Membagi seed atau memakai multisig: perbandingan Shamir, SLIP-39, dan SSKR

"Butuh beberapa bagian untuk memindahkan dana" menggambarkan dua pengaturan yang sangat berbeda. Yang pertama adalah seed yang dibagi: satu rahasia dipotong menjadi beberapa bagian dengan Shamir's Secret Sharing atau standar yang dibangun di atasnya seperti SLIP-39 atau SSKR. Yang kedua adalah multisig: beberapa kunci independen, dan blockchain sendiri menolak memindahkan dana kecuali cukup banyak kunci yang menandatangani.

Keduanya menyebarkan risiko, tetapi melindungi dari hal yang berbeda, dan mencampuradukkan keduanya menghasilkan pengaturan yang lebih lemah daripada kelihatannya.

Cara kerja Shamir's Secret Sharing

Shamir's Secret Sharing, yang diterbitkan Adi Shamir pada 1979, membagi satu rahasia menjadi n bagian sehingga t bagian mana pun dapat menyusunnya kembali, sedangkan kurang dari t bagian tidak mengungkap apa pun. Dalam pembagian 2 dari 3, dua bagian mana pun dapat memulihkan rahasia, dan satu bagian saja benar-benar tidak memberi tahu penyerang apa pun.

Dua standar dompet yang umum dibangun di atasnya:

• SLIP-39 dari SatoshiLabs mengodekan setiap bagian sebagai frasa 20 atau 33 kata dan mendukung grup (misalnya, "dua dari tiga bagian saya, atau satu dari keluarga dan satu dari pengacara saya"). Standar ini dipakai oleh cadangan Shamir milik Trezor.
• SSKR (Sharded Secret Key Reconstruction) dari Blockchain Commons melakukan hal yang sama dengan pengodeannya sendiri dan dipakai oleh beberapa perangkat penanda tangan offline.

Bagian SLIP-39 tidak bisa dipertukarkan dengan frasa BIP-39 biasa. Dompet yang mendukung SLIP-39 umumnya tidak bisa mengubah frasa 24 kata yang sudah ada menjadi bagian-bagian; cadangan harus dibuat dengan cara itu sejak awal.

Masalahnya: kunci disatukan lagi untuk menandatangani

Shamir adalah teknik pencadangan. Bagian-bagian itu melindungi rahasia selama disimpan. Tetapi satu bagian tidak bisa menandatangani apa pun. Untuk membelanjakan dana, bagian-bagian digabungkan dan kunci lengkap disusun ulang — di satu perangkat, dalam satu kesatuan.

Artinya, pada saat penandatanganan, dompet yang dicadangkan dengan Shamir adalah dompet berkunci tunggal. Jika perangkat itu disusupi, atau orang yang menyusun ulang kunci dipaksa, pembagian tadi tidak membantu. Sering kali kunci disusun ulang sekali lalu disimpan di satu dompet perangkat keras.

Multisig bekerja sebaliknya. Setiap penanda tangan punya kuncinya sendiri yang dibuat terpisah, dan kunci-kunci itu tidak pernah bertemu. Masing-masing menandatangani di perangkatnya sendiri, dan blockchain memeriksa apakah ada cukup tanda tangan yang sah. Tidak ada saat di mana satu perangkat memegang semuanya. Dompet MPC vs multisig membahas pendekatan ketiga, di mana kunci dibagi melalui kriptografi alih-alih aturan yang ditegakkan oleh rantai.

Jangan potong 24 kata Anda menjadi tiga

Versi buatan sendiri yang menggoda adalah menulis delapan kata pertama di satu kartu, delapan kata berikutnya di kartu lain, dan delapan kata terakhir di kartu ketiga. Ini bukan Shamir, dan ada dua masalah.

Pertama, ini bukan skema ambang. Anda membutuhkan ketiga bagian, jadi kehilangan satu kartu saja berarti kehilangan dompet.

