Questions

Roughly in the order they arrive. Where an answer depends on arithmetic, the field guide has the working. Where it depends on a procedure, start here has the steps.

• Twelve words or twenty-four? Twelve is fine, and twenty-four is not paranoid. Twelve carry 128 bits and twenty-four carry 256, and the field guide shows why 128 is already past brute force. Twenty-four hedges against future cryptanalysis and Grover-style quantum search, at the cost of more to record and keep legible. Without a reason to prefer one, write twelve.
• Does the order of the words matter? Completely, because the phrase is one number cut into eleven-bit groups and each word is the group at a fixed position, so moving two words changes the number as surely as changing one. A swap usually fails the checksum, which is a mercy rather than a safeguard. Number your backup as you write it, and never sort it.
• Can I choose the words myself? No, and it is the most expensive mistake on this page. Entropy is measured against what an attacker knows about how you chose, not against how arbitrary the result feels from the inside. Twelve words picked from the thirty-two you find most memorable is sixty bits, which a serious hardware budget works through, and the result looks exactly like a good phrase.
• What is a passphrase, the “twenty-fifth word”? An extra secret mixed into the same derivation, so the same twelve words with a different passphrase produce a completely different wallet. What it buys is that the paper alone is no longer enough to spend. What it costs is that nobody can recover it: forget it and the coins are gone. Protect works through both halves.
• I have lost one word. Am I finished? Probably not, if you know which position is missing and the other eleven are right. There are only 2048 candidates, and the checksum leaves roughly 128 for a twelve-word phrase, so derive each and see which returns addresses you recognise. It works only because you already supply almost the whole secret, and somebody starting from nothing still faces all 2^128.
• Is it safe to print or hang the whole word list? Yes, and the poster is the public BIP-39 list, so hanging it reveals no more than hanging up a dictionary, and the blank worksheet is equally safe. What is dangerous is a marked list, because twelve ticks on a grid of 2048 is your phrase in plaintext.
• Can I keep the phrase in a password manager, a photo, or a cloud note? No, and all three are the same mistake wearing different clothes. Each turns a secret that lived in one physical place into a file on a server built to be reachable from anywhere. Write it by hand and keep it offline.
• Will the same words work in a different wallet? Yes, and that portability is why the standard exists. What people hit is a restore that comes back empty, and the usual cause is the derivation path, since one seed holds an unlimited tree of keys. A valid phrase that isn't yours also restores a real, empty wallet, so an empty wallet is a question, not an answer.
• Should I split the phrase into halves? Not in a scheme you invented. Six known words of a twelve-word phrase leave about sixty-two bits, which a large hardware budget can reach, and home-made splits lose coins far more often than they prevent theft. The established answers are multisignature and standardised share schemes, both in Protect.
• How do I know this page is what it claims? Two checks, proving different amounts. The hash is the weaker one: every deploy publishes the file's SHA-256 as index.html.sha256, which says nothing about the server's honesty. The stronger one is cloning the repository and running scripts/verify.sh, which rebuilds the page from source and diffs it. A published hash is a claim. A reproducible build is a check.
• Does quantum computing change any of this? Not today, and for the phrase the relevant result is Grover-style search, which in theory halves a symmetric secret's effective strength and is the one real argument for twenty-four words. The larger question isn't about your phrase: public-key signatures are the part a large quantum computer would threaten, and that is a protocol problem the whole network would meet together.

One question isn't on this list, and it's asked too rarely: who else has seen this phrase? Treat any phrase you didn't watch being created as already compromised, which covers a friend, a setup service, a tutorial and a card in the box. Roll your own exists so you can watch every bit of one arrive.

Words you will meet

Most of the confusion around seed phrases is vocabulary rather than mathematics. Entropy, bits and the checksum are worked through properly in the field guide, and air gaps in start here.

Preguntas

Más o menos en el orden en que llegan. Cuando una respuesta depende de la aritmética, la guía de campo tiene el cálculo. Cuando depende de un procedimiento, empieza aquí tiene los pasos.

• ¿Doce palabras o veinticuatro? Doce está bien, y veinticuatro no es paranoia. Doce llevan 128 bits y veinticuatro llevan 256, y la guía de campo muestra por qué 128 ya está más allá de la fuerza bruta. Veinticuatro cubre el criptoanálisis futuro y la búsqueda cuántica al estilo de Grover, a cambio de más que anotar y mantener legible. Sin una razón para preferir una, escribe doce.
• ¿Importa el orden de las palabras? Por completo. La frase es un número cortado en grupos de once bits y cada palabra es el grupo de una posición fija, así que mover dos cambia el número igual que cambiar una. Un intercambio suele fallar la suma de verificación, que es una suerte y no una salvaguarda. Numera tu copia mientras la escribes, y no la ordenes nunca.
• ¿Puedo elegir yo las palabras? No, y es el error más caro de esta página. La entropía se mide contra lo que un atacante sabe de cómo elegiste, no contra lo arbitrario que parece el resultado desde dentro. Doce palabras entre las treinta y dos que te resulten más memorables son sesenta bits, que un presupuesto de hardware serio atraviesa, y el resultado se parece exactamente a una frase buena.
• ¿Qué es una passphrase, la “palabra 25”? Un secreto extra mezclado en la misma derivación, así que las mismas doce palabras con otra passphrase producen un monedero completamente distinto. Lo que compra es que el papel por sí solo ya no basta para gastar. Lo que cuesta es que nadie puede recuperarla: olvídala y las monedas se han ido. Protección trabaja las dos mitades.
• He perdido una palabra. ¿Estoy acabado? Probablemente no, si sabes qué posición falta y las otras once están bien. Solo hay 2048 candidatas, y la suma de verificación deja unas 128 en una frase de doce, así que deriva cada una y mira cuál devuelve direcciones que reconozcas. Funciona solo porque tú ya aportas casi todo el secreto, y quien empiece de cero sigue teniendo delante las 2^128.
• ¿Es seguro imprimir o colgar la lista entera? Sí. El póster es la lista pública de BIP-39, descargable por cualquiera, así que colgarla revela lo mismo que colgar un diccionario. Imprímela en una copistería por la red que quieras, y la hoja de trabajo en blanco es igual de segura. Lo peligroso es una lista marcada, porque doce marcas en una cuadrícula de 2048 son tu frase en texto plano.
• ¿Puedo guardar la frase en un gestor de contraseñas, una foto o una nota en la nube? No, y las tres son el mismo error con otra ropa. Cada una convierte un secreto que vivía en un sitio físico en un archivo en un servidor hecho para ser accesible desde cualquier parte. Escríbela a mano y mantenla sin conexión.
• ¿Funcionarán las mismas palabras en otro monedero? Sí, y esa portabilidad es la razón de que el estándar exista. Lo que se encuentra la gente es una restauración vacía, y la causa habitual es la ruta de derivación. Una frase válida que no es tuya también restaura un monedero real y vacío, así que un monedero vacío es una pregunta, no una respuesta.
• ¿Debería partir la frase en mitades? No con un esquema que te hayas inventado. Seis palabras conocidas de una frase de doce dejan unos sesenta y dos bits, que un presupuesto de hardware grande alcanza. Los esquemas caseros además pierden monedas mucho más a menudo de lo que evitan robos. Las respuestas establecidas son la multifirma y los esquemas de reparto estandarizados, los dos en Protección.
• ¿Cómo sé que esta página es lo que dice? Dos comprobaciones. El hash es la débil: cada despliegue publica el SHA-256 del archivo como index.html.sha256, que no dice nada sobre la honestidad del servidor. La fuerte es clonar el repositorio y pasar scripts/verify.sh, que reconstruye la página y la compara. Un hash publicado es una afirmación. Un build reproducible es una comprobación.
• ¿La computación cuántica cambia algo de esto? Hoy no. Para la frase, el resultado relevante es la búsqueda al estilo de Grover, el único argumento real para veinticuatro palabras. La pregunta grande no va de tu frase: las firmas de clave pública son la parte que amenazaría un ordenador cuántico grande, y eso lo afrontaría la red entera junta.

