Bitcoin "seed words" iz kock: zakaj je fizična entropija ena najboljših zaščit za Bitcoin

Ko ustvarimo Bitcoin denarnico, običajno naredimo nekaj, kar se zdi popolnoma preprosto: naprava nam pokaže 12 ali 24 besed – naš seed, semensko frazo oziroma recovery phrase.

Te besede so v resnici ključ do naših bitcoinov.

In tukaj se skriva ena največjih varnostnih predpostavk celotnega sistema: Semenska fraza  mora biti nepredvidljiva in popolnoma naključna.

Če je naključnost pri njegovem ustvarjanju slaba, je lahko ogrožena celotna denarnica – tudi če smo jo uporabljali popolnoma pravilno, nikoli nismo kliknili phishing povezave in seed nikoli ni zapustil naše fizične lokacije.

Prav to nas je avgusta 2026 ponovno opomnilo pri incidentu s ColdCardom.

Kaj se je zgodilo s Coldcardom?

Pri nekaterih različicah firmwarea Coldcarda je prišlo do napake, zaradi katere generiranje začetnega seeda ni uporabljalo strojnega generatorja naključnih števil tako, kot je bilo predvideno. Namesto pravega vira naključnosti je bila uporabljena programska psevdonaključnost.

Problem? Psevdonaključnost ni isto kot prava fizična naključnost.

Če lahko napadalec ugotovi oziroma dovolj omeji parametre iz katerih je bil psevdonaključni generator inicializiran, lahko teoretično rekonstruira veliko manjši prostor možnih seedov in ga nato preverja na javnemu Bitcoin omrežju.

Napad je pokazal, kako resna je lahko napaka v samem procesu generiranja ključev. Po poročilih so bili iz prizadetih denarnic ukradeni veliki zneski bitcoinov.

In to je bistvena lekcija:

Lahko imaš odličen hardware wallet, varen PIN, varno backup kopijo in nikoli ne izdaš svojega seeda – pa je lahko vseeno problem v trenutku, ko je bil seed ustvarjen.

Zato so kocke še kako priročne
- Kocka je izjemno preprosta.
- Nima firmwarea
- Nima procesorja
- Nima RNG knjižnice
- Nima USB povezave
- Nima bugov v kodi
- Nima proizvajalčevega strežnika.

In predvsem: Nihče ne more naknadno popraviti algoritma, ki ga je uporabila kocka.

Ko vržemo pošteno šeststransko kocko, dobimo enega od šestih možnih rezultatov.
Vsak met vsebuje približno: log₂(6) = 2,585 bitov entropije. Če imamo dovolj neodvisnih metov, lahko tako ustvarimo ogromno količino entropije popolnoma neodvisno od elektronske naprave.

Koliko metov potrebujemo?

Za 12-besedni BIP39 seed potrebujemo približno 128 bitov entropije.
Za 24-besedni BIP39 seed pa približno 256 bitov entropije.
Pri šeststranski kocki dobimo približno 2,585 bita na met.

Zato približno:
50 metov → 128 bitov
99 metov → 256 bitov

To ni naključna številka. Prav 50 oziroma 99 metov se pojavlja tudi v priporočilih proizvajalcev in dokumentaciji za uporabo dodatne "dice entropije".

Blockstream Jade, BitBox02, SeedSigner omogoča izdelavo recovery phrase z uporabo metov kocke kot zunanjega vira entropije.

Zakaj je to drugače od običajnega generiranja seeda?

Ko kliknemo "Create new wallet", naš hardware wallet sam ustvari naključne podatke.

Mi pa mu zaupamo da:

1. je hardware RNG pravilno deloval
2. firmware pravilno uporablja RNG,
3. ni napake v programski kodi,
4. knjižnice pravilno obdelujejo naključne podatke,
5. proizvajalec ni naredil napake pri implementaciji,
6. posodobitev firmwarea ni povzročila nove napake.

To je precej veliko stvari, ki jim moramo zaupati. Pri kocki je proces popolnoma drugačen.

Vir naključnosti je fizični svet.

Hardware wallet nato lahko naše rezultate uporabi kot dodatno ali pa glavno entropijo pri ustvarjanju seeda. To pomeni, da tudi če bi bil njegov notranji RNG pokvarjen, je lahko naš zunanji vir entropije še vedno dovolj močan.

