Dodici o ventiquattro parole, dove la differenza smette di contare

La domanda arriva sempre nello stesso momento: il dispositivo è appena stato acceso, la schermata chiede di scegliere e sotto compare un menu con due voci, dodici parole o ventiquattro. Nei forum la risposta si esaurisce in due righe, quasi sempre ventiquattro perché «più sicuro», senza che nessuno dica di quanto.

Il numero esiste ed è calcolabile. Una frase di dodici parole trasporta centoventotto bit di entropia, una di ventiquattro ne trasporta duecentocinquantasei. Il rapporto sembra chiaro, ma non si traduce in una riduzione proporzionale del rischio: entrambi i valori stanno molto oltre la soglia in cui un attacco a forza bruta ha ancora senso, e il punto in cui la custodia di un portafoglio cede, nei casi documentati, quasi mai è quello.

Il conto per esteso vale la pena farlo lo stesso, perché è l’unico modo per separare la parte che incide davvero da quella che resta teorica. E per spostare l’attenzione dove i portafogli si svuotano sul serio: un backup che nessuno ha mai provato a ripristinare, una fotografia finita in una cartella sincronizzata, una parola trascritta male otto mesi prima e scoperta troppo tardi.

Il confronto in cinque punti

• Entropia. Dodici parole valgono 128 bit, ventiquattro ne valgono 256. Entrambe restano fuori dalla portata di una ricerca esaustiva.
• Il tetto reale. Le chiavi derivate vivono su una curva ellittica che offre circa 128 bit di sicurezza pratica: oltre quella soglia l’entropia in più non arriva agli indirizzi.
• Controllo di integrità. Il checksum passa da quattro a otto bit, e qui la differenza è misurabile: un errore di trascrizione ha molte meno probabilità di passare inosservato.
• Rischio di copia. Il doppio delle parole è anche il doppio delle occasioni di sbagliare a scrivere, incidere e rileggere.
• Da evitare. Digitare la frase su un sito che la chiede, fotografarla, tenerla in un gestore di password sincronizzato. Nessuno di questi problemi cambia con la lunghezza.

Seed phrase 12 o 24 parole: cosa cambia nei numeri

Lo standard che regola la faccenda è BIP-39, la specifica che ha introdotto la frase mnemonica come rappresentazione leggibile di un numero casuale. La lista contiene 2048 parole, e 2048 è due elevato a undici: ogni parola trasporta esattamente undici bit.

Da lì il resto è aritmetica. Dodici parole trasportano 132 bit, di cui 128 di entropia vera e 4 di checksum. Ventiquattro ne trasportano 264: 256 di entropia e 8 di checksum. Le lunghezze intermedie previste dalla specifica, quindici, diciotto e ventuno parole, sono valide allo stesso modo, anche se quasi nessun dispositivo le propone.

L’ultima colonna serve solo a dare una misura: lo spazio coperto da dodici parole si scrive con trentanove cifre decimali, quello coperto da ventiquattro con settantotto. Le parole in sé non sono il segreto, sono una codifica leggibile di quel numero, e nessuna parola della lista vale più di un’altra.

Da dove arriva l’entropia di una frase mnemonica

Il dispositivo estrae bit casuali da una sorgente hardware, li divide in blocchi da undici e usa ciascun blocco come indice nella lista. Se la sorgente è buona, ogni parola risulta imprevedibile quanto le altre. Se non lo è, la lunghezza non serve a niente.

Questo è il punto che il confronto fra dodici e ventiquattro tende a coprire. Una frase da ventiquattro parole prodotta da un generatore difettoso vale meno di una da dodici prodotta correttamente, e i casi in cui i fondi sono spariti in pochi secondi riguardano quasi sempre chiavi ricavate da una frase scelta a mente, da una data, da un verso di una canzone. Chi cerca chiavi deboli non prova combinazioni a caso: prova gli elenchi che qualcuno potrebbe aver usato come punto di partenza.