Una pregunta no está en esta lista, y se hace demasiado poco: ¿quién más ha visto esta frase? Trata cualquier frase que no hayas visto crearse como ya comprometida, y eso incluye a un amigo, un servicio de setup, un tutorial y una tarjeta en la caja. Genera la tuya existe para que puedas ver llegar cada bit de una.

Palabras que te encontrarás

Casi toda la confusión alrededor de las frases semilla es vocabulario y no matemáticas. La entropía, los bits y la suma de verificación se trabajan bien en la guía de campo, y los air gaps en empieza aquí.

What a seed phrase is

A BIP-39 phrase is a number written in words. Each word is an index into a fixed, public list of 2048 entries, so abandon is 0 and zoo is 2047, and nothing else about a word matters.

Your wallet doesn't store the words: it joins them, runs PBKDF2-HMAC-SHA-512 over the string for 2048 iterations, and derives every key from the 512-bit seed that comes out. That is why the same words rebuild the same wallet anywhere, forever.

So a phrase is worth exactly as much as its number is unpredictable. The word list, the derivation, the arithmetic and this poster are all public. Only the number was ever secret.

Entropy, defined properly

Entropy is not a measure of how random something looks. It counts how many equally likely possibilities a secret was drawn from, in bits, so n bits means 2^n candidates and each extra bit doubles an attacker's work. A 12-word phrase carries 128 bits, which is about 3.4 × 10^38 candidates.

One handle on a number that size. Bitcoin's mining network is the largest purpose-built computing effort that has ever existed, running on the order of 10^21 hashes per second. At that rate, merely counting to 2^128 takes about 11 billion years, roughly the present age of the universe. A bare hash is far cheaper than one full trial of a phrase, so that underestimates the real cost.

Randomness is a property of the process, not of the output. From a fair source, 0000…0000 is exactly as likely as any other string, so a phrase that “looks random” tells you nothing. Entropy is measured against what an attacker knows about your process, and that is why the next section is about people rather than mathematics.

Why 2048 words

2048 is 2^11, and that is the whole reason for the number. Eleven bits address exactly 2048 entries with nothing left over, so converting bits to words is a straight slice of the bit string. A list of 2000 words wouldn't divide the space evenly, and selecting from it without bias would need rejection sampling.

It is also why the poster can be a grid whose coordinates are the index. hamster is 837, which is 01101000101 in eleven bits.

Twelve words therefore carry 12 × 11 = 132 bits. BIP-39 does not spend all 132 on entropy. It generates ENT bits of randomness, appends ENT ÷ 32 checksum bits, and splits the result into eleven-bit groups. For twelve words that is 128 bits of entropy plus a 4-bit checksum; for twenty-four, 256 plus 8.

The last column is a consequence worth knowing: the final word is never free. With the first eleven fixed, only 128 of the 2048 words complete a valid 12-word phrase, so a sequence written down at random is valid about one time in sixteen.

The roller shows the same fact from your side of the table. Once your entropy is thrown, the last word has sixteen consecutive candidates on the list, and the checksum picks one. It draws the sixteen and marks yours.

Whether 12 or 24 words is better is not settled by entropy alone, because 128 bits is already beyond brute force by the margins above. 24 words is chiefly a hedge against future cryptanalysis and against Grover-style quantum search, which in theory halves the effective strength of a symmetric secret. Whether that speedup is ever practical is disputed, and longer phrases cost you more to record and to check.

The checksum

The checksum bits are the first ENT ÷ 32 bits of SHA-256 of the raw entropy, appended before the phrase is cut into words. That is why the last word mixes entropy and checksum rather than sitting apart.

What it catches: a word mistyped into another real word, two words in the wrong order, a word read off the wrong row. Any single such mistake survives only if it happens to produce the right four bits, about one time in sixteen, so roughly fifteen errors in sixteen are caught.

What it does not catch matters more. A phrase you assembled from twelve chosen words passes exactly as readily as one from dice. An attacker enumerates entropy values and computes the checksum as the standard prescribes, so those four bits cost them nothing. “My wallet accepted it” says nothing about how guessable it is.

You can watch these bits get made. Throw dice on the roller and it computes the checksum from your entropy, labels the four bits in amber, and shows where they land in the last word.

Where the randomness comes from

A person is not a random number generator, and this is not a matter of trying harder. Asked for a random digit, people over-choose 7 and shy away from 0 and 5.

Asked for a sequence they avoid repeats and long runs, and asked for words they reach for concrete nouns, names and dates. Every one of those tendencies is a pattern an attacker can rank candidates by, and an attacker who ranks does not have to enumerate.

The arithmetic is stark. Choose each of your twelve words uniformly from a shortlist of the 16 you find most memorable, which is unusual discipline. That is 4 bits per word and 48 bits for the phrase, against the 128 the format implies. Widen the shortlist to 32 words and you reach 60 bits, which a serious hardware budget still works through. The words look identical either way.

When entropy failed

Everything above this point is arithmetic. What follows is the record. In every case the software worked: keys were valid, transactions confirmed, and where there was a phrase the checksum passed. Nobody could have caught any of it by studying their own words. Three mechanisms are worth walking through, and the table carries the full record.

• A careful change that removed the randomness. Debian's OpenSSL, 2006 to 2008. A maintainer removed two lines that fed uninitialised memory into the random pool, which Valgrind had correctly flagged. That left the process id as the only varying input, and Linux hands out at most 32,768 of those, so every key came from fifteen bits (CVE-2008-0166). Patching fixed nothing, because the keys already existed.
• A secret a person chose. Brainwallets, from around 2011. A passphrase you invented went through a single unsalted SHA-256 and became the private key, so the whole mapping could be precomputed. The 2016 Financial Cryptography study found 884 funded brainwallets and all but 21 had been drained, half within 21 minutes of funding. A human-chosen passphrase is worth about 20 bits.
• A generator seeded with 32 bits. Milk Sad, 2023. Libbitcoin Explorer's bx seed used a Mersenne Twister seeded with 32 bits of system clock, so asking for 256 bits returned one clock reading stretched to fill the space. The output passed every test a user could apply, because the shortfall was in the input. The same mistake produced Profanity and the Trust Wallet extension.

