És prou segura una frase de recuperació de 12 paraules? Per què no 24, com als moneders de Bitcoin?

Sí, 12 paraules són suficients. Una frase BIP-39 de 12 paraules codifica 128 bits d'entropia. Trencar 128 bits per força bruta no és un problema de «cal un ordinador més gros», sinó un problema de «cal més energia de la que produeix la humanitat». No hi ha cap atac realista que trenqui 128 bits però fracassi amb 256.

De fet, la comparació amb Bitcoin mostra per què 24 paraules són sobretot màrqueting: les claus de Bitcoin viuen a la corba secp256k1, que per si mateixa només aporta uns 128 bits de seguretat. Una frase de 24 paraules aboca 256 bits d'entropia en un pany que continua costant només uns 128 bits de feina d'obrir. També és per això que molts dels moneders principals encara fan servir 12 paraules per defecte.

PrivacyNotes apunta al mateix nivell de seguretat de 128 bits a tota la cadena: la teva frase passa per una funció de derivació de claus, i el xifratge que protegeix (XChaCha20-Poly1305) té la clau ajustada al mateix nivell. Afegir 24 paraules doblaria el que has d'apuntar i teclejar sense afegir cap seguretat pràctica, així que no tenim previst oferir-ho.

Els punts febles reals de qualsevol frase de recuperació són el phishing i el lloc on guardes el paper, no pas la seva llargada. Protegeix la frase i 12 paraules ens sobreviuran a tots.