Uma frase-semente é uma lista de palavras, geralmente 12, 20 ou 24, que serve de backup mestre da carteira de Bitcoin inteira. Também é chamada de frase mnemônica, frase de recuperação ou frase de backup. As palavras representam um número secreto a partir do qual todas as chaves privadas e endereços da carteira são calculados. Na aula O que é uma carteira de Bitcoin? e a aula Carteiras custodiais versus não custodiais, você viu que controlar as próprias chaves é o que torna real a propriedade dos bitcoins. A frase-semente permite manter esse controle e recuperá-lo se o aparelho for perdido, roubado ou destruído.
Nesta aula, você vai conhecer o padrão por trás da maioria das frases-semente (BIP39), como as palavras viram chaves, a diferença entre 12 e 24 palavras, as frases de recuperação que não são BIP39 e as regras para proteger as palavras.
O que é uma frase-semente?
Ao configurar uma carteira nova, seja um aplicativo no celular como a BlueWallet ou um aparelho de hardware como a Coldcard, ela gera um número aleatório grande e o transforma em uma lista de palavras que você pode anotar. Essa lista é sua frase-semente.
Aqui está uma lista de 12 palavras reais da lista padrão:
abandon ability able about above absent absorb abstract absurd abuse access accident
(Nunca use um exemplo publicado para uma carteira real. Este nem é válido: a última palavra falha na soma de verificação, então uma carteira que segue o padrão o recusa. Você vai entender por quê abaixo.)
Uma frase-semente tem três características que a definem:
- Representa seu segredo mestre. Cada endereço e chave privada que a carteira vai produzir é calculado a partir dessas palavras.
- É portátil. Digite as palavras em outra carteira compatível, e ela reconstrói a mesma carteira, com os mesmos endereços e saldo.
- É o único ponto de recuperação e o único ponto de falha. Quem tem as palavras tem seus bitcoins. Se você as perder e o aparelho quebrar, os bitcoins se vão.
Frase-semente versus senha
Uma frase-semente não é uma senha. Você escolhe a senha e pode redefini-la. A frase-semente é gerada aleatoriamente pela carteira, e ninguém pode redefini-la: nem o fabricante, nem qualquer empresa, nem qualquer governo.
Como a lista de palavras BIP39 funciona
BIP39 (Bitcoin Improvement Proposal 39) é um padrão publicado em 2013 que define como a maioria das carteiras transforma um número aleatório em palavras e faz o caminho de volta. Antes, muitos backups eram sequências longas de caracteres hexadecimais, fáceis de copiar errado. É muito mais fácil escrever e ler palavras corretamente.
A lista de 2.048 palavras
A BIP39 define uma lista de exatamente 2.048 palavras em inglês, cada uma representando um número de 0 a 2.047. Elas foram escolhidas para que:
- As primeiras quatro letras de cada palavra sejam únicas. “aban” só pode ser “abandon”, e “abst”, “abstract”. Muitos backups em metal registram só quatro letras por palavra.
- Palavras parecidas sejam evitadas. A lista deixa de fora pares fáceis de confundir, como “woman” e “women”.
- As palavras sejam comuns e simples. “apple”, “bird”, “coast”, “door”: fáceis de ler e escrever com precisão.
A lista completa está na especificação oficial da BIP39 no GitHub. Também existem listas em espanhol, japonês, coreano, chinês (simplificado e tradicional), francês, italiano, tcheco e português, mas o inglês tem, de longe, o maior suporte nas carteiras, então é a escolha mais segura.
Do número aleatório às palavras
- Gerar aleatoriedade. A carteira escolhe um número aleatório: 128 bits para 12 palavras, 256 bits para 24.
- Acrescentar uma soma de verificação. Calcula o hash desse número com SHA-256 e acrescenta os primeiros bits do resultado: 4 bits para números de 128 bits (132 bits no total), 8 bits para números de 256 bits (264 no total). A soma de verificação é uma checagem embutida de erros.