Set the collapses side by side. The middle column is what the format implies: 256 bits for a raw private key, 128 for a 12-word phrase, at least that for an SSH or TLS key. The one beside it is what was there.

The three 32-bit cases deserve the arithmetic spelled out. 32 bits doesn't sound small until you count it. 2^32 is 4294967296, about 4.3 billion. A single machine testing a million phrases a second, PBKDF2 and all, walks that entire space in a little over an hour.

The published estimates agree, case by case.

• Trust Wallet. A couple of hours on one computer for every phrase the extension could ever have produced.
• Profanity. Under ten hours on a laptop to precompute every key the tool could generate.
• Milk Sad. At most a few days on a gaming machine for the whole of Libbitcoin's seed space.

That is not a hardware budget. It is an afternoon.

None of this was a failure of BIP-39. Wherever the standard was in the picture, it held. The word list was the same public 2048 words, correctly indexed. The derivation was correct. The checksum was correct, and it passed every time, because a well-formed phrase is the only thing it was ever asked to certify.

What failed was the number underneath, and the number is the one part of the system nobody can inspect afterwards. A phrase does not record its own origin. There is no field in it for provenance, no timestamp, no signature, nothing that distinguishes 128 bits of physics from 32 bits of clock. Twelve words drawn from four billion possibilities are twelve perfectly ordinary words.

This is why the table of sources ranks each one by whether you can check it. The problem with a hardware generator is not that it is bad. It is that you cannot audit it. Dice are not more random than a sound hardware generator. They are more accountable, and every case above is an argument about accountability rather than about randomness.

A phrase handed to you by a device you cannot see inside is a trust decision. It may be a perfectly good one, made about a reputable maker with a published design and a supply chain you have reason to believe in. It is still a decision about whom to trust, and not something you can check by looking at the words.

Two caveats, in fairness. The figures above are the disclosing researchers' estimates rather than audited totals, and the amounts stolen are lower bounds, because they count only what could be traced. More importantly, this is a list of the failures that were found.

Doing it by hand

A six-sided die doesn't produce whole bits, so use rejection sampling: read 1 2 3 4 as 00 01 10 11 and reroll 5 and 6. Each accepted roll is exactly two bits with no bias from the mapping.

Coins are simpler at one flip per bit. If you doubt the coin is fair, flip in pairs and use von Neumann's trick: HT is 1, TH is 0, and matching pairs are discarded. Recipe B walks the procedure.

Write the bits out in groups of eleven. Each group is a word index from 0 to 2047, and on this poster you read it off directly: the high bits select the column, the low bits the row. The first eleven words of a 12-word phrase come straight from your first 121 bits.

The last word is where a hand process stops. Seven of your remaining entropy bits and four checksum bits share the final word, and those four bits are SHA-256 output. You cannot compute SHA-256 by hand in any practical sense.

So the honest procedure is: generate the entropy physically, then use an offline machine or a hardware wallet that accepts raw entropy or dice input to compute the final word. Several wallets support exactly this. The machine learns your entropy either way. The point of doing it by hand is that the machine did not choose it.

The roller runs this whole procedure inside the page, and its worksheet PDF puts the same steps on paper for a table with no computer on it.

Whatever you wrote the bits on is the phrase. Treat that worksheet as the secret it is: destroy it once the phrase is recorded and verified, and never photograph it. Do not reuse a set of rolls for a second wallet.

Threat model and hygiene

What a printed word list is. The public BIP-39 English list, identical in every wallet that implements the standard. Hanging it on a wall reveals no more than hanging up a dictionary. It earns its place, because it turns bits into words, gives you the four-letter prefixes hardware wallets ask for, and lets you confirm a word exists before you trust it to metal.

What it is not. Not a backup, not a secret, and not a verification tool, because checking a phrase needs a hash. Marking it changes all of that at once. A poster with twelve pencil ticks is your recovery phrase in plaintext, legible from across a room. Trace words on a separate sheet and destroy it afterwards.

Qué es realmente una frase semilla

Una frase BIP-39 es un número escrito en palabras. Cada palabra es un índice dentro de una lista fija y pública de 2048 entradas, así que abandon es 0 y zoo es 2047, y nada más de una palabra importa.

Tu monedero no guarda las palabras: las une, ejecuta PBKDF2-HMAC-SHA-512 sobre la cadena durante 2048 iteraciones y deriva cada clave de la semilla de 512 bits que sale. Por eso las mismas palabras reconstruyen el mismo monedero en cualquier parte, para siempre.

Así que una frase vale exactamente lo que de impredecible tenga su número. La lista de palabras, la derivación, la aritmética y este póster son todos públicos. Solo el número fue alguna vez secreto.

La entropía, bien definida

La entropía no mide lo aleatorio que parece algo. Cuenta de cuántas posibilidades igual de probables se extrajo un secreto, en bits, así que n bits significan 2^n candidatos y cada bit adicional duplica el trabajo del atacante. Una frase de 12 palabras lleva 128 bits, unos 3.4 × 10^38 candidatos.

Un asidero para un número así. La red de minería de Bitcoin es el mayor esfuerzo de computación construido para un solo fin que ha existido, al orden de 10^21 hashes por segundo.

A ese ritmo, solo contar hasta 2^128 lleva unos 11 mil millones de años, aproximadamente la edad actual del universo. Un hash pelado es mucho más barato que una prueba completa, así que eso subestima el coste real.

La aleatoriedad es una propiedad del proceso, no de la salida. De una fuente justa, 0000…0000 es exactamente igual de probable que cualquier otra cadena, así que una frase que “parece aleatoria” no te dice nada. La entropía se mide contra lo que un atacante sabe de tu proceso, y por eso la siguiente sección va de personas y no de matemáticas.

Por qué 2048 palabras

2048 es 2^11, y esa es toda la razón del número. Once bits direccionan exactamente 2048 entradas sin que sobre nada, así que convertir bits en palabras es cortar la cadena de bits: coge once bits, lee una palabra, repite. Una lista de 2000 palabras no dividiría el espacio de forma uniforme, y elegir de ella sin sesgo necesitaría muestreo por rechazo.

También es la razón de que el póster pueda ser una cuadrícula cuyas coordenadas son el índice. hamster es el 837, que en once bits es 01101000101.

La última columna es una consecuencia que conviene conocer: la palabra final de una frase nunca es libre. Con las once primeras palabras fijadas, solo 2048 ÷ 16 = 128 de las 2048 palabras completan una frase válida de 12 palabras.

Con veintitrés fijadas, solo 2048 ÷ 256 = 8 completan una de 24. Dicho de otro modo, una secuencia de 12 palabras escrita al azar es una frase válida una vez de cada dieciséis.

El tirador enseña el mismo hecho desde tu lado de la mesa. Con tu entropía ya tirada, la última palabra tiene dieciséis candidatas seguidas en la lista, y la suma de verificación elige una. Dibuja las dieciséis y marca la tuya.

Si 12 o 24 palabras es la mejor elección no lo decide la entropía sola, porque 128 bits ya quedan fuera del alcance de la fuerza bruta. 24 palabras cubren el criptoanálisis futuro y la búsqueda cuántica al estilo de Grover, que en teoría reduce un secreto simétrico a la mitad. Si eso llega a ser práctico está en disputa.

