Uma frase de 12 palavras é suficientemente segura? Porque não 24, como nas carteiras Bitcoin?

Sim, 12 palavras chegam. Uma frase BIP-39 de 12 palavras codifica 128 bits de entropia. Quebrar 128 bits por força bruta não é um problema de "precisamos de um computador maior", é um problema de "precisamos de mais energia do que a humanidade produz". Não existe ataque realista que quebre 128 bits mas falhe nos 256.

A comparação com o Bitcoin mostra justamente porque é que 24 palavras são sobretudo marketing: as chaves do Bitcoin vivem na curva secp256k1, que por si só oferece apenas cerca de 128 bits de segurança. Uma frase de 24 palavras injeta 256 bits de entropia numa fechadura que continua a abrir-se com cerca de 128 bits de trabalho. É também por isso que muitas carteiras conhecidas continuam a usar 12 palavras por predefinição.

O PrivacyNotes visa o mesmo nível de 128 bits de ponta a ponta: a tua frase passa por uma função de derivação de chave, e a encriptação que ela protege (XChaCha20-Poly1305) está calibrada na mesma medida. Passar para 24 palavras duplicaria o que anotas e escreves sem qualquer ganho prático de segurança, por isso não temos planos de o oferecer.

Os pontos fracos honestos de qualquer frase de recuperação são o phishing e o sítio onde guardas o papel, não o comprimento dela. Protege a frase em si e 12 palavras vão sobreviver a todos nós.