- Dividir em grupos de 11 bits. Como 211 = 2.048, cada grupo de 11 bits escolhe exatamente uma palavra: 132 ÷ 11 = 12 palavras e 264 ÷ 11 = 24 palavras.
A última palavra é uma mistura. Em uma frase de 12 palavras, contém os últimos 7 bits do número aleatório mais os 4 bits de verificação. Em uma de 24 palavras, os últimos 3 bits mais 8 bits de verificação. Como essa verificação é calculada a partir do número inteiro, uma carteira que segue o padrão geralmente percebe se você muda qualquer palavra. Não é infalível: com 12 palavras, cerca de um erro aleatório de uma única palavra em 16 ainda passa.
Um exemplo concreto
Suponha que o número aleatório fosse de 128 zeros (uma escolha péssima para uma carteira real, mas fácil de acompanhar). Divididos em grupos de 11 bits, os primeiros onze grupos são todos 00000000000, o número 0, que corresponde a “abandon”, a primeira palavra da lista. O décimo segundo grupo contém os últimos 7 bits zero mais os 4 bits de verificação, que dão 0011, então é o número 3: “about”. A frase válida é:
abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon about
Agora olhe de novo a lista perto do início desta aula. A última palavra, “accident”, carrega bits de verificação que não correspondem ao número representado pelas doze palavras, então a carteira recusa a frase. É assim que a verificação detecta uma frase mal copiada ou inventada de forma errada.
A verificação não decide a última palavra por você. Para quaisquer onze palavras, 128 das 2.048 palavras da lista completariam uma frase válida (com 24 palavras, seriam 8), e só uma delas é a sua. Por isso, a última precisa ser anotada e guardada como todas as outras.
A correspondência funciona nos dois sentidos: o mesmo número sempre dá as mesmas palavras, e elas sempre devolvem o mesmo número.
12 palavras versus 24: qual usar?
| Característica | Frase de 12 palavras | Frase de 24 palavras |
|---|---|---|
| Aleatoriedade (entropia) | 128 bits | 256 bits |
| Combinações possíveis | 2128 ≈ 3,4 × 1038 | 2256 ≈ 1,16 × 1077 |
| Bits de verificação | 4 | 8 |
| Quem gera por padrão | Muitas carteiras no celular, como a Phoenix | Ledger, Coldcard e BitBox02 (os aparelhos Trezor Safe usam 20 palavras por padrão, um padrão diferente que você vai ver abaixo) |
| Segurança | Muito além da força bruta | Muito, muito além da força bruta |
Para colocar os números em perspectiva: 2128 é cerca de 340 seguido de 36 zeros. A um trilhão de tentativas por segundo, testar todas levaria cerca de 1019 anos, quase um bilhão de vezes a idade do universo. 2256 é 2128 multiplicado por si mesmo.
Recomendação prática
- As duas extensões são seguras se a aleatoriedade por trás delas for real. Use a que a carteira de hardware gerar. Para guardar bitcoins no longo prazo, 24 palavras dão uma margem extra gratuita.
- 12 palavras servem bem para carteiras no celular com dinheiro para gastos e são um pouco mais fáceis de anotar.
- Evite qualquer opção abaixo de 12 palavras (128 bits).
A quantidade de palavras define a aleatoriedade máxima, não a real. Em julho de 2026, a Coinkite revelou uma falha de firmware que tornou algumas sementes de Coldcard muito mais fracas do que o tamanho sugere: cerca de 40 bits na Mk2 e Mk3 e uns 72 bits na Mk4, Q e Mk5, pelas estimativas preliminares da própria empresa (o documento técnico da Coinkite). Uma semente deve ter pelo menos 128. Se uma Coldcard gerou sua semente, use nossa verificação de Coldcard de dois minutos. Para lançamentos de dados, leia “Posso acrescentar minha própria aleatoriedade?” nas perguntas frequentes.