La suma de verificación

Los bits de la suma de verificación son los primeros ENT ÷ 32 bits del SHA-256 de la entropía cruda, añadidos antes de cortar la frase en palabras. Por eso la última palabra mezcla entropía y suma en lugar de ir aparte.

Qué detecta: una palabra teclada como otra palabra real, dos palabras en el orden equivocado, una palabra leída de la fila equivocada. Cualquier error de esos sobrevive solo si da los cuatro bits correctos, una vez de cada dieciséis, así que se detectan unos quince de cada dieciséis.

Lo que no detecta importa más. Una frase que montaste con doce palabras elegidas pasa igual de bien que una salida de dados. Un atacante enumera valores de entropía y calcula la suma tal como manda el estándar, así que esos cuatro bits no le cuestan nada. “Mi monedero la aceptó” no dice nada sobre lo adivinable que es.

Puedes ver cómo se hacen estos bits. Tira dados en el tirador: calcula la suma de verificación a partir de tu entropía, marca los cuatro bits en ámbar y enseña dónde caen en la última palabra.

De dónde viene la aleatoriedad

Una persona no es un generador de números aleatorios, y esto no va de esforzarse más. Si les pides un dígito al azar, la gente elige el 7 de más y esquiva el 0 y el 5.

Si les pides una secuencia evitan repeticiones y series largas, y si les pides palabras tiran de nombres concretos, nombres propios y fechas. Cada una de esas tendencias es un patrón por el que un atacante puede ordenar candidatos, y quien ordena no tiene que enumerar.

La aritmética es cruda. Elige cada una de tus doce palabras de forma uniforme entre las 16 que te resulten más memorables, que ya es disciplina inusual.

Eso son 4 bits por palabra y 48 bits para la frase, frente a los 128 que el formato implica. Amplía la lista a 32 y llegas a 60 bits, que un presupuesto de hardware serio sigue atravesando. Las palabras se ven igual en los dos casos.

Cuando la entropía falló

Todo lo que hay por encima de este punto es aritmética. Lo que sigue es el historial. En todos los casos el software funcionaba: las claves eran válidas, las transacciones se confirmaban y, donde había una frase, la suma de verificación pasaba. Nadie podría haber detectado nada de esto estudiando sus propias palabras. Vale la pena recorrer tres mecanismos, y la tabla lleva el historial completo.

• Un cambio cuidadoso que quitó la aleatoriedad. El OpenSSL de Debian, 2006 a 2008. Un maintainer quitó dos líneas que metían memoria sin inicializar en el pool de aleatoriedad, algo que Valgrind había señalado con razón. Eso dejaba el id del proceso como única entrada variable, y Linux reparte como mucho 32.768, así que cada clave venía de quince bits (CVE-2008-0166).
• Un secreto que eligió una persona. Los brainwallets, desde alrededor de 2011. Una contraseña que te inventabas pasaba por un solo SHA-256 sin sal y se convertía en la clave privada, así que el mapa completo se podía calcular por adelantado. El estudio de Financial Cryptography de 2016 encontró 884 brainwallets con fondos, y todos menos 21 habían sido vaciados. Una contraseña elegida por una persona vale unos 20 bits.
• Un generador sembrado con 32 bits. Milk Sad, 2023. El comando bx seed de Libbitcoin Explorer usaba un Mersenne Twister sembrado con 32 bits del reloj del sistema, así que pedirle 256 bits devolvía una lectura de reloj estirada. La salida pasaba cualquier prueba que un usuario pudiera aplicar, porque la carencia estaba en la entrada. El mismo error produjo Profanity y la extensión de Trust Wallet.

Pon los derrumbes uno al lado de otro. La columna del medio es lo que el formato da a entender. 256 bits para una clave privada en bruto, 128 para una frase de 12 palabras, y al menos eso para una clave SSH o TLS. La de al lado es lo que había en realidad.

Los tres casos de 32 bits merecen que se escriba la aritmética. 32 bits no suena a poco hasta que lo cuentas. 2^32 es 4294967296, unos 4.3 mil millones. Una sola máquina probando un millón de frases por segundo, con su PBKDF2 y todo, recorre ese espacio entero en poco más de una hora.

Las estimaciones publicadas coinciden, caso por caso.

• Trust Wallet. Un par de horas en un ordenador para todas las frases que la extensión pudo producir jamás.
• Profanity. Menos de diez horas en un portátil para precalcular todas las claves que la herramienta podía generar.
• Milk Sad. Como mucho unos pocos días en un ordenador de juegos para el espacio de semillas entero de Libbitcoin.

Eso no es un presupuesto de hardware. Es una tarde.

Nada de esto fue un fallo de BIP-39. Allá donde el estándar entraba en juego, aguantó. La lista de palabras eran las mismas 2048 palabras públicas, correctamente indexadas. La derivación era correcta. La suma de verificación era correcta, y pasó todas las veces, porque una frase bien formada es lo único que se le pidió certificar jamás.

Lo que falló fue el número de debajo, y el número es la única parte del sistema que nadie puede inspeccionar después. Una frase no registra su propio origen. No hay en ella ningún campo para la procedencia, ni marca de tiempo, ni firma, nada que distinga 128 bits de física de 32 bits de reloj. Doce palabras extraídas de cuatro mil millones de posibilidades son doce palabras perfectamente corrientes.

Por eso la tabla de fuentes ordena cada una según si puedes comprobarla. El problema de un generador por hardware no es que sea malo. Es que no puedes auditarlo. Los dados no son más aleatorios que un generador de hardware sólido. Son más verificables, y todos los casos de arriba son un argumento sobre la verificabilidad y no sobre la aleatoriedad.

Una frase que te entrega un dispositivo en cuyo interior no puedes mirar es una decisión de confianza. Puede ser perfectamente buena, tomada sobre un fabricante de prestigio con un diseño publicado y una cadena de suministro en la que tienes motivos para creer. Sigue siendo una decisión sobre en quién confiar, y no algo que puedas comprobar mirando las palabras.

Dos salvedades, en justicia. Las cifras de arriba son estimaciones de quienes encontraron el fallo y no totales auditados, y las cantidades robadas son cotas inferiores, porque solo cuentan lo que se pudo rastrear. Más importante todavía: esta es una lista de los fallos que se encontraron.

Hacerlo a mano

Un dado de seis caras no produce bits enteros, así que usa muestreo por rechazo: lee 1 2 3 4 como 00 01 10 11 y vuelve a tirar con 5 y 6. Cada tirada aceptada son exactamente dos bits, sin sesgo del mapeo.

Las monedas son más simples, a un lanzamiento por bit. Si dudas de que la moneda sea justa, lanza por parejas con el truco de von Neumann. Cara y cruz es 1, cruz y cara es 0, y las parejas iguales se descartan. La Receta B recorre el procedimiento.

