Lista de palavras mnemônicas

Uma lista de palavras é um dicionário, não um segredo: qualquer pessoa pode baixá-la, e sua segurança vem de quais palavras foram escolhidas e em que ordem. Cada lista oficial contém exatamente 2.048 entradas, então cada palavra do seu backup carrega 11 bits e nada mais. Copie seu backup em inglês, a menos que tenha um motivo para não fazer isso, porque a própria especificação desaconselha fortemente as outras nove.

Como funciona

Toda lista de palavras mnemônicas contém 2.048 entradas porque 2.048 é dois elevado à décima primeira potência. Isso torna o mapeamento aritmético em vez de uma mágica de consulta: divida a entropia e o checksum da carteira em blocos de 11 bits, leia cada bloco como um número entre 0 e 2.047, e imprima a entrada que ocupa essa posição. No arquivo em inglês, a posição 0 é "abandon" e a posição 2.047 é "zoo".

A posição é a única coisa com que o codificador se importa. Cada arquivo é armazenado em ordem alfabética, o que permite que uma carteira encontre uma palavra digitada por busca binária ou por uma árvore de prefixos, em vez de percorrer 2.048 linhas. Como cada idioma ordena seu próprio vocabulário, o índice 500 contém "direct" em inglês e "dauphin" em francês.

O BIP-39 estabelece três objetivos para um bom arquivo: quatro letras digitadas devem identificar uma palavra, quase duplicatas como "build" e "built" ou "woman" e "women" devem ser excluídas, e o conjunto todo deve estar ordenado. O inglês cumpre o primeiro e o terceiro de imediato. As entradas vão de três a oito letras, e nenhuma das 2.048 compartilha um prefixo de quatro letras com outra.

O segundo objetivo é mais frouxo do que parece. Os próprios exemplos da especificação são respeitados, já que "build", "woman" e "quick" estão no arquivo enquanto "built", "women" e "quickly" não estão, mas muitos vizinhos de uma única letra sobreviveram: "angle" e "ankle", "action" e "auction", "awake" e "aware" estão todos nas mesmas 2.048. Leia a palavra inteira quando copiar um backup, não o formato dela.

A promessa das quatro letras tem uma lacuna que vale a pena conhecer. 103 entradas em inglês têm apenas três letras, e 49 delas são o começo de uma entrada mais longa no mesmo arquivo: "act" fica ao lado de "action", "actor", "actress" e "actual", e "art" ao lado de "artefact", "artist" e "artwork". Quatro toques não conseguem selecionar "act" de forma alguma, então uma carteira precisa aceitar um espaço ou um toque na sugestão. Uma abreviação escrita continua segura, porque truncar cada entrada em quatro letras deixa 2.048 sequências distintas; é a digitação ao vivo que precisa do delimitador.

Existem nove traduções além do inglês: japonês, coreano, espanhol, chinês em escrita simplificada e tradicional, francês, italiano, tcheco e português. Cada uma foi construída segundo suas próprias regras publicadas. As entradas em francês têm de cinco a oito letras, sem gentílicos e sem nada que leve circunflexo ou cedilha. O italiano rejeita vogais dobradas e, segundo sua própria regra, "words that remind negative/sad/bad things". O tcheco exclui toda letra com diacrítico, algo que seu autor chama de tarefa mais difícil, já que um terço das letras tchecas tem um.

As colisões entre idiomas são a parte que ninguém menciona. O espanhol não compartilha nenhuma entrada com nenhum outro idioma, então uma única palavra em espanhol identifica a frase inteira. O inglês e o francês não são tão organizados: 100 palavras aparecem nos dois arquivos, entre elas "abandon", "orange", "piano", "puzzle" e "village", e nem uma dessas 100 ocupa o mesmo índice nos dois. "abandon" é 0 em inglês e 1 em francês.

Essa diferença importa porque a seed vem das letras que você digitou, não dos índices por trás delas. O BIP-39 estica a própria frase unida, então uma frase construída apenas com essas 100 palavras compartilhadas dá a mesma seed nas duas configurações de idioma, enquanto o checksum, que é calculado a partir dos índices, normalmente a rejeitará no idioma errado. Traduzir de verdade uma frase, trocando cada palavra pela palavra de mesmo índice em outro arquivo, muda a frase e, portanto, entrega uma carteira completamente diferente.