Nem toda frase de recuperação é uma semente BIP39
Muitos guias, incluindo versões anteriores deste, dizem que quaisquer 12 ou 24 palavras permitem restaurar a carteira em qualquer outra. Isso só vale para frases BIP39. Saiba de que tipo é a sua, porque algumas não permitem restaurar uma carteira de Bitcoin comum:
- Trezor Safe 3, 5 e 7: o backup padrão tem 20 palavras e usa SLIP-39, um padrão diferente com uma lista própria de 1.024 palavras. (Uma Safe 3 configurada antes de junho de 2024 gerava 12 palavras BIP39, e uma Model T pode ter 12 ou 20. Conte as suas.) Um backup de 20 palavras permite restaurar a carteira em aparelhos Trezor e nas carteiras que a Trezor lista como compatíveis, como Sparrow, Electrum, BlueWallet, Wasabi e a carteira de hardware Keystone, mas não na Ledger nem na Coldcard. Se preferir um backup BIP39 de 12 ou 24 palavras, a Trezor Suite permite escolher essa opção no formato de backup ao criar a carteira (Trezor: Single-share Backup).
- Electrum: cria sementes em um formato próprio, não BIP39. Permitem restaurar a carteira no Electrum, mas não na maioria das outras carteiras. (O Electrum pode restaurar uma frase BIP39 criada em outro lugar.) Você vai entender isso na aula de Electrum.
- Modo de autocustódia da Wallet of Satoshi: as 12 palavras dele são uma frase de recuperação para a Spark, um sistema separado. A empresa diz que não vão recriar seu saldo em uma carteira de hardware nem em outra carteira BIP39.
- Carteiras Lightning em geral: mesmo quando as palavras são BIP39 (como as da Phoenix), só restauram o saldo Lightning no mesmo aplicativo. Outra carteira pode não mostrar nada, porque os fundos da Lightning ficam nos canais de pagamento que o aplicativo gerencia. Você vai conhecer o assunto na aula sobre carteiras Lightning.
Regra prática: ao lado das palavras, anote qual carteira as gerou e qual padrão usam.
Da frase-semente às chaves privadas: o processo de derivação
Em termos simples: suas palavras viram um grande número secreto, e cada chave e endereço é calculado a partir dele de forma fixa e repetível. Por isso, uma frase faz o backup de endereços sem limite. Abaixo, você vai ver os passos. Pode pular para “Por que essa arquitetura importa” se não precisar dos detalhes.
Passo 1: palavras → semente binária (BIP39)
As palavras, mais uma passphrase opcional (leia a aula Como guardar a frase-semente), passam por uma função deliberadamente lenta chamada PBKDF2, que faz 2.048 rodadas de HMAC-SHA512 e produz uma semente de 512 bits. Uma passphrase diferente, ou nenhuma, dá uma semente completamente diferente e, portanto, uma carteira totalmente distinta. Essa é a ideia da “25ª palavra”.
Passo 2: semente binária → chave mestra (BIP32)
O hash da semente de 512 bits é calculado mais uma vez para produzir uma chave privada mestra e um “código de cadeia”. Juntos, são a raiz de uma árvore de chaves determinística hierárquica (HD), definida na BIP32.
Passo 3: chave mestra → chaves filhas (caminhos de derivação)
A partir da raiz, a carteira calcula chaves filhas ao longo de um caminho, escrito assim:
m / purpose' / coin_type' / account' / change / address_index
Caminhos diferentes geram formatos de endereço diferentes:
| Padrão BIP | Caminho | Tipo de endereço | Começa com |
|---|---|---|---|
| BIP44 | m/44'/0'/0' | Legacy (P2PKH) | 1... |
| BIP49 | m/49'/0'/0' | Nested SegWit (P2SH-P2WPKH) | 3... |
| BIP84 | m/84'/0'/0' | Native SegWit (P2WPKH) | bc1q... |
| BIP86 | m/86'/0'/0' | Taproot (P2TR) | bc1p... |
Cada caminho gera um conjunto de endereços completamente separado. Muitas carteiras verificam os caminhos comuns durante a restauração. Algumas só conferem um, por isso uma restauração pode parecer vazia (veja abaixo). Você vai aprender qual tipo de endereço escolher e como diferenciá-los na aula Tipos de endereço do Bitcoin e caminhos de derivação.
