fix: el aviso del xpub decía una media verdad

Decía 'el xpub no sale del navegador'. Cierto, y por eso engaña: las
direcciones derivadas sí salen, una consulta al nodo por cada una, y quien
opere ese nodo ve el monedero entero. Con nodo propio da igual; con el nodo de
otro le estás enseñando tus finanzas.

El aviso lo dice ahora y distingue los dos casos. Añade PRUEBALA.md para quien
reciba la app a probarla.

CHANGELOG.md

@@ -10,6 +10,27 @@ y el versionado sigue [Versionado Semántico](https://semver.org/lang/es/):
 - **MENOR** — características nuevas que no rompen lo anterior
 - **PARCHE** — arreglos de errores
 
+---
+## [1.18.1] — 2026-08-08
+### Corregido
+- **El aviso del xpub decía una media verdad.** El panel de wallet watch-only
+  decía «Txoko deriva tus direcciones en local — el xpub no sale del
+  navegador». Es cierto, y por eso mismo engaña: el xpub no sale, pero **las
+  direcciones derivadas sí**, una consulta a la API del nodo por cada una. Quien
+  opere ese nodo puede ver en sus registros el monedero completo que estás
+  analizando: cuántas direcciones tienes, cuáles, su historial y tu saldo.
+  - Con el nodo propio no hay problema, es tu información en tu máquina. Con el
+    nodo de otra persona —aunque sea de confianza— le estás enseñando tus
+    finanzas enteras.
+  - El aviso lo dice ahora, y distingue los dos casos. En una herramienta que
+    existe para no afirmar de más, ese era el peor sitio posible para tener una
+    frase técnicamente cierta que se lee como una garantía que no es.
+
+### Añadido
+- `PRUEBALA.md` — guía para quien recibe la aplicación para probarla: el aviso
+  del xpub por delante de todo, qué merece la pena intentar romper, qué no
+  hacer con el peritaje, y qué tipo de fallo interesa que reporte.
+
 ---
 ## [1.18.0] — 2026-08-08
 ### Añadido