Escribe los bits en grupos de once. Cada grupo es un índice de palabra de 0 a 2047, y en este póster lo lees directamente: los bits altos seleccionan la columna y los bajos, la fila. Las once primeras palabras de una frase de 12 salen directamente de tus primeros 121 bits.

La última palabra es donde se detiene un proceso a mano. Siete de los bits de entropía que te quedan y cuatro bits de verificación comparten la palabra final, y esos cuatro bits son salida de SHA-256. No puedes calcular SHA-256 a mano en ningún sentido práctico. Así que el procedimiento honesto es este.

Genera la entropía físicamente. Después usa una máquina sin conexión o un monedero hardware que acepte entropía en bruto o entrada de dados para calcular la palabra final. Varios monederos admiten justo esto. La máquina se entera de tu entropía en cualquier caso. La gracia de hacerlo a mano es que la máquina no la eligió.

El tirador ejecuta este procedimiento entero dentro de la página, y su hoja de trabajo en PDF pone los mismos pasos sobre papel, para una mesa sin ordenador encima.

Aquello en lo que escribiste los bits es la frase. Trata esa hoja de trabajo como el secreto que es: destrúyela una vez que la frase esté anotada y verificada, y nunca la fotografíes. No reutilices un conjunto de tiradas para un segundo monedero.

Modelo de amenazas e higiene

Qué es una lista de palabras impresa. La lista pública de BIP-39 en inglés, idéntica en todos los monederos que implementan el estándar. Colgarla en una pared revela lo mismo que colgar un diccionario. Se gana su sitio, porque convierte bits en palabras, te da los prefijos de cuatro letras que piden los monederos hardware y te deja confirmar que una palabra existe antes de confiarla al metal.

Qué no es. No es una copia de seguridad, no es un secreto y no es una herramienta de verificación, porque comprobar una frase necesita un hash. Marcarla cambia todo eso de golpe. Un póster con doce marcas de lápiz es tu frase de recuperación en texto plano, legible desde el otro lado de la habitación. Sigue las palabras en una hoja aparte y destrúyela después.

What you are defending against

“Keeping it safe” isn't one problem. Five different things can separate you from your coins, they barely overlap, and a measure that answers one often does nothing for the rest. Naming which one you mean is most of the work.

• Theft by someone who finds the backup. Not a cryptographer: a burglar in the obvious drawers, a builder, a lodger, a relative. Your paper is the whole secret in plain language, and anyone who reads it can spend from anywhere. This is the threat a passphrase and multisig are built for, and the only one they are both good at.
• Loss, with no attacker. Fire, flood, a clear-out, a word written so badly you can't tell an l from a 1. Every layer you add makes this one worse.
• Coercion. No arrangement of keys makes you unable to comply. The honest goal is to be unable to comply quickly, which is what a time delay or a distant key buys you.
• A compromised device at signing time. The machine shows one address and signs for another, and no backup scheme touches that, because the secret was never the weak point.
• Your own death or incapacity. The coins are gone the same way, and nobody left behind knows what they are looking for.

The passphrase

Wallets call it the “25th word”, a friendly name for something that is neither a word nor part of the phrase. It is an extra secret mixed into the same derivation, in the salt, so the same twelve words with a different passphrase produce a completely different wallet.

It is taken literally, so case, spacing and accents count, and there is no list of valid passphrases because every possible string is one.

What it buys. One real thing: your paper backup alone is no longer enough to spend, so somebody who finds it and tries it gets a valid, empty wallet. That answers the first threat well, and no other.

What it costs. The absence of any recovery path. No wallet, device or service records what you chose, because nothing ever sees it in a form it could store, so there is no reset, no support desk and no clever forensic path.

Forget it and the coins are gone, as completely as if you had burnt the phrase, not partially and not with the right expert. You can be holding a perfect, legible, fireproof backup of your seed, reading it, and be locked out forever.

It also doubles the backup problem, since two secrets must both survive and storing them together undoes the point, and a typo is silent because every string opens some empty wallet. If you use one, write it down, keep it away from the words, and restore from both before you fund anything. A passphrase you have not rehearsed is a second way to lose everything.

Multisig, 2 of 3

A multisignature wallet needs more than one key to spend. In 2 of 3, three keys exist with their own seed phrases, any two together can sign, and one alone can do nothing. They live on three devices, ideally not all the same make, in three places.

What it buys. No single object decides everything any more. A backup found in a drawer isn't enough to spend. A device stolen, seized, bricked or quietly compromised isn't enough to spend or to lose either, because you sign with the other two and move everything to fresh keys. A passphrase adds a second thing you must not lose. Multisig adds a spare.

What it costs. Setup and records. The descriptor is part of the backup, because three seed phrases alone won't rebuild the wallet. You also need which keys, which script type and which derivation paths, so store a copy with every seed. Three backups mean three tested restores rather than a third of the work, and coordinating a signature across devices is where the fiddly failures live.

Rehearse the recovery from the descriptor and two seeds on a machine that has never seen the wallet, before it holds anything. That rehearsal is what turns three keys into a safer arrangement rather than three times the paperwork.

Choosing between them

Three options, side by side. The simplest row isn't the weakest, and the most elaborate row isn't the safest.

A seed on paper isn't the placeholder option. Generated properly it's already beyond brute force by margins the field guide works through, so the only realistic ways to lose it are physical and local.

Keep it in one dry, private place that isn't the drawer beside the computer, copy it to a second building, and it defeats almost everything on the threat list. Two exceptions: a thief who finds it, and your own mortality. For most people, most of the time, it's the correct answer, and the effort belongs in the backup rather than in a scheme.

A passphrase is the layer most often overrated. It's cheap to enable, which is exactly why it's dangerous. The cost arrives years later and all at once. A good answer to one threat. It makes the more common threat worse.

Multisig is the layer most often underrated, and most often abandoned halfway. It's the only option that removes the single point of failure instead of adding a second one. It's also the only option that can fail because of a missing file that was never secret in the first place.

The rows aren't a ladder, and using two of them isn't twice as safe. A passphrase on top of a multisig wallet multiplies the record-keeping rather than the security, and it's the combination most likely to be recoverable only by the person who set it up. Add a layer because it answers a threat you have named. Not because it's the next one along.

The backup itself

Before any layer, the object. The two failures that happen to ordinary households are heat and water, which is the reason metal exists as an option. Handwritten paper is a perfectly good backup and costs nothing, and stamped metal survives both for an hour of work.

The rule is proportion: paper while you're learning, metal once losing it would hurt. Use ordinary pen and paper, never a receipt printer's thermal paper, which fades to blank on its own.

Write it for a stranger. Number the words 1 to 12 in order, spelled exactly as the wallet showed them, legible to someone who has never seen them, because in the worst case that is who will read it. Check each word against the poster before you trust it to metal, since only 2048 spellings exist.

Where it lives. Somewhere dry and private that isn't the drawer beside the computer, with a second copy in a second building if the amount justifies it, because two copies in one house is one fire.

Test the recovery

This is the step almost everybody skips, and it decides whether any of the rest was real. Everything above is a claim about the future, and a restore is the only evidence you will ever have.

Restore before you fund it. While the wallet is empty the test costs nothing and a failure is a lucky discovery. After it's funded the test has stakes, so it quietly never happens, and the first real attempt takes place on the day something has already gone wrong.

