Seed-zinnen: de 12 woorden die het verschil maken tussen alles behouden of alles kwijtraken

De woorden zijn geen wachtwoord. Ze zijn het geld.

Een seed-zin, meestal 12 of 24 woorden uit een gestandaardiseerde lijst van 2.048, is geen inloggegevens waarmee je toegang krijgt tot geld dat ergens anders staat. Wiskundig gezien is het de wallet zelf. Elk van die woorden codeert een stukje ruwe entropie dat een deterministisch algoritme (gespecificeerd in een standaard genaamd BIP39) omzet in een hoofdprivésleutel, en elk bitcoin-adres dat een portemonnee ooit heeft gegenereerd of ooit zal genereren, is afgeleid van die ene sleutel.

Er is geen bedrijfsdatabase die een kopie bewaart, geen klantenservice die een vergeten sleutel kan opzoeken en geen „wachtwoord vergeten“-procedure. Wie de woorden kan opnoemen, heeft de controle over elke munt die uit die woorden kan worden afgeleid (onmiddellijk en onomkeerbaar).

Dat is precies waarom de diefstal in januari lukte zonder dat er ook maar enige technische inbreuk plaatsvond. Het blockchain-forensisch bedrijf ZeroShadow, dat achteraf hielp bij het opsporen van de gestolen middelen, beschreef het als het resultaat van „social engineering in plaats van een inbreuk op de portemonnee-software of de infrastructuur voor privésleutels“.

De aanvaller hoefde nergens in te breken. Hij hoefde alleen maar te zorgen dat het slachtoffer 12 woorden op de verkeerde plek invoerde, waarna hij snel handelde: de ongeveer 139 miljoen dollar aan bitcoin en 153 miljoen dollar aan litecoin werd binnen enkele minuten verdeeld over THORChain-bruggen, via instant-exchange-diensten omgezet in monero en via peel-chain-overboekingen gelaagd.

Het monitoringteam van ZeroShadow slaagde erin om binnen 20 minuten ongeveer 700.000 dollar daarvan te markeren en te bevriezen – een zeldzame gedeeltelijke redding, en een herinnering aan hoe klein het deel van een gestolen seed-phrase doorgaans is dat überhaupt kan worden teruggewonnen.

Waarom 12 woorden eigenlijk een enorm aantal is

Elk BIP39-woord bevat 11 bits entropie, omdat de woordenlijst precies 2.048 (2^11) vermeldingen telt. Een zin van 12 woorden bevat ongeveer 128 bits aan totale entropie als je rekening houdt met een ingebouwde checksum, en een zin van 24 woorden bevat 256 bits.

Dat zijn niet zomaar „grotere“ getallen dan een doorsnee wachtwoord, ze zijn astronomisch veel groter. Het met brute kracht uitproberen van elke mogelijke combinatie van een volledige zin van 12 woorden zou, zelfs bij een uiterst royale 1 miljard pogingen per seconde, in de orde van grootte van 10^22 jaar duren. Het universum is ongeveer 13,8 miljard jaar oud.

Er is geen realistische hoeveelheid toekomstige rekenkracht die die kloof kan overbruggen; het raden van een volledige, onbekende seed-zin is geen risico waar iemand rekening mee hoeft te houden.

Het gevaar zit nooit in de wiskunde, maar in blootstelling. Als er ook maar een handvol woorden uitlekt, of als een aanvaller er enkele te weten komt via een foto, een cloudback-up of een zwendel waarbij iemand zich voordoet als ondersteuning, stort de resterende zoekruimte catastrofaal in in plaats van geleidelijk. De bovenstaande grafiek laat zien waarom: als 6 van de 12 woorden al bekend zijn, zou het kraken van de rest bij diezelfde gissnelheid nog steeds naar schatting 1.169 jaar duren (nog steeds veilig).

Maar als er 7 woorden bekend zijn, daalt dat aantal tot minder dan een jaar. Bij 8 bekende woorden is het een paar uur. Bij 10 of 11 bekende woorden zijn het milliseconden. De beveiliging verslechtert niet lineair naarmate er woorden uitlekken; ze stort als een klif naar beneden, en dat is precies waarom „alleen de eerste zes woorden“ of „de helft van mijn zin“ niet wezenlijk veiliger is om bloot te geven dan het geheel.

De enige functie die is ontworpen om fouten op te sporen, niet om aanvallers te onderscheppen

De checksum van BIP39 bestaat om een veel alledaagser reden dan beveiliging tegen raden: hij spoort typefouten op. Het laatste woord van een seed-zin is niet puur willekeurig; een paar bits ervan vormen een checksum die is berekend op basis van de andere woorden, zodat een wallet kan verifiëren of de zin correct is overgeschreven.

Schrijf één woord verkeerd op, en de kans is zeer groot dat de wallet de zin als ongeldig markeert op het moment dat je deze probeert te herstellen, in plaats van stilletjes een wallet te genereren met een ander, leeg saldo. Het is een klein onderdeel van het ontwerp, maar het is de reden waarom een vervormde back-up zich meestal onmiddellijk kenbaar maakt, in plaats van uit te groeien tot een ramp in slow motion die pas maanden later wordt ontdekt.

Miljoenen munten bewijzen dat het grotere risico niet diefstal is

Ondanks alle aandacht die een phishing-roof van 282 miljoen dollar trekt, is de veel grotere, stillere oorzaak van verlies eenvoudiger: mensen die de toegang tot hun eigen woorden kwijtraken. Schattingen lopen uiteen, maar blockchain-analysebedrijf Chainalysis schat dat maar liefst 23% van alle geminde bitcoin (enkele miljoenen BTC van de ongeveer 19,8 miljoen die tot nu toe zijn gemined) permanent ontoegankelijk is, grotendeels door vergeten zinnen, vernietigde back-ups en overlijdens zonder enig erfplan voor de zinnen. Geen hacker, geen kwetsbaarheid, geen phishingpagina, alleen een wallet die niemand meer kan openen, met munten die nooit meer zullen worden verplaatst.

Dat is het werkelijke gewicht van een seed-zin: het is geen wachtwoord dat je moet onthouden, maar het enige, onbetwistbare bewijs van eigendom voor een activum zonder enig herstelmechanisme. Als deze verkeerd wordt opgeschreven, faalt het systeem op een veilige manier. Als deze zelfs maar gedeeltelijk wordt blootgesteld, stort de beveiliging snel in. Als deze volledig verloren gaat, zonder dat er iets anders is om op terug te vallen, houdt de bitcoin erachter simpelweg op te bestaan voor iedereen.