Generare la frase con i dadi è possibile e alcuni dispositivi lo prevedono, ma richiede metodo. La conversione da lanci a indici va fatta senza scorciatoie, l’ultima parola non è libera perché contiene il controllo di integrità, e ogni tentativo di correggere a mano un risultato che non piace restringe lo spazio delle possibilità. Nella pratica la sorgente hardware di un dispositivo dedicato è più affidabile di una procedura manuale eseguita una volta sola, di sera, con la fretta di finire.

Che cosa significa forzare 128 bit

Un numero di trentanove cifre non dice molto finché non lo si mette accanto a qualcosa. Il termine di paragone più onesto è questo: nessuna infrastruttura di calcolo esistente, e nessuna costruibile con le tecnologie note, si avvicina anche solo per ordine di grandezza a esaurire uno spazio di quella dimensione.

Il limite non è nemmeno soltanto computazionale. Ogni tentativo consuma energia, e il conto energetico di una ricerca esaustiva su 128 bit resta fuori scala qualunque miglioramento si ipotizzi sull’efficienza dei circuiti. Per questo un attaccante razionale non prova le combinazioni: cerca il foglio, il file, la fotografia, oppure convince la persona a scrivere la frase da qualche parte.

Ne segue una conseguenza pratica. Passare da 128 a 256 bit riduce un rischio già trascurabile e lascia intatto quello che non lo è. Somiglia alla sostituzione della serratura di una porta blindata mentre la finestra al piano terra resta socchiusa: il miglioramento sul pezzo che si tocca è reale, ma non è da lì che entrano.

Il checksum: quattro bit contro otto

Qui la differenza fra le due lunghezze diventa concreta e misurabile, ed è l’argomento tecnico più solido a favore delle ventiquattro parole. Gli ultimi bit della frase non sono entropia: sono un controllo di integrità calcolato sul resto della sequenza.

Quando si digita una frase in un portafoglio, il software ricalcola quel controllo e rifiuta la sequenza se non corrisponde. Con quattro bit di checksum, una frase in cui una parola è sbagliata ha circa una probabilità su sedici di superare comunque la verifica. Con otto bit, una su duecentocinquantasei.

Il caso in cui il controllo viene superato per caso è il peggiore possibile, perché non produce nessun errore visibile. Il portafoglio si apre, mostra un saldo pari a zero e nessun messaggio. La persona conclude di aver perso tutto, mentre in realtà ha ricostruito un portafoglio diverso e altrettanto valido, che semplicemente non è mai stato usato. Da quel momento la ricerca dell’errore parte nella direzione sbagliata e può durare settimane.

Chi ha copiato la frase a mano su più supporti, o l’ha dettata a qualcun altro, ha una probabilità di errore molto più alta di chi l’ha scritta una volta sola. In quello scenario le ventiquattro parole ripagano davvero, non perché resistano meglio a un attacco, ma perché si accorgono prima di uno sbaglio.

Dove la differenza smette di contare

La frase non è la chiave. Dalla frase si ricava un seme di 512 bit, e da quello l’albero di chiavi private che firmano le transazioni. Quelle chiavi vivono su una curva ellittica, e la sicurezza di una curva non si misura sulla lunghezza della chiave ma sul costo del miglior attacco noto al problema del logaritmo discreto.

Per la curva usata da Bitcoin e da Ethereum quel costo si aggira intorno alla radice quadrata dello spazio: circa 128 bit di sicurezza effettiva, indipendentemente dal fatto che la chiave privata ne occupi 256. L’entropia in eccesso di una frase da ventiquattro parole non arriva quindi mai agli indirizzi: si ferma prima, contro un tetto imposto dalla matematica della curva.

Lo stesso vale per l’argomento quantistico, che ritorna ogni volta che si parla di lunghezza. Un algoritmo di ricerca quantistica dimezzerebbe l’esponente di una ricerca esaustiva, ma la minaccia seria per un portafoglio non è quella: è la risoluzione del logaritmo discreto a partire da una chiave pubblica già esposta in catena, e contro quella una frase più lunga non offre nessuna protezione. Chi sceglie ventiquattro parole pensando ai computer quantistici sta rinforzando la parte sbagliata del sistema.

