Uma frase de 12 palavras é segura o bastante? Por que não 24, como nas carteiras Bitcoin?

Sim, 12 palavras bastam. Uma frase BIP-39 de 12 palavras codifica 128 bits de entropia. Quebrar 128 bits na força bruta não é um problema de "precisamos de um computador maior", e sim de "precisamos de mais energia do que a humanidade produz". Não existe ataque realista que quebre 128 bits mas falhe em 256.

A comparação com o Bitcoin mostra justamente por que 24 palavras são mais marketing do que outra coisa: as chaves do Bitcoin vivem na curva secp256k1, que por si só oferece apenas cerca de 128 bits de segurança. Uma frase de 24 palavras injeta 256 bits de entropia numa fechadura que ainda se abre com cerca de 128 bits de trabalho. É também por isso que muitas carteiras grandes seguem com 12 palavras por padrão.

O PrivacyNotes mira o mesmo nível de 128 bits de ponta a ponta: sua frase passa por uma função de derivação de chave, e a criptografia que ela protege (XChaCha20-Poly1305) é calibrada na mesma medida. Ir para 24 palavras dobraria o que você anota e digita sem nenhum ganho prático de segurança, então não planejamos oferecer.

Os pontos fracos honestos de qualquer frase de recuperação são o phishing e o lugar onde você guarda o papel, não o comprimento dela. Proteja a frase em si e 12 palavras vão sobreviver a todos nós.