O que é Shamir backup (SLIP39) e por que dividir a seed não é multisig

Shamir backup, que traduzimos como backup por partilha de segredo, é um método que divide a sua seed phrase em várias partes chamadas shares, das quais só um número mínimo é preciso para reconstruir a carteira. O padrão que implementa isso em Bitcoin se chama SLIP39. Ele elimina o ponto único de falha do seu backup. O que ele não faz, e quase ninguém explica direito, é substituir o multisig.

A pergunta que traz a maioria das pessoas até aqui é direta. Posso dividir minha seed phrase em três lugares para ninguém achar tudo de uma vez? A resposta curta é que dividir na mão, cortando as 12 ou 24 palavras em pedaços, é uma péssima ideia que enfraquece a sua segurança. A forma correta de dividir um segredo existe, tem nome e tem matemática séria por trás. É o Shamir backup. E ele resolve o problema do backup, não o problema da assinatura.

A seed phrase, a frase semente de 12 ou 24 palavras que representa a sua chave, é tratada em detalhe em o que é uma seed phrase. Aqui o foco é o que acontece quando você tenta protegê-la contra perda e roubo ao mesmo tempo, e por que a solução matemática é diferente de tudo que se faz com fita adesiva e envelope.

O erro de cortar a seed na mão

A tentação é óbvia. Você tem 24 palavras, pega e guarda as 8 primeiras em casa, as 8 do meio no cofre e as 8 últimas com um parente. Ninguém sozinho tem a frase inteira. Parece seguro. É o contrário. Cada pedaço que você espalha vaza informação sobre a chave e encurta o trabalho de quem quer quebrá-la por força bruta.

A conta explica. No padrão BIP39, que é o que gera quase toda seed phrase moderna e está descrito em o que é o BIP39, cada palavra vem de uma lista de 2048 e carrega 11 bits de informação. Uma frase de 24 palavras guarda cerca de 256 bits de entropia, a medida do quão imprevisível ela é. Uma de 12 palavras guarda cerca de 128 bits. Esse número é a muralha. Quebrar 256 bits por tentativa e erro está fora de alcance de qualquer computador que exista ou venha a existir.

Agora veja o que o corte manual faz com a muralha. Quem encontra o seu terço de 8 palavras já conhece cerca de 88 bits da frase. A muralha que sobra para esse atacante não é mais de 256 bits, é o que resta. Cada pedaço achado derruba a segurança de forma somável, não multiplicada. Pior, o esquema é tudo ou nada. Se você perde um único pedaço, perde a carteira inteira, porque precisa dos três para remontar. Você trocou um ponto único de falha por três.

Como o Shamir backup funciona

O Shamir backup resolve exatamente esses dois defeitos com um resultado matemático formalizado por Adi Shamir no fim da década de 1970, o compartilhamento de segredo por limiar. Limiar, ou threshold, é o número mínimo de partes necessárias para reconstruir o segredo. Você define um arranjo como duas de três. São geradas três partes, as shares, e quaisquer duas delas reconstroem a chave. Uma sozinha não revela absolutamente nada.

A ideia por trás é simples de enxergar com geometria. Duas partes que se juntam definem uma reta. Imagine que o seu segredo é o ponto onde essa reta cruza o eixo vertical. Você espalha três pontos que ficam sobre essa reta, uma share em cada lugar. Com dois pontos quaisquer, a reta fica determinada e o segredo aparece. Com um ponto só, passam infinitas retas, e o ponto de cruzamento pode ser qualquer coisa. Uma share isolada não vaza nada porque, sozinha, ela é compatível com todos os segredos possíveis.

A diferença para o corte manual é radical. No corte manual, cada pedaço entrega parte da resposta. No Shamir backup, cada share abaixo do limiar entrega zero. Você pode aumentar o arranjo para três de cinco, distribuir cinco shares e tolerar a perda de duas, sem que ninguém que ache uma, duas ou até todas as shares abaixo do limiar consiga qualquer coisa. É esse salto de qualidade que separa engenharia de improviso.

Um exemplo numérico mínimo

Suponha que o segredo seja o número 1234. Para um arranjo de duas de três, o algoritmo escolhe uma reta secreta que passa pelo ponto de valor 1234 no eixo vertical, digamos com inclinação 50. As três shares podem ser os valores dessa reta nos pontos 1, 2 e 3, que dão 1284, 1334 e 1384. Com duas quaisquer, você recupera a inclinação e chega de volta ao 1234. Com apenas o 1334, não há como saber se a reta cruzava em 1234, em 900 ou em 5000. A share sozinha é inútil por construção, não por dificuldade de cálculo.

SLIP39 não é BIP39

SLIP39 é o padrão que leva o Shamir backup para carteiras de verdade. Ele descreve como transformar cada share em um conjunto de palavras que dá para anotar no papel, com verificação de erro embutida, e como agrupar shares em níveis. É importante não confundir com o BIP39. São padrões diferentes e incompatíveis entre si. As palavras de um não servem no outro, porque usam listas de palavras próprias e regras de codificação distintas.

Na prática isso significa uma escolha na hora de criar a carteira. Ou você gera uma seed phrase BIP39 tradicional, de 12 ou 24 palavras, ou você gera um backup SLIP39, já dividido em shares desde o início. Algumas hardware wallets, os cofres físicos da chave, oferecem o SLIP39 nativamente, sendo a Trezor a referência mais conhecida porque a mesma empresa que criou o padrão também fabrica o dispositivo. Nem toda carteira suporta, então verifique antes de contar com isso.

