Frasi seed: le 12 parole che ti separano dal rischio di perdere tutto

Le parole non sono una password. Sono il denaro stesso.

Una frase seed, solitamente composta da 12 o 24 parole tratte da un elenco standardizzato di 2.048, non è una credenziale di accesso che consente di accedere a fondi depositati altrove. Matematicamente, essa è il portafoglio stesso. Ognuna di queste parole codifica una porzione di entropia grezza che un algoritmo deterministico (specificato in uno standard chiamato BIP39) trasforma in una chiave privata principale, e ogni indirizzo Bitcoin che un portafoglio abbia mai generato o genererà in futuro deriva da quella singola chiave.

Non esiste un database aziendale che ne conservi una copia, né un servizio clienti in grado di recuperare una password dimenticata, né una procedura di “recupero password”. Chiunque sia in grado di fornire quelle parole controlla ogni moneta che da esse può derivare (istantaneamente e in modo irreversibile).

È proprio per questo che il furto di gennaio è riuscito senza alcuno exploit tecnico. La società di analisi forense della blockchain ZeroShadow, che in seguito ha aiutato a rintracciare i fondi rubati, lo ha descritto come il risultato «di ingegneria sociale piuttosto che di una compromissione del software del portafoglio o dell’infrastruttura delle chiavi private».

L’autore dell’attacco non ha avuto bisogno di violare nulla. Gli è bastato che la vittima digitasse le 12 parole nel posto sbagliato, poi ha agito rapidamente: i circa 139 milioni di dollari in bitcoin e 153 milioni di dollari in litecoin sono stati suddivisi tra i bridge di THORChain, convertiti in monero tramite servizi di scambio istantaneo e stratificati attraverso trasferimenti su peel-chain nel giro di pochi minuti.

Il team di monitoraggio di ZeroShadow è riuscito a individuare e congelare circa 700.000 dollari di questa somma in 20 minuti, un raro recupero parziale che ricorda quanto sia esigua, in genere, la frazione di una frase seed che è effettivamente recuperabile.

Perché 12 parole sono in realtà un numero enorme

Ogni parola BIP39 contiene 11 bit di entropia, poiché l’elenco delle parole conta esattamente 2.048 (2^11) voci. Una frase di 12 parole contiene circa 128 bit di entropia totale, una volta considerato il checksum integrato, mentre una frase di 24 parole ne contiene 256. Non si tratta semplicemente di numeri “più grandi” rispetto a una password tipica, ma di numeri astronomicamente più grandi. Eseguire un attacco di forza bruta su ogni possibile combinazione di una frase completa di 12 parole, anche a una velocità estremamente generosa di 1 miliardo di tentativi al secondo, richiederebbe un tempo dell’ordine di 10^22 anni. L’universo ha circa 13,8 miliardi di anni.

Non esiste una quantità realistica di potenza di calcolo futura in grado di colmare tale divario; indovinare una frase di avvio completa e sconosciuta non è un rischio che qualcuno debba mettere in conto.

Il pericolo non è mai la matematica, ma l’esposizione. Se anche solo una manciata di parole venisse divulgata, o se un malintenzionato ne scoprisse alcune da una foto, da un backup su cloud o tramite una truffa in cui si finge di essere il supporto tecnico, lo spazio di ricerca rimanente crollerebbe in modo catastrofico anziché graduale. Il grafico sopra mostra il perché: con 6 parole su 12 già note, decifrare le restanti richiederebbe comunque circa 1.169 anni a quella stessa velocità di tentativi (ancora sicura).

Ma con 7 parole note, quel numero scende sotto un anno. Con 8 parole note, si tratta di poche ore. Con 10 o 11 parole note, si tratta di millisecondi. La sicurezza non si riduce in modo lineare man mano che le parole vengono rivelate; crolla a precipizio, ed è proprio per questo che «solo le prime sei parole» o «metà della mia frase» non sono informazioni significativamente più sicure da rivelare rispetto all’intera frase.

L’unica funzione pensata per individuare gli errori, non gli aggressori

Il checksum del BIP39 esiste per un motivo molto più banale della sicurezza contro gli attacchi di indovinamento: rileva gli errori di battitura. L’ultima parola di una frase seed non è puramente casuale; alcuni dei suoi bit costituiscono un checksum calcolato dalle altre parole, in modo che un portafoglio possa verificare che la frase sia stata trascritta correttamente.

Basta scrivere una parola in modo errato e c’è un’altissima probabilità che il portafoglio segnali la frase come non valida nel momento stesso in cui si tenta di ripristinarla, anziché generare silenziosamente un portafoglio con un saldo diverso, ovvero vuoto. Si tratta di un piccolo dettaglio del progetto, ma è il motivo per cui un backup errato di solito si rivela immediatamente, invece di trasformarsi in un disastro a lento scorrimento scoperto mesi dopo.

Milioni di monete dimostrano che il rischio maggiore non è il furto

Nonostante tutta l’attenzione suscitata da una rapina tramite phishing da 282 milioni di dollari, la causa di perdita di gran lunga più grande e silenziosa è più semplice: le persone che perdono l’accesso alle proprie parole. Le stime variano, ma la società di analisi blockchain Chainalysis ha quantificato che ben il 23% di tutti i bitcoin estratti (diversi milioni di BTC sui circa 19,8 milioni estratti fino ad oggi) è permanentemente inaccessibile, in gran parte a causa di frasi dimenticate, backup distrutti e decessi senza alcun piano di successione per le frasi di recupero. Nessun hacker, nessun exploit, nessuna pagina di phishing: solo un portafoglio che nessuno può più aprire, contenente monete che non verranno mai più trasferite. Questo è il vero peso di una frase seed: non è una password da ricordare, ma l’unica e inderogabile prova di proprietà di un bene privo di qualsiasi meccanismo di recupero. Se annotata in modo errato, fallisce in modo sicuro. Se esposta anche solo parzialmente, la sicurezza crolla rapidamente. Se persa definitivamente, senza alcun altro ripiego, il bitcoin che contiene smette semplicemente di esistere per chiunque.