Dividere un seed o usare il multisig: Shamir, SLIP-39 e SSKR a confronto

«Servono più pezzi per spostare i fondi» descrive due configurazioni molto diverse. La prima è un seed diviso: un unico segreto spezzato in quote con la condivisione del segreto di Shamir o con uno standard basato su di essa, come SLIP-39 o SSKR. La seconda è il multisig: più chiavi indipendenti, ed è la blockchain stessa a rifiutarsi di spostare i fondi finché non ne firmano abbastanza.

Entrambe distribuiscono il rischio, ma proteggono da cose diverse, e confonderle porta a configurazioni più deboli di quanto sembrino.

Come funziona la condivisione del segreto di Shamir

La condivisione del segreto di Shamir, pubblicata da Adi Shamir nel 1979, divide un segreto in n quote in modo che t quote qualsiasi possano ricostruirlo, mentre meno di t non rivelano assolutamente nulla. In una divisione 2 su 3, due quote qualsiasi recuperano il segreto, e una sola quota non dice letteralmente nulla a un attaccante.

Due standard diffusi per i wallet si basano su di essa:

• SLIP-39, di SatoshiLabs, codifica ogni quota come una frase di 20 o 33 parole e supporta i gruppi (per esempio, «due delle mie tre quote, oppure una della mia famiglia e una del mio avvocato»). È usato dal backup Shamir di Trezor.
• SSKR (Sharded Secret Key Reconstruction), di Blockchain Commons, fa lo stesso lavoro con una propria codifica ed è usato da alcuni dispositivi di firma offline.

Le quote SLIP-39 non sono intercambiabili con una normale frase BIP-39. I wallet che supportano SLIP-39 in genere non possono convertire una frase di 24 parole già esistente in quote; il backup deve essere creato così fin dall'inizio.

Il problema: per firmare la chiave si ricompone

Shamir è una tecnica di backup. Le quote proteggono il segreto mentre è conservato. Ma una quota non può firmare nulla. Per spendere, le quote vengono combinate e la chiave completa viene ricostruita: su un solo dispositivo, in un solo pezzo.

Quindi, nel momento della firma, un wallet protetto con Shamir è un wallet a chiave singola. Se quel dispositivo è compromesso, o se chi ricostruisce la chiave viene costretto, la divisione non aiuta. Spesso la chiave viene ricostruita una volta e poi risiede su un unico hardware wallet.

Il multisig funziona al contrario. Ogni firmatario ha la propria chiave, generata separatamente, e le chiavi non si incontrano mai. Ognuna firma sul proprio dispositivo e la blockchain verifica che ci siano abbastanza firme valide. Non c'è alcun momento in cui un dispositivo possiede tutto. Wallet MPC e multisig tratta un terzo approccio, in cui le chiavi sono divise tramite crittografia invece che con una regola imposta dalla catena.

Non tagliare le tue 24 parole in tre

Una tentazione fai-da-te è scrivere le prime otto parole su una scheda, le otto successive su un'altra e le ultime otto su una terza. Questo non è Shamir e ha due problemi.

Primo, non è uno schema a soglia. Ti servono tutti e tre i pezzi, quindi perdere una qualsiasi scheda significa perdere il wallet.

Secondo, ogni pezzo rivela parte del segreto. Ogni parola BIP-39 porta 11 bit; una frase di 24 parole contiene 256 bit di casualità più un checksum di 8 bit. Una scheda di otto parole rivela 88 di quei 256 bit. Chi ha una scheda deve ancora indovinare 168 bit, cosa ancora fuori portata, ma chi ne ha due deve indovinarne solo 80, molto al di sotto del margine per cui la frase è stata progettata. Con una frase di 12 parole (128 bit), due pezzi su tre da quattro parole lasciano solo 40 bit, che si possono trovare per forza bruta con hardware comune.

Con un vero Shamir, una quota sotto la soglia non rivela nulla. Con una frase tagliata, ogni pezzo facilita il lavoro dell'attaccante. Se vuoi dividere un seed, usa uno standard adeguato; le buone pratiche per la seed phrase coprono le opzioni più comuni, come backup in metallo e luoghi separati.

Compromessi: visibilità e catene

Ogni approccio ha vantaggi reali:

• Impronta on-chain. Shamir è invisibile on-chain: il wallet appare e si comporta come qualsiasi wallet a chiave singola, su ogni catena. Il multisig è visibile: una spesa multisig su Bitcoin rivela il suo script, e sulle catene basate su account il vault è uno smart contract o un programma che chiunque può ispezionare.
• Supporto delle catene. Shamir funziona con qualsiasi catena supportata dal tuo wallet, perché tocca solo il backup. Il multisig è specifico per ogni catena: Bitcoin usa script, le catene EVM account smart contract, Solana un programma, ognuno con le proprie commissioni e i propri limiti.
• Cosa protegge. Shamir protegge il backup da perdita e furto. Il multisig protegge ogni singola transazione, perché nessun dispositivo può firmare da solo.

I due non si escludono; ciò che conta è sapere quale rischio copre ciascuno.

Dove si colloca SSP

SSP è un multisig 2 su 2. SSP Wallet, l'estensione del browser, e SSP Key, l'app per smartphone, generano ciascuna la propria frase di recupero di 24 parole. Sulle catene UTXO come Bitcoin, l'indirizzo del vault è costruito da uno script multisig 2 su 2 che contiene una chiave pubblica di ciascuna, e ogni transazione richiede entrambe le firme. Le due chiavi non vengono mai combinate su un unico dispositivo.

SSP non implementa Shamir, SLIP-39 né SSKR. Fai il backup di due normali frasi di 24 parole, e ripristinare il vault da zero richiede entrambe, quindi i due backup contano allo stesso modo. 2 su 2, 2 su 3 o M su N spiega questo compromesso, e eredità e accesso di emergenza spiega come assicurarti che qualcun altro possa recuperare i fondi in caso di necessità.

Il riepilogo onesto

Dividere un seed e usare il multisig richiedono entrambi più pezzi, ma per momenti diversi. Gli standard basati su Shamir come SLIP-39 e SSKR proteggono un backup: le quote sotto la soglia non rivelano nulla e il wallet resta invisibile e indipendente dalla catena. Ma la chiave completa viene ricostruita per firmare, quindi la firma ha ancora un singolo punto di vulnerabilità. Il multisig mantiene chiavi separate che non si incontrano mai e fa applicare la regola alla catena, al prezzo di essere visibile e specifico per ogni catena.

Evita di tagliare una frase a mano: servono tutti i pezzi e ognuno rivela bit del segreto. SSP usa un multisig 2 su 2 con due frasi di 24 parole separate e non offre la divisione del seed, quindi custodisci bene entrambi i backup.