Dividir uma seed ou usar multisig: Shamir, SLIP-39 e SSKR comparados

"São necessárias várias partes para movimentar o dinheiro" descreve duas configurações muito diferentes. Uma é uma seed dividida: um único segredo partido em fragmentos usando o compartilhamento de segredo de Shamir ou um padrão baseado nele, como SLIP-39 ou SSKR. A outra é o multisig: várias chaves independentes, com a própria blockchain se recusando a movimentar os fundos se não houver assinaturas suficientes.

Ambas distribuem o risco, mas protegem contra coisas diferentes, e confundi-las leva a configurações mais fracas do que parecem.

Como funciona o compartilhamento de segredo de Shamir

O compartilhamento de segredo de Shamir, publicado por Adi Shamir em 1979, divide um segredo em n fragmentos de modo que quaisquer t deles possam reconstruí-lo, enquanto menos de t não revelam absolutamente nada. Em uma divisão 2 de 3, quaisquer dois fragmentos recuperam o segredo, e um único fragmento não diz literalmente nada a um atacante.

Dois padrões comuns de carteiras se baseiam nele:

• SLIP-39, da SatoshiLabs, codifica cada fragmento como uma frase de 20 ou 33 palavras e permite grupos (por exemplo, "dois dos meus três fragmentos, ou um da minha família e um do meu advogado"). É usado pelo backup Shamir da Trezor.
• SSKR (Sharded Secret Key Reconstruction), da Blockchain Commons, faz o mesmo trabalho com sua própria codificação e é usado por alguns assinadores offline.

Os fragmentos SLIP-39 não são intercambiáveis com uma frase BIP-39 comum. Carteiras compatíveis com SLIP-39 geralmente não conseguem converter uma frase de 24 palavras já existente em fragmentos; o backup precisa ser criado assim desde o início.

O problema: a chave se junta de novo para assinar

Shamir é uma técnica de backup. Os fragmentos protegem o segredo enquanto ele está guardado. Mas um fragmento não consegue assinar nada. Para gastar, os fragmentos são combinados e a chave completa é reconstruída — em um único dispositivo, em uma única peça.

Isso significa que, no momento da assinatura, uma carteira com backup Shamir é uma carteira de chave única. Se esse dispositivo estiver comprometido, ou se a pessoa que reconstrói a chave for coagida, a divisão não ajuda. Muitas vezes a chave é reconstruída uma vez e depois fica em uma única carteira de hardware.

O multisig funciona ao contrário. Cada signatário tem sua própria chave, gerada separadamente, e as chaves nunca se encontram. Cada uma assina em seu próprio dispositivo, e a blockchain verifica se há assinaturas válidas suficientes. Não existe nenhum momento em que um dispositivo tenha tudo. Carteiras MPC vs multisig aborda uma terceira abordagem, em que as chaves são divididas por criptografia em vez de a regra ser imposta pela rede.

Não corte suas 24 palavras em três

Uma versão caseira tentadora é escrever as oito primeiras palavras em um cartão, as oito seguintes em outro e as oito últimas em um terceiro. Isso não é Shamir e tem dois problemas.

Primeiro, não é um esquema de limiar. Você precisa das três partes, então perder qualquer cartão significa perder a carteira.

Segundo, cada parte vaza um pedaço do segredo. Cada palavra BIP-39 carrega 11 bits; uma frase de 24 palavras contém 256 bits de aleatoriedade mais um checksum de 8 bits. Um cartão com oito palavras revela 88 desses 256 bits. Quem tem um cartão ainda precisa adivinhar 168 bits, o que continua fora de alcance — mas quem tem dois cartões só precisa adivinhar 80 bits, muito abaixo da margem para a qual a frase foi projetada. Em uma frase de 12 palavras (128 bits), duas de três partes de quatro palavras deixam apenas 40 bits, que podem ser quebrados por força bruta com hardware comum.

Com um Shamir de verdade, um fragmento abaixo do limiar não vaza nada. Com uma frase cortada, cada parte facilita o trabalho do atacante. Se quiser dividir uma seed, use um padrão adequado; as boas práticas para a frase-semente cobrem as opções mais comuns, como backups em metal e locais separados.

Prós e contras: visibilidade e redes

Cada abordagem tem vantagens reais:

• Rastro on-chain. Shamir é invisível na blockchain: a carteira parece e se comporta como qualquer carteira de chave única, em todas as redes. O multisig é visível — um gasto multisig no Bitcoin revela seu script, e nas redes baseadas em contas o cofre é um contrato inteligente ou programa que qualquer pessoa pode inspecionar.
• Suporte a redes. Shamir funciona com qualquer rede que sua carteira suporte, porque só afeta o backup. O multisig é específico de cada rede: o Bitcoin usa scripts, as redes EVM usam contas de contrato inteligente, a Solana usa um programa, e cada uma tem suas próprias taxas e limites.
• O que protege. Shamir protege o backup contra perda e roubo. O multisig protege cada transação, porque nenhum dispositivo consegue assinar sozinho.

Os dois não são excludentes; o que importa é saber qual risco cada um cobre.

Onde o SSP se encaixa

O SSP é um multisig 2 de 2. A SSP Wallet, a extensão do navegador, e o SSP Key, o aplicativo de celular, geram cada um sua própria frase de recuperação de 24 palavras. Em redes UTXO como o Bitcoin, o endereço do cofre é construído a partir de um script multisig 2 de 2 com uma chave pública de cada um, e cada transação precisa das duas assinaturas. As duas chaves nunca são combinadas em um único dispositivo.

O SSP não implementa Shamir, SLIP-39 nem SSKR. Você faz backup de duas frases comuns de 24 palavras, e restaurar o cofre do zero exige as duas, então os dois backups importam igualmente. 2 de 2 vs 2 de 3 vs M de N explica essa escolha, e herança e acesso de emergência mostra como garantir que outra pessoa consiga recuperar os fundos se um dia precisar.

O resumo honesto

Dividir uma seed e usar multisig exigem várias partes, mas para momentos diferentes. Padrões baseados em Shamir, como SLIP-39 e SSKR, protegem um backup: fragmentos abaixo do limiar não vazam nada, e a carteira continua invisível e independente da rede. Mas a chave completa é reconstruída para assinar, então a assinatura ainda tem um ponto único de falha. O multisig mantém chaves separadas que nunca se encontram e faz a rede impor a regra, ao custo de ser visível e específico de cada rede.

Evite cortar uma frase à mão: ela exige todas as partes e cada uma vaza bits do segredo. O SSP usa multisig 2 de 2 com duas frases de 24 palavras separadas e não oferece divisão de seed — então guarde bem os dois backups.