Por que isso importa quando você compra bitcoin

Vinte e quatro palavras tiradas de uma lista de 2.048 entradas parecem idênticas tanto quando codificam 256 bits de aleatoriedade quanto 72. Uma lista de palavras é um formato de transcrição e não traz nenhuma evidência sobre a qualidade dos números por trás dela, e foi assim que o defeito da Coldcard abordado em nossa análise passou despercebido por mais de cinco anos: desde março de 2021, um erro de compilação encaminhou a geração da frase de recuperação para um gerador de números aleatórios de software, deixando um espaço de busca efetivo que a Coinkite estima em cerca de 40 bits no Mk2 e no Mk3 e em cerca de 72 bits no Mk4, no Mk5 e no Q, contra uma meta de 128 bits. O firmware corrigido chegou em 31 de julho de 2026. As palavras impressas nunca pareceram diferentes, e nada nelas poderia ter avisado ninguém.

A questão do idioma se coloca de forma diferente nos 231 guias de país deste site. Um leitor em Madri, Praga ou Osaka pode receber um arquivo localizado de um aplicativo de carteira, e o próprio BIP-39 é direto ao dizer que a grande maioria das carteiras aceita apenas o inglês e que as alternativas são fortemente desaconselhadas. Um arquivo traduzido resolve um problema de transcrição agora e cria um problema de restauração depois, quando a carteira que ofereceu a opção pode ter desaparecido e a substituta pode ler apenas inglês. O japonês carrega uma segunda armadilha: suas frases são escritas com espaços ideográficos em vez de espaços ASCII, então uma frase redigitada no teclado errado pode parecer certa e se dividir errado.

Algumas carteiras analisadas aqui evitam a escolha por completo. A Tangem, avaliada com 3,8, é vendida em conjuntos de dois cartões por US$ 59,90 ou de três por US$ 69,90 e gera as chaves dentro do cartão sem mostrar nenhuma frase por padrão, então não há arquivo a escolher nem nada escrito para fotografar. Essa é uma resposta genuína ao problema que uma lista de palavras cria, e tem seu próprio custo, que a análise expõe.

Por que uma Trezor Safe 5 pode entregar vinte palavras

A Trezor Safe 5 aceita backups de 12, 20 e 24 palavras, e 20 não é um comprimento do BIP-39. O BIP-39 gera 12, 15, 18, 21 e 24 palavras e nada mais, então as vinte palavras vieram do SLIP-39, o esquema Shamir que os próprios autores do BIP-39 propuseram como sucessor. O SLIP-39 tem seu próprio arquivo de exatamente 1.024 palavras, metade do tamanho, porque empacota 10 bits em cada palavra em vez de 11.

Os dois arquivos não são disjuntos. 553 das 1.024 palavras do SLIP-39 também aparecem no arquivo em inglês do BIP-39, então você não consegue distinguir os esquemas lendo o vocabulário. Conte as palavras. O SLIP-39 também fechou a lacuna das três letras por regra: nada mais curto que quatro letras, nada mais longo que oito, prefixos únicos de quatro letras em todo o arquivo, e uma distância mínima de Damerau-Levenshtein de 2 entre quaisquer duas entradas. Ele não aceita nenhum idioma além do inglês e diz isso claramente, culpando as anteriores "arbitrary wordlists" por confundir usuários e prejudicar a interoperabilidade.

Lista de palavras mnemônicas vs frase de recuperação

Uma lista de palavras mnemônicas é pública e uma frase de recuperação não é. A lista é um arquivo em um repositório aberto do qual toda carteira BIP-39 carrega uma cópia; sua frase são as 12 ou 24 entradas específicas que seu dispositivo tirou dela, na ordem em que as tirou. Baixar o arquivo em inglês não diz nada a um atacante, assim como ter um dicionário não ajuda ninguém a adivinhar uma frase. A diferença vale a pena guardar quando uma conta de suporte, uma extensão de navegador ou uma página “validadora de carteiras” pede que você confira suas palavras com a lista oficial: a lista não precisa de nenhuma conferência, e o pedido é sempre dirigido apenas à frase.