Por que essa arquitetura importa
- Um backup cobre tudo que a carteira já criou ou ainda vai criar.
- Um endereço novo a cada vez, o que ajuda na privacidade, tudo a partir da mesma semente.
- Carteiras diferentes podem reconstruir os mesmos endereços desde que as duas sigam BIP39/BIP32 e usem o mesmo caminho.
Mais no guia Frase-semente versus chave privada: a diferença principal.
Como recuperar uma carteira com a frase-semente
Processo de recuperação passo a passo
- Consiga uma carteira compatível. Para uma frase BIP39, há carteiras de hardware (Coldcard, Trezor, Ledger, BitBox02), para computador (Sparrow, Electrum) e para celular (BlueWallet, Nunchuk). Você não precisa da mesma marca. Para um backup Trezor de 20 palavras, use uma Trezor ou uma carteira compatível com SLIP-39. Para poupança, restaure a carteira em uma de hardware: você digita as palavras no próprio aparelho, enquanto uma carteira no computador ou celular as coloca em uma máquina conectada à internet (regra 1 abaixo).
- Escolha “Recover”, “Restore” ou “Import”.
- Digite as palavras na ordem exata, com a grafia anotada. Muitas carteiras completam as palavras automaticamente depois de algumas letras.
- Digite sua passphrase se usou uma. Uma passphrase ausente ou errada abre uma carteira diferente e vazia, sem mensagem de erro.
- Deixe a carteira fazer a busca. Recalcula seus endereços e consulta o histórico deles. Isso leva de segundos a minutos.
- Compare o saldo e o histórico com o que você espera.
Por que a ordem das palavras importa
As palavras são uma sequência, não um conjunto. Como em um número de telefone, os mesmos dígitos em outra ordem chegam a outra pessoa: as mesmas palavras em uma ordem diferente criam outra carteira e geralmente falham na soma de verificação. Sempre numere cada palavra ao anotar: “1. abandon 2. ability 3. able…”.
E se a recuperação mostrar saldo zero?
- Ordem ou grafia. Confira cada palavra na cópia de segurança e o número correspondente.
- Passphrase. Se usou uma e não a digitou (ou a digitou errado), você está olhando outra carteira.
- Caminho de derivação ou tipo de endereço. Tente os outros tipos de script nas configurações da carteira (Legacy, Nested SegWit, Native SegWit, Taproot). Na aula sobre tipos de endereço, você vai aprender a descobrir qual a carteira antiga usava.
- Profundidade da busca. Algumas carteiras param depois de certo número de endereços não usados. Procure uma configuração “gap limit” e aumente esse limite.
- Tipo de backup. Um backup Trezor de 20 palavras, uma semente Electrum ou as palavras de uma carteira Lightning podem não permitir restaurar a carteira aqui (leia a seção acima).
Não comece a digitar as palavras em outros programas para experimentar. O Wallets Recovery lista os caminhos que cada carteira usa, e o fabricante pode ajudar pelo site oficial da empresa. Suporte de verdade nunca pede suas palavras.
Regras essenciais de segurança da frase-semente
Regra 1: digite as palavras só para restaurar a carteira, só em uma carteira de verdade
Você só digita suas palavras em um aparelho para restaurar uma carteira ou executar a verificação de backup embutida na carteira de hardware. As palavras que protegem a poupança são digitadas só na própria carteira de hardware. As de uma carteira pequena para gastos só vão para um aplicativo de carteira verdadeiro que você mesmo instalou pelo site oficial do fabricante ou pela loja de aplicativos. Para uma carteira Lightning, restaure o saldo Lightning no mesmo aplicativo que criou as palavras e use outra carteira só quando as instruções do fabricante indicarem: a Phoenix, por exemplo, manda usar o Electrum para fundos que voltam on-chain depois de um fechamento forçado (leia a aula sobre carteiras Lightning). Nunca digite as palavras em site, extensão de navegador, e-mail, mensagem, formulário online nem chat de suporte. Aplicativos de carteira falsos, “suporte” falso e sites de phishing que pedem as palavras estão entre as formas mais comuns de perder bitcoins.