In prav to je ena najpomembnejših lekcij Coldcard incidenta.

Ne gre za to, da hardware walleti niso varni. To je zelo pomembno.
Ne pomeni, da so hardware walleti slabi. Hardware wallet je še vedno eden najboljših ali kar najboljši način za varno upravljanje bitcoinov.

Problem je bolj subtilen: Hardware wallet je lahko varen, vendar nikoli ne smemo pozabiti, da je še vedno računalnik.

• In računalniki imajo firmware
• Firmware ima knjižnice.
• Knjižnice imajo bug-e.
• Bug lahko ostane neopažen več let.
• Coldcard incident je popoln primer.

Napaka je bila povezana z generiranjem seeda in je lahko ostala neopažena več let, preden je postala javno znana.

Najboljša rešitev? Kombinacija?
Pri varnostni  Bitcoin denarnice ni nujno potrebno izbirati:

Hardware RNG ALI kocke.
Veliko bolj smiselno je: Hardware RNG + fizična entropija ali le fizična entropija kot je metanje kock

Hardware wallet lahko ustvari svoj naključni seed, mi pa mu dodamo lastno entropijo iz kock. Če eden od virov odpove, drugi še vedno zagotavlja dodatno nepredvidljivost. Lahko pa uporabimo samo zunanjo entropijo.

To je princip, ki mu lahko rečemo: Don't trust. Verify.
Ne zaupamo samo eni komponenti. Lahko pa tudi uporabimo samo kocke kot zunanjo entropijo neodvisno od programske opreme proizvajalca….

Kako to izgleda v praksi?
Postopek je relativno preprost.
Vzemi:

• fizično šest stransko kocko,
• miren in zaseben prostor,
• hardware wallet, ki podpira vnos dice entropije, oziroma izračun checksuma
• papir ali kovinski backup za zapis seeda.

Nato kocko mečeš večkrat in zapisuješ rezultate.

Na primer: 4 – 2 – 6 – 1 – 5 – 3 – 3 – 6 – 2 ...

Postopek nadaljuješ do priporočenega števila metov.
Za 24-besedni seed je zelo dobra praksa uporabiti 99 poštenih in neodvisnih metov, kar predstavlja približno 256 bitov entropije. Za 12 besednega 50 metov 128 bitov entropije.

Nato hardware wallet iz teh podatkov ustvari BIP39 recovery phrase oziroma ga dobiš iz spiska Binary Words Table.

Pomembno je, da so meti: neodvisni, nepredvidljivi in zasebni.

Zakaj ne uporabljati računalnika za metanje kock?

Ker s tem izgubimo del prednosti. Če uporabimo spletni "dice roller", računalniški generator naključnih števil ali aplikacijo, ponovno zaupamo programski opremi.

Če želimo fizično entropijo, naj bo entropija res fizična.
Kocka → fizični rezultat → hardware wallet.

❌Brez interneta.
❌Brez telefona
❌Brez kamere
❌Brez fotografiranja rezultatov.

Kocka ni čarobna

Tudi pri dice metodi lahko naredimo napako.
Kocka mora biti dovolj poštena in rezultati morajo biti neodvisni.
Ne smemo namerno izbirati "lepih" rezultatov.
Ne smemo uporabljati vzorca.
Ne smemo metati samo toliko časa, dokler ne dobimo rezultatov, ki so nam všeč.

In predvsem: ne smemo zapisati samo 24 naključnih števil in jih sami pretvarjati v besede, če ne razumemo natančno postopka BIP39.

Najvarneje je uporabiti napravo in postopek, ki je namenjen sprejemanju dice entropije in pravilno izvede pretvorbo v recovery phrase.

Blockstream pa na primer opisuje namenski postopek za izdelavo recovery phrase z uporabo dice rollov.

Kaj nas je v resnici naučil Coldcard?

Morda najpomembnejša lekcija ni: "Ne uporabljaj Coldcarda."
Lekcija je: Ne zaupaj eni sami implementaciji naključnosti.

·         Danes je problem Coldcard.

·         Jutri je lahko problem druga naprava.

·         Čez pet let lahko nekdo odkrije napako v drugi knjižnici.

