¿Es suficientemente segura una frase de 12 palabras? ¿Por qué no 24 como las carteras Bitcoin?

Sí, con 12 palabras basta. Una frase BIP-39 de 12 palabras codifica 128 bits de entropía. Forzar 128 bits no es un problema de "hace falta un ordenador más grande", sino de "hace falta más energía de la que produce la humanidad". No existe un ataque realista que rompa 128 bits pero fracase con 256.

La comparación con Bitcoin muestra justo por qué 24 palabras son sobre todo marketing: las claves de Bitcoin viven en la curva secp256k1, que por sí misma solo ofrece unos 128 bits de seguridad. Una frase de 24 palabras mete 256 bits de entropía en una cerradura que aun así se abre con unos 128 bits de trabajo. Por eso muchas carteras grandes siguen usando 12 palabras por defecto.

PrivacyNotes apunta al mismo nivel de seguridad de 128 bits de extremo a extremo: tu frase pasa por una función de derivación de claves, y el cifrado que protege (XChaCha20-Poly1305) está calibrado a juego. Pasar a 24 palabras duplicaría lo que apuntas y tecleas sin ganancia práctica de seguridad, así que no planeamos ofrecerlas.

Los puntos débiles honestos de cualquier frase de recuperación son el phishing y el lugar donde guardas el papel, no su longitud. Protege la frase en sí y 12 palabras nos sobrevivirán a todos.