Restore from the backup you wrote, not from the screen, not from memory, and not from the copy on the device that's still working. What is being tested is the object you will one day be holding: your handwriting, your abbreviations, whether you noted the derivation path.

Success is the same wallet coming back, with the same addresses in the same order. A small spend afterwards proves you hold the key, where receiving only proves you copied an address correctly.

Inheritance and incapacity

A backup nobody else can find, or can find but cannot use, is a lost one. Whatever you leave has to be written for someone who doesn't know what any of this is. What the words are and what they control.

That they must never be typed into a website or sent to anyone offering help. Which software and derivation path, whether a passphrase exists and where, and for multisig where each key and the descriptor live.

Then have that person do a dry run on an empty wallet while you are still there to watch, because instructions follow the same rule as everything else here: untested means unknown.

The tension is worth stating plainly. Every instruction that makes recovery possible for your family makes theft possible for whoever else reads it, so the instructions and the secret belong in different places. The layer you cannot explain is the layer they will not recover.

De qué te estás defendiendo

“Mantenerlo a salvo” no es un solo problema. Cinco cosas distintas pueden separarte de tus monedas, apenas se solapan, y una medida que responde a una a menudo no hace nada por el resto. Nombrar a cuál te refieres es casi todo el trabajo.

• Robo por alguien que encuentra la copia. No un criptógrafo: un ladrón en los cajones obvios, un obrero, un inquilino, un familiar. Tu papel es el secreto entero en lenguaje claro, y quien lo lea puede gastar desde cualquier parte. Esta es la amenaza para la que están hechas la passphrase y la multifirma, y la única en la que las dos son buenas.
• Pérdida, sin atacante. Fuego, inundación, una limpieza, una palabra escrita tan mal que no distingues una l de un 1. Cada capa que añades empeora esta.
• Coerción. Ninguna disposición de claves te hace incapaz de obedecer. El objetivo honesto es ser incapaz de obedecer rápido, que es lo que te compra un retardo o una clave lejana.
• Un dispositivo comprometido al firmar. La máquina muestra una dirección y firma otra, y ningún esquema de copias toca eso, porque el secreto nunca fue el punto débil.
• Tu propia muerte o incapacidad. Las monedas se pierden igual, y quien queda no sabe ni qué está buscando.

La frase de contraseña

Los monederos la llaman la “palabra 25”, un nombre amable para algo que no es una palabra ni forma parte de la frase.

Es un secreto extra mezclado en la misma derivación, en la sal, así que las mismas doce palabras con otra passphrase producen un monedero completamente distinto. Se toma literalmente, así que mayúsculas, espacios y acentos cuentan, y no hay lista de passphrases válidas porque cualquier cadena posible lo es.

Qué compra. Una cosa real: tu copia en papel por sí sola ya no basta para gastar, así que quien la encuentre y la pruebe obtiene un monedero válido y vacío. Eso responde bien a la primera amenaza, y a ninguna otra.

Qué cuesta. La ausencia de cualquier vía de recuperación. Ningún monedero, dispositivo ni servicio registra lo que elegiste, porque nada llega a verla en una forma que pudiera guardar, así que no hay restablecimiento, ni soporte, ni ningún camino forense ingenioso.

Olvídala y las monedas se han ido, tan por completo como si hubieras quemado la frase, no en parte y no con el experto adecuado. Puedes tener en la mano una copia perfecta, legible e ignífuga de tu semilla, estar leyéndola, y estar fuera para siempre.

También duplica el problema de la copia, porque dos secretos deben sobrevivir los dos y guardarlos juntos deshace el sentido, y una errata es silenciosa porque cualquier cadena abre algún monedero vacío. Si usas una, anótala, déjala lejos de las palabras y restaura desde las dos antes de meter dinero. Una passphrase que no has ensayado es una segunda forma de perderlo todo.

Multifirma, 2 de 3

Un monedero multifirma necesita más de una clave para gastar. En 2 de 3 existen tres claves con sus propias frases semilla, dos cualesquiera juntas pueden firmar, y una sola no puede nada. Viven en tres dispositivos, idealmente no todos de la misma marca, en tres sitios.

Qué compra. Ya no hay un solo objeto que lo decida todo. Una copia encontrada en un cajón no basta para gastar. Un dispositivo robado, incautado, inutilizado o comprometido en silencio tampoco basta para gastar ni para perder, porque firmas con las otras dos y mueves todo a claves nuevas. Una passphrase añade una segunda cosa que no puedes perder. La multifirma añade un repuesto.

Qué cuesta. Configuración y registros. El descriptor es parte de la copia, porque tres frases semilla solas no reconstruyen el monedero. También necesitas qué claves, qué tipo de script y qué rutas de derivación, así que guarda una copia con cada semilla. Tres copias son tres restauraciones probadas en lugar de un tercio del trabajo, y coordinar una firma entre dispositivos es donde viven los fallos pejigueros.

Ensaya la recuperación desde el descriptor y dos semillas en una máquina que nunca haya visto el monedero, antes de que guarde nada. Ese ensayo es lo que convierte tres claves en algo más seguro y no en tres veces el papeleo.

Cómo elegir entre ellas

Tres opciones, una al lado de otra. La fila más simple no es la más débil, y la más elaborada no es la más segura.

Una semilla en papel no es la opción provisional. Generada correctamente ya está fuera del alcance de la fuerza bruta por márgenes que desarrolla la guía de campo, así que las únicas formas realistas de perderla son físicas y locales.

Guárdala en un sitio seco y privado que no sea el cajón de al lado del ordenador, cópiala a un segundo edificio, y derrota casi todo lo de la lista de amenazas. Quedan dos excepciones: un ladrón que la encuentre, y tu propia mortalidad.

Para la mayoría de la gente, la mayor parte del tiempo, es la respuesta correcta, y el esfuerzo va en la copia de seguridad y no en un esquema.

La frase de contraseña es la capa que más se sobrevalora. Es barata de activar, que es justo lo que la hace peligrosa, y el coste llega años después y de golpe. Es una buena respuesta a una amenaza que empeora la amenaza más común.

La multifirma es la capa que más se infravalora, y la que más a menudo se abandona a medias. Es la única opción que elimina el punto único de fallo en lugar de añadir un segundo. Es también la única opción que puede fallar por un archivo que falta y que nunca fue secreto para empezar.

Las filas no son una escalera, y usar dos no es el doble de seguro. Una frase de contraseña encima de un monedero multifirma multiplica los registros que hay que llevar, no la seguridad, y es la combinación con más probabilidades de que solo pueda recuperarla quien la montó. Añade una capa porque responde a una amenaza que hayas nombrado. No porque sea la siguiente de la fila.

La copia de seguridad en sí

Antes de cualquier capa, el objeto. Los dos fallos que le pasan a un hogar normal son el calor y el agua, y esa es la razón de que el metal exista como opción.

El papel escrito a mano es una copia perfectamente buena y no cuesta nada, y el metal grabado sobrevive a los dos por una hora de trabajo. La regla es la proporción: papel mientras aprendes, metal cuando perderlo dolería. Usa boli y papel normales, nunca el papel térmico de una impresora de recibos, que se borra solo.