·         Zato je pri self-custodyju pomemben princip porazdelitve zaupanja.

Če lahko kritični del procesa izvedemo tako, da vanj vključimo neodvisen fizični vir entropije, zakaj tega ne bi naredili?

Kocka je eden najpreprostejših načinov, kako entropijo delno vzeti nazaj iz sveta programske opreme in jo ustvariti fizično.

Coldcard incident je pokazal, da "hardware wallet" sam po sebi še ni dovolj dobra varnostna zašita.

Pomembno je vprašanje: Kako je bil ustvarjen moj seed?

Če je odgovor: "Naprava je rekla, da je naključen."…je to vprašanje zaupanja.

Če pa lahko rečemo: "Naprava je uporabila tudi 99 mojih neodvisnih metov fizične kocke." …smo dodali nekaj, česar proizvajalec ne more pokvariti s firmware posodobitvijo.

In pri self-custodyju je včasih ravno manj zaupanja – največja varnost.

 🎲 Kako s kocko ustvarimo 24-besedni Bitcoin seed – popolnoma praktičen vodič

Od prvega meta kocke do 24 BIP39 besed. (enako je z 12 besedami)

Bitcoin denarnica je lahko zelo varna, vendar je vse skupaj odvisno od ene stvari: Kako kakovostno je bil ustvarjen naš seed?
Če je naključnost/entropija slaba, lahko napadalec teoretično zmanjša število možnih seedov in začne ugibati naše ključe. Zato je zanimiva možnost, da začetno naključnost ustvarimo sami – s fizično kocko.

Blockstream ima za to izdelan postopek D6, pri katerem uporabljamo običajno šeststransko kocko (ali več kock). Rezultate pretvarjamo v bite, dokler ne dobimo 11 bitov. Teh 11 bitov predstavlja eno številko od 0 do 2047, ta številka pa določa eno besedo iz BIP39 seznama. Postopek ponovimo za 24 besed, nato pa posebej izračunamo oziroma generiramo checksum zadnjo besedo.

Uradni Blockstream vodič:

Blockstream – Generate a Recovery Phrase With a D6 Die

Podroben tehnični primer:

Self Custody Labs – Generate Your Own Bitcoin Seed Phrase with Dice

1. Kaj bomo na koncu dobili?

Na koncu želimo dobiti: 12/24 BIP39 besed

Na primer:
1. beseda
2. beseda
3. beseda
...
24. beseda (3 biti in 8 bitov checksum)

Teh 24 besed predstavlja naš Bitcoin recovery phrase.

Primer besed iz vodiča spodaj NI seed, ki ga smemo uporabiti za našo denarnico.

Uporabili bomo javni primer Self Custody Labs samo zato, da lahko pokažemo celoten postopek od začetka do konca. Ker je ta primer že objavljen na internetu, je seveda javno znan in zato neprimeren za zaščito sredstev.

2. Kaj potrebujemo?

Za D6 metodo potrebujemo:

• 🎲 eno kakovostno šest stransko kocko, (lahko tudi 7 kock za hitrejše generiranje)
• ✏️ papir in svinčnik,
• 📋 BIP39 seznam 2048 besed, Binary Words Table
• 🔐 offline wallet/hardware wallet za končno preverjanje. (Jade, Seedsigner, BitBox02)

Blockstream opozarja, da morajo biti fizični viri naključnosti čim bolj nepristranski. Self Custody Labs priporoča kakovostne oziroma casino-grade kocke. Strojno denarnico lahko uporabimo za hrambo ali pa samo za izračun zadnje 12 ali 24 besede ki je CheckSum vseh besed. SHA256 checksum zadnje besede nikdar ne računamo na računalniku ki je priklopljen na splet.

3. Najprej pripravimo varno okolje

To je pomembnejše, kot se zdi.

Ne uporabljamo:

❌ telefona
❌ spletnega generatorja
❌ Google Docs
❌ Notes aplikacije
❌ spletnega kalkulatorja
❌ spletnega BIP39 generatorja
❌ fotografije seeda

Za izračun zadnje 12. ali 24. besede priporočamo eno od strojnih denarnic (BitBox02, Jade ali SeedSigner) Self Custody Labs za ročni postopek priporoča tudi air-gapped računalnik, ki ni povezan v internet, ter zasebno okolje brez kamer, mikrofonov in drugih elektronskih naprav, ki bi lahko zajele seed. Seveda je to lahko že nevarno.