I tre casi in cui ventiquattro parole hanno senso

Il primo è la compatibilità. Alcuni dispositivi generano solo frasi da ventiquattro parole e non offrono la scelta; alcuni schemi a più firme, con coordinatori diversi, si aspettano la stessa lunghezza da tutti i partecipanti. Quando l’ambiente impone il formato, la discussione finisce prima di cominciare.

Il secondo è l’esposizione parziale. Se qualcuno riesce a vedere metà della frase, fotografando una piastra coperta a metà o recuperando un foglio strappato, con dodici parole restano da indovinare sei parole, cioè sessantasei bit: un margine ancora ampio, ma non fuori portata per chi ha risorse e tempo. Con ventiquattro parole ne restano dodici, e si torna a centotrentadue bit. È lo scenario in cui la lunghezza compra qualcosa di reale.

Il terzo è la copia distribuita. Frasi trascritte più volte, conservate in luoghi diversi o divise fra persone secondo uno schema concordato hanno più occasioni di errore, e il checksum lungo diventa una rete che si paga da sola. Va ricordato che gli schemi di suddivisione in quote usano una lista di parole propria e un numero di parole diverso da BIP-39: mescolare i due formati è un errore ricorrente e produce sequenze che nessun portafoglio accetta.

Il backup conta più della lunghezza

Un backup mai ripristinato non è un backup: è un’ipotesi. La prova va fatta su un dispositivo azzerato, prima che serva, e va rifatta quando cambia qualcosa nella configurazione. È una procedura da venti minuti che sposta il rischio molto più di qualsiasi scelta fra dodici e ventiquattro.

Ci sono poi cinque regole che nella pratica separano le custodie che reggono da quelle che cedono.

• Mai in digitale. Niente fotografie, niente note sul telefono, niente file cifrato in una cartella che si sincronizza da sola. La sincronizzazione automatica sposta il segreto dove non lo si controlla più.
• Supporto resistente. La carta si sbiadisce, si bagna e brucia. Le piastre metalliche con lettere incise o punzonate reggono condizioni che un foglio non regge.
• Numerare le parole. L’ordine fa parte del segreto. Una sequenza corretta in ordine sbagliato non recupera nulla.
• Separare le copie. Due copie nella stessa casa affrontano lo stesso incendio. Due copie in due luoghi diversi affrontano due rischi indipendenti.
• Annotare il contesto, non il saldo. Quale applicazione, quale standard di derivazione, quante firme servono. Mai quanto c’è dentro e mai a nome di chi.

Sulle abitudini quotidiane di protezione dei fondi vale la pena leggere anche come si mette in sicurezza un patrimonio digitale, perché la frase mnemonica è solo uno dei punti in cui una custodia può cedere.

Quello che la frase non protegge

Nessuna lunghezza difende da una firma data per errore. Un sito che imita l’interfaccia di un progetto conosciuto, una finestra che chiede un’autorizzazione senza limite di importo, un finto supporto tecnico che si offre di verificare la frase: sono questi i percorsi che portano allo svuotamento, e passano tutti attraverso un gesto volontario della persona.

Il tratto che li accomuna è l’assenza di rimedio. Chi legge la frase possiede i fondi, senza bisogno di altro: non esiste storno, non esiste blocco, non esiste un numero da chiamare. Per questo conviene conoscere gli schemi di truffa più ricorrenti prima di trovarsi davanti a una richiesta di firma che sembra legittima.

Una precisazione necessaria: qui non si discute quanto detenere né che cosa acquistare. Il testo riguarda la meccanica della custodia e il rischio tecnico, non scelte di allocazione, e non costituisce consulenza finanziaria. La sicurezza di una chiave è un problema di ingegneria e di procedura; quanto affidarle dipende da condizioni personali che nessun articolo può conoscere.