Escríbela para un desconocido. Numera las palabras del 1 al 12 en orden, escritas exactamente como te las mostró el monedero. Con letra legible para quien nunca las ha visto, porque en el peor de los casos esa es quien las leerá. Comprueba cada palabra en el póster antes de confiarla al metal, porque solo existen 2048 grafías.

Dónde vive. En un sitio seco y privado que no sea el cajón de al lado del ordenador. Y una segunda copia en otro edificio si la cantidad lo justifica, porque dos copias en una casa son un solo incendio.

Prueba la recuperación

Este es el paso que casi todo el mundo se salta, y decide si algo de lo demás era real. Todo lo de arriba es una afirmación sobre el futuro, y una restauración es la única evidencia que vas a tener.

Restaura antes de meter dinero. Con el monedero vacío la prueba no cuesta nada y un fallo es un descubrimiento afortunado. Cuando ya tiene fondos la prueba tiene consecuencias, así que en silencio no se hace nunca, y el primer intento real ocurre el día en que algo ya ha salido mal.

Restaura desde la copia que escribiste, no desde la pantalla, no de memoria y no desde la copia del dispositivo que todavía funciona. Lo que se prueba es el objeto que algún día tendrás en la mano: tu letra, tus abreviaturas y si anotaste la ruta de derivación.

El éxito es que vuelva el mismo monedero, con las mismas direcciones en el mismo orden. Un gasto pequeño después demuestra que tienes la clave, donde recibir solo demuestra que copiaste bien una dirección.

Herencia e incapacidad

Una copia que nadie más puede encontrar, o que puede encontrar pero no usar, es una copia perdida. Lo que dejes tiene que estar escrito para alguien que no sabe qué es nada de esto. Qué son las palabras y qué controlan.

Que no deben teclearse nunca en una web ni enviarse a nadie que ofrezca ayuda. Qué software y qué ruta de derivación, si existe una passphrase y dónde, y en multifirma dónde vive cada clave y el descriptor.

Luego haz que esa persona ensaye con un monedero vacío mientras tú estás delante, porque las instrucciones siguen la misma regla que todo lo demás aquí: sin probar significa desconocido.

La tensión vale la pena decirla claramente. Cada instrucción que hace posible la recuperación para tu familia hace posible el robo para quien más la lea, así que las instrucciones y el secreto van en sitios distintos. La capa que no puedes explicar es la capa que no van a recuperar.

In one minute

A seed phrase is a number written as words. Twelve words are a 128-bit number plus four bits of checksum that catch typing mistakes. Each word is an entry in a public list of 2048, the same list in every wallet and the same list printed on the poster.

Whoever knows that number owns the coins, and nothing else counts. Not the person holding the device, not the person whose name is on anything. There is no account to recover and no support desk that can step in.

So one thing stands between your coins and everyone else, which is that nobody can guess the number. Whether that holds was decided the instant the phrase was created, before you wrote anything down.

Where the number comes from

A phrase generated properly is one of 2^128 possibilities, and nothing reaches that. An attacker doesn't need to break any mathematics, only to search a set smaller than you thought you were using. That has already emptied wallets, through generators seeded from the clock and through passphrases people invented, and in every case the phrase looked ordinary. You can't look at twelve words and tell.

A hardware wallet is the right answer for almost everyone, trading an unauditable chip for a phrase that never crosses a screen. Choosing words yourself has no defence at all, because twelve words picked from thirty-two you find memorable is sixty bits, and a serious hardware budget works through sixty bits.

A recipe you can follow

The first is what most people should do, the second is for anyone who wants to watch every bit of their own entropy arrive, and in both the restore test comes before the money.

Recipe A · A hardware wallet. The default.

1. 1 · Buy it from the maker, or a reseller they list. A box that arrives with a phrase already inside is a trap, and so is a phrase handed to you by anyone at all.
2. 2 · Check it before it holds anything, running the maker's authenticity check and reading the firmware version off the device's screen rather than the computer's.
3. 3 · Let the device generate the phrase. The words appear on its screen, and should never appear on your computer at any point.
4. 4 · Write them down by hand, numbered one to twelve, spelled exactly as shown, clear enough for a stranger to read. When the device asks you to confirm, read them back off the paper rather than from memory.
5. 5 · Restore before you fund it. Wipe the device and restore from your written copy alone. This is the step people skip, and it's the one that matters.
6. 6 · Send a small amount first. Receive a little, then spend some, so you know both directions work before you move the rest.

Recipe B · Dice and this poster. Slower, auditable end to end. The roller takes the throws and prints a worksheet for a table with no computer on it.

1. 1 · Count the throws. Twelve words is 128 bits, or 64 accepted throws of one die, which discards bring to about 96.
2. 2 · Throw and record, in order, on fresh paper with no phone on the table. Read 1 2 3 4 as 00 01 10 11 and throw a 5 or 6 again, which is what keeps the four outcomes equally likely. Never “fix” a throw you don't like.
3. 3 · Cut the bits into words. Each group of eleven bits is an index from 0 to 2047, and on the poster the high bits pick the column while the low bits pick the row. The field guide draws it.
4. 4 · Let a machine finish the last word, because the twelfth mixes your bits with four checksum bits you can't compute by hand. It learns your entropy either way, and the point is that it did not choose it.
5. 5 · Restore, then burn the worksheet, which until then is a second copy of your seed in longhand. Then the small amount first, as in Recipe A.

Offline, and staying that way

Most people should stop at Recipe A and let a hardware wallet do the work, and that is the recommendation rather than a hedge. The rest of this is for anyone generating entropy by hand or about to print.

An air gap is a fact about hardware, not a setting, because settings get changed by software, updates and sleep cycles. Unplug the cable, then disable wifi and bluetooth separately, since a paired phone is a route to the internet.

Your phone is never offline in the sense that matters, because it synchronises and indexes its own contents, so a photograph taken in airplane mode uploads itself the moment the connection returns. A live session booted from a USB stick is the honest way to get a clean machine.

Printing is the point of this project, and a printer is a computer you have never thought of as one. That costs you nothing here, because the poster is the public BIP-39 word list and the blank worksheet holds no results. The dangerous sheet is the one you filled in, so write that by hand and never print it.

After you have the words

Restore before you fund. Both recipes said it, and here it is a third time, because a backup you have never restored is a guess about the future. The moment to find out that a word is unreadable is while the wallet is empty.

Paper or steel. Handwritten paper costs nothing, though fire and water are the two things most likely to happen to a house, and stamped metal survives both for an hour of work. Store it somewhere dry and private, and not beside the device.

Four things never to do, all the same mistake in different clothes: each one turns a local secret into a remote one, or into a puzzle for your future self.

1. 1 · Never photograph it. A photo synchronises itself the moment a connection returns, and from then on the phrase lives wherever that account does.
2. 2 · Never type it anywhere except the wallet you are restoring on purpose. A keyboard is the interface every piece of malware already watches.
3. 3 · Never store it in a password manager or a cloud note, because that trades your paper for somebody else's server and its login page.
4. 4 · Never split it in a scheme you invented. A found half leaves the finder only sixty-two bits to search, and home-made splits lose coins far more often than they prevent theft.

