Frases de semilla: las 12 palabras que se interponen entre tú y la posibilidad de perderlo todo

Las palabras no son una contraseña. Son el dinero.

Una frase semilla, normalmente de 12 o 24 palabras extraídas de una lista estandarizada de 2.048, no es una credencial de inicio de sesión que controle el acceso a fondos almacenados en otro lugar. Matemáticamente, es la cartera. Cada una de esas palabras codifica una porción de entropía bruta que un algoritmo determinista (especificado en un estándar denominado BIP39) convierte en una clave privada maestra, y todas las direcciones de bitcoin que un monedero haya generado o vaya a generar se derivan de esa única clave.

No existe ninguna base de datos de la empresa que conserve una copia, ni ninguna línea de atención al cliente que pueda recuperar una contraseña olvidada, ni ningún proceso de «contraseña olvidada». Quien sea capaz de proporcionar las palabras controla todas las monedas que esas palabras pueden generar (de forma instantánea e irreversible).

Precisamente por eso el robo de enero funcionó sin ningún tipo de vulnerabilidad técnica. La empresa de análisis forense de cadenas de bloques ZeroShadow, que ayudó a rastrear los fondos robados posteriormente, lo describió como resultado «de ingeniería social más que de cualquier vulneración del software del monedero o de la infraestructura de claves privadas».

El atacante no tuvo que romper nada. Solo necesitaba que la víctima escribiera las 12 palabras en el lugar equivocado, y luego actuó con rapidez: los aproximadamente 139 millones de dólares en bitcoin y 153 millones de dólares en litecoin se repartieron entre los puentes de THORChain, se convirtieron en monero a través de servicios de intercambio instantáneo y se disimularon mediante transferencias en peel-chains en cuestión de minutos.

El equipo de supervisión de ZeroShadow logró detectar y congelar unos 700 000 dólares de esa cantidad en 20 minutos, un caso excepcional de recuperación parcial que nos recuerda lo pequeña que suele ser la fracción de una frase semilla robada que se puede recuperar.

Por qué 12 palabras es, en realidad, un número enorme

Cada palabra del BIP39 contiene 11 bits de entropía, ya que la lista de palabras tiene exactamente 2.048 (2^11) entradas. Una frase de 12 palabras contiene aproximadamente 128 bits de entropía total, una vez que se tiene en cuenta la suma de comprobación integrada, y una frase de 24 palabras contiene 256 bits. No se trata simplemente de números «más grandes» que una contraseña típica, sino que son astronómicamente mayores. Aplicar un ataque de fuerza bruta a todas las combinaciones posibles de una frase completa de 12 palabras, incluso a un ritmo extremadamente generoso de 1 000 millones de intentos por segundo, llevaría del orden de 10^22 años. El universo tiene unos 13 800 millones de años.

No existe una cantidad realista de potencia de cálculo futura que pueda acortar esa brecha; adivinar una frase semilla completa y desconocida no es un riesgo que nadie deba tener en cuenta.

El peligro nunca radica en las matemáticas, sino en la exposición. Si se filtran tan solo unas pocas palabras, o si un atacante descubre algunas de ellas a través de una foto, una copia de seguridad en la nube o una estafa en la que se hace pasar por el servicio de asistencia, el espacio de búsqueda restante se derrumba de forma catastrófica en lugar de hacerlo de manera gradual. El gráfico anterior muestra por qué: con 6 de las 12 palabras ya conocidas, descifrar el resto seguiría llevando unos 1.169 años a ese mismo ritmo de conjeturas (lo que sigue siendo seguro).

Pero si se conocen 7 palabras, esa cifra se reduce a menos de un año. Si se conocen 8 palabras, son unas pocas horas. Si se conocen 10 u 11 palabras, son milisegundos. La seguridad no se degrada de forma lineal a medida que se filtran las palabras; se desploma, y esa es precisamente la razón por la que «solo las primeras seis palabras» o «la mitad de mi frase» no son opciones significativamente más seguras de revelar que la frase completa.

La única característica diseñada para detectar errores, no para protegerse de los atacantes

La suma de comprobación del BIP39 existe por una razón mucho más prosaica que la seguridad frente a las conjeturas: detecta errores tipográficos. La última palabra de una frase semilla no es puramente aleatoria; algunos de sus bits constituyen una suma de comprobación calculada a partir de las demás palabras, de modo que una cartera pueda verificar que la frase se ha transcrito correctamente.

Si escribes mal una sola palabra, hay muchas posibilidades de que el monedero marque la frase como inválida en el momento en que intentes restaurarla, en lugar de generar silenciosamente un monedero con un saldo diferente y vacío. Es un pequeño detalle del diseño, pero es la razón por la que una copia de seguridad corrompida suele detectarse de inmediato, en lugar de convertirse en un desastre a cámara lenta que se descubre meses más tarde.

Millones de monedas demuestran que el mayor riesgo no es el robo

A pesar de toda la atención que atrae un robo por phishing de 282 millones de dólares, la causa de pérdida mucho mayor y más silenciosa es más sencilla: la gente pierde el acceso a sus propias palabras. Las estimaciones varían, pero la empresa de análisis de blockchain Chainalysis ha situado la cifra en hasta un 23 % de todos los bitcoins minados (varios millones de BTC de los aproximadamente 19,8 millones minados hasta la fecha) que son inaccesibles de forma permanente, en gran parte debido a frases olvidadas, copias de seguridad destruidas y fallecimientos sin ningún plan de sucesión para las frases de recuperación. Sin hackers, sin vulnerabilidades, sin páginas de phishing, solo una cartera que ya nadie puede abrir, que contiene monedas que nunca volverán a moverse. Ese es el verdadero peso de una frase semilla: no es una contraseña que haya que recordar, sino la única prueba, no negociable, de la propiedad de un activo que carece por completo de mecanismo de recuperación. Si se anota mal, falla de forma segura. Si se expone, aunque sea parcialmente, la seguridad se derrumba rápidamente. Si se pierde por completo, sin nada más a lo que recurrir, el bitcoin que hay detrás simplemente deja de existir para todo el mundo.