Por que Shamir não é multisig

Aqui está o erro que quebra o modelo de ameaça de quem não presta atenção. Muita gente adota SLIP39 achando que ganhou o mesmo que ganharia com multisig, o esquema de várias assinaturas. Não ganhou. São proteções para momentos diferentes da vida da carteira, e a diferença é onde as chaves se encontram.

No Shamir backup, as shares existem separadas apenas enquanto guardadas. No instante da recuperação, você reúne o número mínimo de shares e as insere em um único dispositivo, que remonta uma única chave privada na memória. A partir desse momento existe uma chave só, em um lugar só, e é ela que assina tudo. As partes se encontram, e o segredo inteiro passa a existir naquele aparelho.

No multisig, descrito em o que é multisig, as chaves nunca se encontram. Cada chave vive em seu próprio dispositivo e assina a sua parte da transação de forma independente. Não existe nenhum momento em que uma máquina sozinha detenha o poder de gastar. A exigência de várias assinaturas é imposta pela própria rede, na regra de gasto da carteira, e não pela sua disciplina de guardar papéis.

“O Shamir backup protege o backup. O multisig protege a assinatura. Um distribui o segredo para depois remontá-lo em um ponto. O outro faz questão de que o segredo inteiro nunca exista em lugar nenhum.”

Há ainda uma diferença de visibilidade. O Shamir backup acontece fora da rede. Ninguém que olhe a blockchain sabe que a sua carteira foi dividida em shares, porque na cadeia ela é uma carteira comum de chave única. O multisig, ao contrário, é imposto na própria transação. Quem protege backup escolhe o Shamir. Quem protege assinatura escolhe o multisig. E nada impede combinar os dois em desenhos mais avançados.

Backup protege uma coisa, assinatura protege outra

A forma honesta de decidir é olhar para o que você teme. Se o seu medo é perder a única cópia da seed em um incêndio, ou que alguém ache o papel e leve tudo, o problema é de backup. O Shamir backup ataca isso de frente, porque você distribui shares em locais diferentes, tolera perder algumas e nenhum local isolado entrega a chave.

Se o seu medo é outro, o Shamir não cobre. Um dispositivo comprometido no momento da recuperação, uma coação em que forçam você a remontar a carteira, um único erro fatal na hora de assinar. Nesses cenários a chave inteira reaparece em um ponto, e é justamente esse ponto que o multisig elimina. Confundir os dois faz você dormir tranquilo protegido contra a ameaça errada.

• Medo de perder o backup ou de roubo do papel. O Shamir backup resolve, distribuindo shares com limiar.
• Medo de comprometimento do dispositivo ou de coação na assinatura. O multisig resolve, porque nenhuma máquina assina sozinha.
• O momento da recuperação do Shamir é o ponto sensível, porque a chave inteira volta a existir em um aparelho.

O que isso muda para o investidor brasileiro

No Brasil, onde a autocustódia ainda convive com a insegurança física do dia a dia, a decisão tem peso concreto. Espalhar shares SLIP39 por endereços diferentes reduz o risco de que um único roubo, alagamento ou incêndio leve o seu Bitcoin, sem o exagero de expor a frase inteira em cada lugar. Para quem tem o medo clássico de guardar 24 palavras em um papel só, é um avanço real.

O passo prático de proteger a frase, com ou sem partilha, está em como fazer o backup da seed phrase. E a decisão maior, entre uma carteira de assinatura simples e uma de múltiplas assinaturas, é o tema de single-sig ou multisig. O Shamir backup se encaixa entre esses dois, como uma melhoria de backup que não exige ainda o salto para o multisig.

A regra que fecha o assunto é sóbria. Nunca corte a seed na mão. Use um padrão de verdade como o SLIP39 se o seu problema é backup, e migre para multisig se o seu problema é assinatura. Desenhar a custódia certa para o tamanho e o perfil do seu patrimônio é o tipo de análise que a Fugazzi Research faz nos seus estudos de autocustódia, sem fórmula pronta e sem promessa de retorno.

Perguntas frequentes sobre Shamir backup e SLIP39

Dividir a seed phrase em pedaços é seguro?

Dividir na mão, cortando as palavras em grupos, não é seguro. Cada pedaço vaza parte da chave e encurta o trabalho de quebra por força bruta, além de tornar o backup tudo ou nada, já que perder um grupo zera o acesso. A forma correta de dividir é o Shamir backup, em que cada parte abaixo do limiar não revela nada sobre o segredo.

Shamir backup é a mesma coisa que multisig?

Não. O Shamir backup divide o backup e depois remonta uma única chave em um único dispositivo na hora da recuperação. O multisig mantém as chaves sempre separadas, e nenhum dispositivo assina sozinho. Um protege o backup, o outro protege a assinatura. São proteções para momentos diferentes.

Qual a diferença entre SLIP39 e BIP39?

O BIP39 gera uma seed phrase única e contínua, de 12 ou 24 palavras. O SLIP39 já nasce dividido em shares com um limiar, aplicando o Shamir backup. Os dois usam listas de palavras próprias e são incompatíveis, ou seja, as palavras de um não funcionam no outro, e você escolhe qual padrão usar ao criar a carteira.