmada de ese mes:

• 1/12 del vault se mueve a tu hot wallet del teléfono
• De ahí gastás normalmente, como cualquier wallet
• Sin tocar la hardware wallet. Sin sacarla del cajón.
• Si no gastás todo el allowance del mes, lo devolvés al vault

El teléfono nunca puede gastar más que el allowance del mes actual. Las otras 11 transacciones tienen timelocks futuros que Bitcoin hace cumplir.

🔓 Escenario: te roban el teléfono

El ladrón tiene tu teléfono. ¿Qué puede hacer?

• Máximo daño: gastar el allowance de este mes. Solo 1/12 del vault.
• No puede acelerar los timelocks de los meses siguientes
• No puede gastar el resto del vault (necesita la HW)

Tu recuperación:

• Sacás la hardware wallet del cajón
• Firmás una transacción de "revocación" que devuelve todo al vault
• Esperás un timelock corto (ej: 1 semana) — esto evita que un atacante con tu HW pueda robarte instantáneamente
• Una vez cumplido el timelock, transmitís y todo vuelve a tu control

El modelo de amenaza: un ladrón que te roba el teléfono en la calle no puede esperar 1 semana sin que te des cuenta.

🔥 Escenario: perdés o se rompe la hardware wallet

Sin HW, no podés firmar gastos grandes ni renovar el vault. Pero no perdiste tus fondos:

• Seguís recibiendo allowances mensuales normalmente (ya están pre-firmadas)
• Tenés 12 meses para conseguir una HW nueva y restaurar la semilla
• Si no lo hacés, al final del año: timelock de emergencia

Recuperación de emergencia (timelock largo):

• Pasado un timelock largo (ej: 2-4 semanas), el teléfono solo puede barrer todo el vault
• El timelock existe para darte tiempo de reaccionar si alguien está tratando de usar este path maliciosamente
• Restaurás tu semilla en una HW nueva y volvés a la normalidad

💰 Gasto grande: ambas llaves juntas

¿Necesitás mover más que un allowance mensual? Sacás la HW del cajón.

• Firmás con ambas llaves (teléfono + HW)
• Sin timelock. La transacción es válida inmediatamente
• Movés lo que necesités: el resto puede volver a un vault nuevo

Esto es intencional: los gastos grandes deberían ser poco frecuentes y deliberados. El pequeño esfuerzo de sacar la HW es una feature de seguridad, no un bug.