Kedua, setiap bagian membocorkan sebagian rahasia. Setiap kata BIP-39 membawa 11 bit; frasa 24 kata berisi 256 bit keacakan ditambah checksum 8 bit. Satu kartu berisi delapan kata mengungkap 88 dari 256 bit itu. Orang yang memegang satu kartu masih harus menebak 168 bit, yang tetap di luar jangkauan — tetapi orang yang memegang dua kartu hanya perlu menebak 80 bit, jauh di bawah margin yang dirancang untuk frasa tersebut. Pada frasa 12 kata (128 bit), dua dari tiga bagian berisi empat kata hanya menyisakan 40 bit, yang bisa dibobol dengan brute force memakai perangkat keras biasa.

Dengan Shamir yang sebenarnya, bagian di bawah ambang tidak membocorkan apa pun. Dengan frasa yang dipotong, setiap bagian mempermudah pekerjaan penyerang. Jika ingin membagi seed, gunakan standar yang semestinya; praktik terbaik frasa seed membahas pilihan yang lebih umum seperti cadangan logam dan lokasi terpisah.

Untung rugi: visibilitas dan rantai

Setiap pendekatan punya keunggulan nyata:

• Jejak on-chain. Shamir tidak terlihat on-chain: dompet tampak dan berperilaku seperti dompet berkunci tunggal biasa, di setiap rantai. Multisig terlihat — pembelanjaan multisig di Bitcoin mengungkap skripnya, dan di rantai berbasis akun, brankasnya adalah kontrak pintar atau program yang bisa diperiksa siapa saja.
• Dukungan rantai. Shamir bekerja dengan rantai apa pun yang didukung dompet Anda, karena hanya menyentuh cadangan. Multisig bergantung pada rantai: Bitcoin memakai skrip, rantai EVM memakai akun kontrak pintar, Solana memakai program, dan masing-masing punya biaya serta batasannya sendiri.
• Apa yang dilindungi. Shamir melindungi cadangan dari kehilangan dan pencurian. Multisig melindungi setiap transaksi, karena tidak ada perangkat yang bisa menandatangani sendirian.

Keduanya tidak saling meniadakan; yang penting adalah mengetahui risiko apa yang ditangani masing-masing.

Posisi SSP

SSP adalah multisig 2 dari 2. SSP Wallet, ekstensi browser, dan SSP Key, aplikasi ponsel, masing-masing membuat frasa pemulihan 24 kata sendiri. Pada rantai UTXO seperti Bitcoin, alamat brankas dibangun dari skrip multisig 2 dari 2 yang berisi satu kunci publik dari masing-masing, dan setiap transaksi membutuhkan kedua tanda tangan. Kedua kunci tidak pernah digabungkan di satu perangkat.

SSP tidak mengimplementasikan Shamir, SLIP-39, maupun SSKR. Anda mencadangkan dua frasa 24 kata biasa, dan memulihkan brankas dari nol membutuhkan keduanya, jadi kedua cadangan sama pentingnya. 2 dari 2 vs 2 dari 3 vs M dari N menjelaskan pertimbangan itu, dan warisan dan akses darurat membahas cara memastikan orang lain bisa memulihkan dana jika suatu saat diperlukan.

Ringkasan jujur

Membagi seed dan memakai multisig sama-sama butuh beberapa bagian, tetapi untuk momen yang berbeda. Standar berbasis Shamir seperti SLIP-39 dan SSKR melindungi cadangan: bagian di bawah ambang tidak membocorkan apa pun, dan dompet tetap tidak terlihat serta tidak bergantung pada rantai. Namun kunci lengkap disusun ulang untuk menandatangani, sehingga penandatanganan tetap punya satu titik kegagalan. Multisig menjaga kunci-kunci terpisah yang tidak pernah bertemu dan membuat rantai menegakkan aturan, dengan konsekuensi terlihat on-chain dan bergantung pada rantai.

Hindari memotong frasa secara manual: semua bagian dibutuhkan dan setiap bagian membocorkan bit rahasia. SSP memakai multisig 2 dari 2 dengan dua frasa 24 kata terpisah dan tidak menyediakan pembagian seed — jadi simpan kedua cadangan dengan aman.