Regra 2: nunca fotografe nem faça capturas de tela das palavras
As fotos são sincronizadas automaticamente com serviços na nuvem, e qualquer imagem é uma cópia digital ao alcance de malware, vazamento de dados ou de quem tiver seus dados de acesso à nuvem.
Regra 3: nunca guarde as palavras em formato digital
Nada de rascunhos de e-mail, documentos, aplicativos de notas, gerenciadores de senhas ou arquivos criptografados. Guarde as palavras só em papel ou metal.
Regra 4: nunca compartilhe as palavras
Nenhuma empresa de verdade, fabricante de carteira, agente de suporte ou desenvolvedor vai pedir suas palavras. Quem fizer isso, nas redes sociais, Discord, Reddit, Telegram ou por telefone, está tentando roubar seus bitcoins. Na aula Os golpes que esvaziam carteiras de autocustódia, você vai ver como esses truques funcionam.
Regra 5: anote as palavras imediatamente
Quando a carteira mostrar as palavras, anote-as logo em papel, numeradas. Você vai aprender onde guardá-las e quando passá-las para metal na aula Como guardar a frase-semente: backups em metal, passphrases e boas práticas.
Erros comuns com a frase-semente
- Escrever palavras fora de ordem ou sem numeração. A ordem é um dado. Use caneta esferográfica e letras de forma maiúsculas bem claras.
- Escrever palavras errado. Compare a cópia escrita com a lista certa: as 2.048 palavras da BIP39 ou a lista SLIP-39 da Trezor para um backup Trezor de 20 palavras.
- Guardar uma única cópia em um lugar. Um incêndio ou roubo pode levá-la. Na aula Como guardar a frase-semente, você vai conhecer as cópias e os lugares.
- Não testar o backup antes de colocar fundos. Para poupança, use a verificação embutida da carteira de hardware, que não apaga nada: você digita as palavras do papel no aparelho, e ele diz se correspondem. Nunca digite palavras da poupança em celular ou computador para testá-las. Uma carteira pequena no celular, sem carteira de hardware por trás, é testada naquele mesmo aplicativo verdadeiro antes de colocar dinheiro: restaure-a pelo papel (em outro celular ou no mesmo depois de apagar a carteira ainda vazia) e confira se mostra o mesmo primeiro endereço de recebimento. Leia o guia Como testar o backup da frase-semente.
- Escolher as próprias palavras. As pessoas escolhem mal ao tentar gerar aleatoriedade. Palavras que “parecem aleatórias” são muito mais fáceis de adivinhar. Deixe a carteira gerar a frase.
Perguntas frequentes
O que acontece se eu perder a frase-semente?
Se também perder ou quebrar o aparelho, os bitcoins se vão para sempre. Ninguém pode recuperá-los. Se ele ainda funciona, aja agora: mova os fundos para uma carteira nova, com uma semente nova e um backup novo e testado. A Trezor dá o mesmo conselho para um backup perdido: mova os fundos primeiro, depois apague o aparelho (Trezor: mova os fundos para uma carteira nova). Se alguém pode ter visto suas palavras, uma cópia nova das mesmas não ajuda. Só uma semente nova ajuda.
Alguém pode adivinhar minha frase-semente?
Não, se foi feita com aleatoriedade real: uma frase de 12 palavras tem 2128 possibilidades, e testar um trilhão delas por segundo levaria cerca de 1019 anos. A exceção é uma semente feita com aleatoriedade defeituosa. A falha da Coldcard revelada em julho de 2026 gerou sementes que os atacantes podiam testar, e carteiras criadas com elas foram esvaziadas (os detalhes estão no nosso aviso sobre Coldcard).