The passphrase and multisignature are worked through on Protect: what each buys, what it costs, how each fails. Read it before you add either, because a layer you have not rehearsed is a way to lose coins rather than keep them.

En un minuto

Una frase semilla es un número escrito en palabras. Doce palabras son un número de 128 bits más cuatro bits de checksum que detectan errores de copia. Cada palabra es una entrada de una lista pública de 2048, la misma lista en todos los monederos y la misma que está impresa en el póster.

Quien conoce ese número posee las monedas, y nada más cuenta. No quien sostiene el dispositivo, no quien tiene su nombre en algún sitio. No hay cuenta que recuperar ni servicio de soporte que pueda intervenir.

Así que una sola cosa se interpone entre tus monedas y todo el mundo, y es que nadie puede adivinar el número. Que eso se sostenga se decidió en el instante en que se creó la frase, antes de que anotaras nada.

De dónde sale el número

Una frase generada como toca es una de 2^128 posibilidades, y nada llega ahí. Un atacante no necesita romper ninguna matemática, solo buscar en un conjunto más pequeño del que creías estar usando. Eso ya ha vaciado monederos, con generadores sembrados con el reloj y con contraseñas que la gente se inventaba, y en todos los casos la frase parecía normal. No puedes mirar doce palabras y saberlo.

Un monedero hardware es la respuesta correcta para casi todo el mundo, y cambias un chip que no puedes auditar por una frase que nunca cruza una pantalla. Elegir las palabras tú no tiene ninguna defensa, porque doce palabras entre treinta y dos que te resulten memorables son sesenta bits, y un presupuesto de hardware serio atraviesa sesenta bits.

Una receta que puedes seguir

La primera es lo que debería hacer casi todo el mundo. La segunda es para quien quiera ver llegar cada bit de su propia entropía, y en las dos la prueba de restauración va antes del dinero.

Receta A · Un monedero hardware. La opción por defecto.

1. 1 · Cómpralo al fabricante, o a un distribuidor que él liste. Una caja que llega con una frase ya escrita dentro es una trampa, y también lo es una frase que te pase cualquiera.
2. 2 · Compruébalo antes de que guarde nada, pasando la comprobación de autenticidad del fabricante y leyendo la versión del firmware en la pantalla del dispositivo, no en la del ordenador.
3. 3 · Deja que el dispositivo genere la frase. Las palabras aparecen en su pantalla, y no deberían aparecer nunca en tu ordenador.
4. 4 · Anótalas a mano, numeradas del uno al doce, escritas exactamente como se muestran y con letra clara para un desconocido. Cuando el dispositivo te pida confirmar, léelas del papel y no de memoria.
5. 5 · Restaura antes de meter dinero. Borra el dispositivo y restáuralo solo con tu copia escrita. Este es el paso que la gente se salta, y es el que importa.
6. 6 · Envía primero una cantidad pequeña. Recibe un poco y gasta algo, para saber que las dos direcciones funcionan antes de mover el resto.

Receta B · Los dados y este póster. Más lenta, auditable de principio a fin. El tirador acepta las tiradas e imprime una hoja de trabajo para una mesa sin ningún ordenador.

1. 1 · Cuenta las tiradas. Doce palabras son 128 bits, o 64 tiradas aceptadas de un dado, que los descartes llevan a unas 96.
2. 2 · Tira y anota, en orden, en papel nuevo y sin teléfono en la mesa. Lee 1 2 3 4 como 00 01 10 11 y vuelve a tirar con 5 o 6, que es lo que mantiene los cuatro resultados igual de probables. Nunca “arregles” una tirada.
3. 3 · Corta los bits en palabras. Cada grupo de once bits es un índice de 0 a 2047, y en el póster los bits altos eligen la columna y los bajos la fila. La guía de campo lo dibuja.
4. 4 · Deja que una máquina remate la última palabra, porque la duodécima mezcla tus bits con cuatro de checksum que no puedes calcular a mano. Aprende tu entropía igual, y el punto es que no la eligió.
5. 5 · Restaura y luego quema la hoja, que hasta entonces es una segunda copia de tu semilla escrita a mano. Después, la cantidad pequeña primero, como en la Receta A.

Sin conexión, y seguir así

Casi todo el mundo debería pararse en la Receta A y dejar que un monedero hardware haga el trabajo, y esa es la recomendación, no una manera de escurrir el bulto. El resto es para quien genere entropía a mano o esté a punto de imprimir.

Un air gap es un hecho sobre el hardware, no un ajuste, porque los ajustes los cambian el software, las actualizaciones y los ciclos de suspensión. Desenchufa el cable y desactiva el wifi y el bluetooth por separado, porque un teléfono emparejado es un camino a internet.

Tu teléfono nunca está sin conexión en el sentido que importa, porque sincroniza e indexa su propio contenido, así que una foto hecha en modo avión se sube en cuanto vuelve la conexión. Una sesión en vivo arrancada desde un USB es la forma honesta de tener una máquina limpia.

Imprimir es el sentido de este proyecto, y una impresora es un ordenador en el que nunca has pensado como tal. Aquí eso no cuesta nada, porque el póster es la lista pública de palabras de BIP-39 y la hoja en blanco no contiene resultados. La hoja peligrosa es la que has rellenado, así que esa escríbela a mano y no la imprimas nunca.

Cuando ya tienes las palabras

Restaura antes de meter dinero. Lo dicen las dos recetas, y aquí va una tercera vez, porque una copia que nunca has restaurado es una apuesta sobre el futuro. El momento de descubrir que una palabra es ilegible es cuando el monedero está vacío.

Papel o acero. El papel escrito a mano no cuesta nada, aunque el fuego y el agua son las dos cosas que es más probable que le pasen a una casa. El metal grabado sobrevive a las dos por una hora de trabajo. Guárdalo en un sitio seco y privado, y no junto al dispositivo.

Cuatro cosas que no hacer nunca, todas el mismo error con otra ropa: cada una convierte un secreto local en uno remoto, o en un rompecabezas para tu yo del futuro.

1. 1 · Nunca la fotografíes. Una foto se sincroniza sola en cuanto vuelve la conexión, y desde ese momento la frase vive donde viva esa cuenta.
2. 2 · Nunca la teclees salvo en el monedero que estés restaurando a propósito. Un teclado es la interfaz que todo malware ya vigila.
3. 3 · Nunca la guardes en un gestor de contraseñas ni en una nota en la nube, porque eso cambia tu papel por el servidor de otro y su página de login.
4. 4 · Nunca la partas con un esquema propio. Una mitad encontrada le deja al que la encuentra solo sesenta y dos bits que buscar, y los esquemas caseros pierden monedas mucho más a menudo de lo que evitan robos.

La passphrase y la multifirma se trabajan en Protección: qué compra cada una, qué cuesta y cómo falla. Léelo antes de añadir cualquiera de las dos, porque una capa que no has ensayado es una forma de perder monedas y no de guardarlas.