Por qué nunca debes cortar tu frase semilla en partes

El reparto que algunos prueban

En este esquema, numeras las palabras del 1 al 24 y las copias en tres tarjetas.

Parece una copia de seguridad 2 de 3 razonable. Si pierdes una tarjeta, las otras dos bastan. Pero el esquema no protege contra el robo, porque cada tarjeta revela dos tercios de tu semilla.

Lo que revela una sola tarjeta

Cada palabra de la frase semilla sale de una lista de 2048 palabras, así que representa 11 bits (2 ^{elevado a 11} = 2048). Una frase de 24 palabras suma 24 × 11 = 264 bits. Según el estándar BIP-39, son 256 bits aleatorios más una suma de comprobación de 8 bits.

Quien tenga una tarjeta conoce 16 palabras y le faltan 8. Ocho palabras son 8 × 11 = 88 bits. Pero la suma de comprobación se calcula a partir de los demás bits. La suma de comprobación no es secreta, así que ayuda a descartar combinaciones incorrectas. Si restas sus 8 bits, quedan unos 80 bits por adivinar.

80 bits parecen muchos. Compáralos con estas referencias.

• Tu frase semilla completa de 24 palabras tiene 256 bits. Una tarjeta reduce la búsqueda por un factor de 2 ^{elevado a 176}.
• La frase más corta que permite BIP-39 tiene 12 palabras y 128 bits. Con una sola tarjeta, la búsqueda se reduce unas 281 billones de veces (2 ^{elevado a 48}) frente a ese nivel.
• El NIST, organismo estadounidense de normalización, clasifica la protección criptográfica por debajo de 112 bits como Disallowed (no permitida) para usos nuevos y exige al menos 128 bits a partir de 2031 (SP 800-57 Part 1, tabla 4).

Una tarjeta perdida no implica que alguien vaya a descifrar tu semilla mañana. Pero una sola tarjeta elimina el margen de seguridad para el que se diseñó la semilla y no tienes forma de saber quién la encontró.

Cómo se calculan las cifras

Bits por adivinar = 11 × palabras que faltan − bits de la suma de comprobación. El resultado mínimo es cero.

La suma de comprobación ocupa 8 bits en una frase de 24 palabras y 4 bits en una de 12 palabras (BIP-39 fija un bit por cada 32 bits aleatorios).

¿Por qué se resta la suma de comprobación?

Quien encuentre una tarjeta prueba combinaciones para las palabras que faltan. Con un cálculo rápido de hash puede comprobar si la suma de comprobación es válida. Con 24 palabras, 255 de cada 256 combinaciones fallan esa prueba y se descartan de inmediato. Solo con las demás hay que hacer la prueba lenta, que consiste en reconstruir la billetera y buscar fondos. Quedan 2 ^{elevado a bits restantes} combinaciones.

Qué supone la fórmula

• Quien encuentra la tarjeta sabe qué posiciones faltan. La mayoría de las copias de seguridad numeran las palabras, así que es prudente partir de ese supuesto.
• Tu semilla partía de un valor totalmente aleatorio. Si el generador era débil, como en el fallo de Coldcard de 2026 (en inglés), queda aún menos por adivinar.
• Sin passphrase BIP-39. Una passphrase robusta que guardas por separado añade una protección. Eso no justifica cortar tu frase semilla. Si olvidas la passphrase, pierdes los fondos para siempre.
• Las cifras son promedios. Si falta una sola palabra, por ejemplo, en promedio unas 8 de las 2048 palabras encajan en esa posición. Son exactamente 8 cuando falta la última.

Un ejemplo que puedes comprobar. Si se conocen 23 de las 24 palabras, la fórmula da 3 bits, equivalentes a 8 palabras posibles. La guía de BitBox sobre dados describe el mismo caso. Una vez que introduces 23 palabras, el dispositivo ofrece ocho opciones válidas para la última.

Todas las cifras

Cortar la frase también facilita perder tus bitcoins

Separar la frase en partes añade formas de perder el acceso, además del riesgo de robo. Si cortas una frase de 24 palabras en dos mitades, necesitas ambas. Si pierdes cualquiera de ellas, pierdes la billetera. A quien encuentre una mitad solo le quedan 124 bits por adivinar, menos que con una frase de 12 palabras. El esquema de tres tarjetas resiste la pérdida de una, pero ahora tienes que proteger tres escondites en lugar de uno.

Si ya cortaste tu frase semilla

Una copia cortada no significa que alguien haya robado tus bitcoins. Sigue estos pasos con calma.

1. Comprueba que todavía tienes acceso a todas las partes. No escribas ninguna en una computadora, un teléfono ni un sitio web para «probarla».
2. Si todas las partes están a salvo y nadie más ha visto ninguna, tienes tiempo. Planifica el cambio a una de las opciones de abajo.
3. Si falta una parte o alguien más puede haberla visto, transfiere tus fondos a una billetera con una semilla nueva. No restablezcas tu billetera de hardware para crearla. Si te falta una parte, el dispositivo puede ser la única copia que todavía funciona. Crea la semilla nueva en una segunda billetera de hardware, haz una copia de seguridad completa y pruébala. Envía primero un importe pequeño y luego el resto. Destruye las partes antiguas solo cuando hayan llegado todos los fondos.

Alternativas a cortar la frase semilla