Frases-semente: as 12 palavras que separam você de perder tudo

As palavras não são uma senha. Elas são o dinheiro.

Uma frase-semente, geralmente composta por 12 ou 24 palavras extraídas de uma lista padronizada de 2.048, não é uma credencial de login que controla o acesso a fundos armazenados em outro lugar. Matematicamente, ela é a carteira. Cada uma dessas palavras codifica um pedaço de entropia bruta que um algoritmo determinístico (especificado em um padrão chamado BIP39) transforma em uma chave privada mestra, e todos os endereços de bitcoin que uma carteira já gerou ou virá a gerar são derivados dessa única chave.

Não há banco de dados de nenhuma empresa que mantenha uma cópia, nenhuma linha de atendimento ao cliente que possa recuperar uma senha esquecida e nenhum processo do tipo “esqueci a senha”. Quem quer que consiga apresentar as palavras controla todas as moedas que essas palavras podem gerar (instantaneamente e de forma irreversível).

É exatamente por isso que o roubo de janeiro funcionou sem qualquer exploração técnica. A empresa de perícia em blockchain ZeroShadow, que ajudou a rastrear os fundos roubados posteriormente, descreveu o caso como resultado “de engenharia social, e não de qualquer comprometimento do software da carteira ou da infraestrutura da chave privada”.

O invasor não precisou invadir nada. Bastou que a vítima digitasse 12 palavras no lugar errado, e então ele agiu rapidamente: os cerca de US$ 139 milhões em bitcoin e US$ 153 milhões em litecoin foram distribuídos por pontes da THORChain, convertidos em monero por meio de serviços de câmbio instantâneo e camadas de transferências pela peel-chain em questão de minutos.

A equipe de monitoramento da ZeroShadow conseguiu identificar e congelar cerca de US$ 700.000 desse montante em 20 minutos — uma rara recuperação parcial e um lembrete de quão pequena é, na maioria das vezes, a fração de uma frase-semente roubada que pode ser recuperada.

Por que 12 palavras são, na verdade, um número enorme

Cada palavra do BIP39 contém 11 bits de entropia, pois a lista de palavras tem exatamente 2.048 (2^11) entradas. Uma frase de 12 palavras contém aproximadamente 128 bits de entropia total, quando se leva em conta a soma de verificação embutida, e uma frase de 24 palavras contém 256 bits.

Esses números não são apenas “maiores” do que uma senha comum; eles são astronomicamente maiores. Tentar adivinhar todas as combinações possíveis de uma frase completa de 12 palavras, mesmo a uma taxa extremamente generosa de 1 bilhão de tentativas por segundo, levaria cerca de 10^22 anos. O universo tem cerca de 13,8 bilhões de anos.

Não há quantidade realista de poder de computação futuro que possa preencher essa lacuna; adivinhar uma frase-semente completa e desconhecida não é um risco que alguém precise levar em conta.

O perigo nunca está na matemática, mas na exposição. Se apenas algumas palavras vazarem, ou se um invasor descobrir algumas delas por meio de uma foto, um backup na nuvem ou um golpe de suplantação de identidade do suporte técnico, o espaço de busca restante desmorona de forma catastrófica, em vez de gradual. O gráfico acima mostra o motivo: com 6 das 12 palavras já conhecidas, decifrar o restante ainda levaria cerca de 1.169 anos na mesma taxa de tentativas (o que ainda é seguro).

Mas com 7 palavras conhecidas, esse número cai para menos de um ano. Com 8 palavras conhecidas, são algumas horas. Com 10 ou 11 palavras conhecidas, são milissegundos. A segurança não se degrada de forma linear à medida que as palavras vazam; ela despenca abruptamente, e é exatamente por isso que “apenas as seis primeiras palavras” ou “metade da minha frase” não são opções significativamente mais seguras de se expor do que a frase inteira.

O único recurso criado para detectar erros, não invasores

A soma de verificação do BIP39 existe por um motivo muito mais prosaico do que a segurança contra adivinhação: ela detecta erros de digitação. A última palavra de uma frase-semente não é puramente aleatória; alguns de seus bits são uma soma de verificação calculada a partir das outras palavras, para que uma carteira possa verificar se a frase foi transcrita corretamente.

Basta escrever uma palavra errada para que haja uma chance muito alta de a carteira sinalizar a frase como inválida no momento em que você tentar restaurá-la, em vez de gerar silenciosamente uma carteira com um saldo diferente e vazio. É um pequeno detalhe do design, mas é a razão pela qual um backup corrompido geralmente se revela imediatamente, em vez de se transformar em um desastre em câmera lenta descoberto meses depois.

Milhões de moedas comprovam que o maior risco não é o roubo

Apesar de toda a atenção que um roubo por phishing de US$ 282 milhões atrai, a causa de perda muito maior e mais silenciosa é mais simples: as pessoas perdem o acesso às suas próprias palavras. As estimativas variam, mas a empresa de análise de blockchain Chainalysis aponta que até 23% de todos os bitcoins minerados (vários milhões de BTC dos cerca de 19,8 milhões minerados até o momento) estão permanentemente inacessíveis, em grande parte devido a frases esquecidas, backups destruídos e óbitos sem qualquer plano de herança para as palavras. Sem hacker, sem vulnerabilidade, sem página de phishing — apenas uma carteira que ninguém consegue mais abrir, contendo moedas que nunca mais serão movimentadas.

Esse é o verdadeiro peso de uma frase-semente: não se trata de uma senha a ser lembrada, mas da única e inegociável prova de propriedade de um ativo sem qualquer mecanismo de recuperação. Se for anotada incorretamente, ela falha com segurança. Se for exposta, mesmo que parcialmente, a segurança desmorona rapidamente. Se for perdida de vez, sem nada mais a que recorrer, o bitcoin por trás dela simplesmente deixa de existir para qualquer pessoa.