Todas as frases-semente têm 12 ou 24 palavras?
A BIP39 permite 12, 15, 18, 21 ou 24 palavras (de 128 a 256 bits). As de 12 e 24 são, de longe, as mais comuns. A Ledger sempre gera 24. A Coldcard permite escolher 12 ou 24. A BitBox02 usa 24 por padrão. Aparelhos Trezor Safe agora usam 20 palavras por padrão, que são SLIP-39, não BIP39.
Posso acrescentar minha própria aleatoriedade com dados?
Pode, mas não precisa. Para a maioria das pessoas, a configuração normal do aparelho é a escolha certa. Os dados só ajudam se cada resultado vier de um lançamento real de um dado equilibrado, for digitado como cair, nunca for gravado e ficar em sigilo. Feito sem cuidado, isso pode enfraquecer a semente. Cerca de 99 lançamentos de um dado de seis lados dão aproximadamente 256 bits. Para a falha da Coldcard de julho de 2026, a Coinkite diz que não considera uma semente em risco só por essa falha se pelo menos 50 lançamentos de dado equilibrado e feitos em sigilo foram acrescentados ao criá-la. Os aparelhos usam os lançamentos de formas diferentes: alguns os misturam com a própria aleatoriedade, enquanto o método de lançamentos de dados da BitBox02 usa seus lançamentos no lugar dela. Digite os resultados (ou as palavras que produzem) só na própria carteira de hardware, seguindo as instruções dela. Nosso guia de lançamentos de dados mostra os cálculos.
Posso criar minha própria frase-semente escolhendo palavras?
Não. Escolhas humanas são previsíveis e muito mais fáceis de adivinhar. Deixe a carteira gerar as palavras.
Qual é a diferença entre uma frase-semente e uma chave privada?
Uma chave privada controla as moedas em um endereço. Uma frase-semente é a raiz a partir da qual um número ilimitado de chaves privadas é calculado: com a raiz, você pode refazer todos os galhos. Leia o guia Frase-semente versus chave privada.
Já tem uma semente?
A maioria das sementes está bem. Cinco perguntas identificam as poucas que não estão, e você pode responder sem digitar nem mostrar as palavras em lugar nenhum: estão no fim da aula Como guardar a frase-semente, e nossa verificação do backup da semente acompanha você por elas, uma a uma.
Teste o que você aprendeu
1. Por que “abandon ability able … access accident” falha em uma carteira, enquanto “abandon … abandon about” funciona?
Resposta
A última palavra contém os últimos 7 bits do número aleatório mais uma soma de verificação de 4 bits calculada a partir de todos os 128 bits. Em “abandon … abandon about”, esses bits correspondem ao número representado pelas palavras. Em “abandon ability … access accident”, não, então a carteira sabe que a lista está errada. Mas as primeiras onze palavras não definem a última: 128 das 2.048 palavras formariam uma frase válida com elas, então não dá para deduzir uma última palavra perdida a partir das outras.
2. Sua Trezor Safe 5 mostrou 20 palavras. Você pode restaurá-las em uma Ledger?
Resposta
Não. Um backup Trezor de 20 palavras usa SLIP-39, não BIP39. Permite restaurar a carteira em aparelhos Trezor e em carteiras compatíveis com SLIP-39 (a lista da Trezor inclui Sparrow, Electrum, BlueWallet, Wasabi e a carteira de hardware Keystone), não na Ledger nem na Coldcard. Se precisar de um backup BIP39, escolha o formato de 12 ou 24 palavras ao criar a carteira.
3. Você restaurou suas palavras em uma carteira nova, e ela mostra saldo zero. O que confere, e o que não faz?
Resposta
Confira a ordem e a grafia das palavras, se usou uma passphrase, o tipo de endereço ou caminho de derivação, a profundidade da busca (gap limit) e se a carteira aceita o tipo de backup. Não digite as palavras em outros aplicativos ou sites para experimentar nem as passe para ninguém que ofereça ajuda.