Come si sceglie, in pratica

1. Guarda che cosa offre il dispositivo. Se non c’è scelta la questione è chiusa: entrambe le lunghezze sono adeguate a una custodia personale.
2. Conta le mani che toccheranno la frase. Una sola persona, una sola copia incisa, un solo luogo: dodici parole riducono le occasioni di errore. Più copie o più persone: ventiquattro, per il checksum.
3. Valuta l’esposizione fisica. Se il supporto sta dove qualcuno potrebbe vederne una parte, la frase lunga lascia più margine.
4. Fai la prova di ripristino. Su un dispositivo azzerato, prima di trasferire qualsiasi importo che conti.
5. Scrivi la data della verifica. Accanto alla copia, non sulla stessa riga della frase. Serve a sapere quando è stata controllata l’ultima volta.

Una precisazione che evita richieste inutili: non esiste un modo per allungare una frase esistente. Dodici parole non diventano ventiquattro. Si genera un portafoglio nuovo e si trasferiscono i fondi, con le commissioni e le tracce che questo comporta, e il vecchio va considerato ancora vivo finché contiene qualcosa.

Per chi sta impostando la custodia da zero, il criterio che regge meglio nel tempo è semplice: scegliere la configurazione che si è certi di saper ripristinare fra cinque anni, in una giornata storta, senza accesso alla rete e senza il dispositivo originale. La protezione dei fondi si gioca quasi sempre su quella domanda, non sul numero di parole.

Domande frequenti

Posso convertire una frase da dodici parole in una da ventiquattro?

No. Le due frasi codificano quantità di entropia diverse e non esiste una trasformazione che aggiunga casualità a posteriori. L’unica strada è generare un portafoglio nuovo con la lunghezza desiderata e spostare i fondi, tenendo conto delle commissioni di rete e del fatto che il vecchio indirizzo resta visibile in catena.

Ventiquattro parole proteggono dai computer quantistici?

Non nel modo in cui di solito si sostiene. La minaccia riguarda il logaritmo discreto sulla curva ellittica, quindi la chiave pubblica già esposta, non la ricerca esaustiva sulla frase. Una mnemonica più lunga non cambia quel calcolo, e le difese discusse in quell’ambito riguardano schemi di firma diversi.

Se sbaglio una parola, il portafoglio me lo segnala?

Quasi sempre sì, perché il checksum non torna e la sequenza viene rifiutata. Resta però una probabilità di circa una su sedici, con dodici parole, che l’errore superi il controllo: in quel caso non compare nessun avviso e si apre un portafoglio diverso con saldo zero. Con ventiquattro parole la stessa probabilità scende a circa una su duecentocinquantasei.

Le stesse parole funzionano su applicazioni diverse?

La frase sì, ma gli indirizzi mostrati possono cambiare, perché applicazioni diverse usano percorsi di derivazione diversi a partire dallo stesso seme. Un saldo che sembra sparito dopo un cambio di portafoglio è quasi sempre questo, non una perdita. La verifica si fa confrontando il percorso impostato nelle due applicazioni.

Aggiungere una parola inventata alla fine rende la frase più sicura?

Non funziona così: una parola in più rompe il conteggio dei bit e il checksum, e la sequenza viene rifiutata. Esiste un meccanismo distinto, previsto dalla stessa specifica, che affianca alla frase una stringa scelta dall’utente e produce un portafoglio separato. È un’altra cosa dalla lunghezza, con vantaggi e rischi propri, a partire dal fatto che senza quella stringa la frase corretta non recupera nulla.

Dove trovo il testo originale dello standard?

Le specifiche sono pubblicate e consultabili nel repository dei documenti BIP, dove BIP-39 descrive la lista delle parole, il calcolo del checksum e la derivazione del seme. È il riferimento da citare quando due strumenti si comportano in modo diverso sulla stessa frase.

Fra dodici e ventiquattro parole la scelta pesa meno di quanto la discussione suggerisca. Pesano molto di più il supporto su cui la frase è scritta, il numero di persone che possono leggerla e la data dell’ultima prova di ripristino andata a buon fine.