4. Kako D6 kocko pretvorimo v bite?

To je najpomembnejša tabela celotnega postopka.

To je Blockstreamova D6 metoda. Rezultati/kocke 1–4 dajo dva bita, rezultata/kocke 5 in 6 pa en bit.

Torej:
1 → 00
2 → 01
3 → 10
4 → 11
5 → 0
6 → 1

5. Zakaj 1–4 dajo dva bita?

Poglejmo:

Imamo štiri enako verjetne možnosti.
To je popolnoma enako kot: 00 / 01 / 10 / 11

kar predstavlja dve naključni binarni mesti.
Pri 5 in 6 imamo samo dve možnosti:
5 → 0
6 → 1

Torej dobimo eno naključno binarno mesto. Na ta način lahko iz fizične kocke učinkovito zbiramo bite.

6. Začnimo z besedo št. 1

Cilj je: Zbrati 11 bitov.

Zakaj 11?
Ker: 2¹¹ = 2048
BIP39 pa ima natanko: 2048 besed.
Zato vsaka 11-bitna številka določa eno BIP39 besedo. Torej za eno besedo potrebujemo vsaj 6 oziroma več metov.

7. Prvi met
Vrzimo kocko.
Recimo, da dobimo: 🎲 3
Po naši tabeli: 3 → 10
Na papir zapišemo: 10
Trenutno imamo: 2 bita

8. Drugi met
Vržemo ponovno.
Dobimo: 🎲 1
1 → 00
Dodamo za prejšnji rezultat: 10 + 00
Dobimo: 1000
Sedaj imamo: 4 bite

9. Tretji met
Dobimo: 🎲 6
6 → 1
Dodamo: 1000 + 1
Dobimo: 10001
Sedaj imamo: 5 bitov

10. Četrti met
Dobimo: 🎲 4
4 → 11
Dodamo: 10001 + 11
Dobimo: 1000111
Sedaj imamo: 7 bitov

11. Peti met
Dobimo: 🎲 2
2 → 01
Dodamo:1000111 + 01
Dobimo: 100011101
Sedaj imamo: 9 bitov

12. Šesti met
Dobimo: 🎲 5
5 → 0
Dodamo: 100011101 + 0
Dobimo: 1000111010
Sedaj imamo: 10 bitov

13. Sedmi met
Dobimo:🎲 6
6 → 1
Dodamo: 1000111010 + 1
Dobimo: 10001110101
Sedaj imamo: 11 bitov.

Prva beseda je končana.

14. Kaj če zadnji met da preveč bitov?

To je zelo pomembno.
Recimo, da imamo že: 10 bitov in potrebujemo samo še: 1 bit

Naslednji met pa je: 🎲 4 → 11
Ne uporabimo obeh bitov. Uporabimo samo toliko, kolikor potrebujemo.

Torej iz: 11vzamemo samo levi bit: 1 in dobimo svojih potrebnih 11 bitov. Preostali bit zavržemo.

Blockstream to izrecno določa: če zadnji met zagotovi več bitov, kot jih potrebujemo, obdržimo samo leve bite, potrebne za dosego 11 bitov.

15. Sedaj 11 bitov pretvorimo v decimalno številko

Naš primer je: 10001110101
Vsak položaj ima svojo vrednost:

Seštejemo samo vrednosti, kjer je bit 1: 1024 + 64 + 32 + 16 + 4 + 1 = 1141

Torej: 10001110101 = 1141

16. Sedaj poiščemo BIP39 besedo

BIP39 vsebuje: 2048 besed
od indeksa: 0 do: 2047
Če imamo: 0 → abandon in: 2047 → zoo potem je naša beseda: 1141 → modify

Število, ki ga dobimo določa eno točno določeno besedo. Če uporabljamo uradni BIP39 seznam na GitHubu, je treba paziti: BIP39 indeks 0 = prva beseda

GitHub pa prikazuje številke vrstic od 1.
Zato: BIP39 indeks 1141 → 1142. vrstica.

To je pomembna podrobnost pri ročnem iskanju besed.
Uporabimo lahko tudi spisek besed na Binary Words Table

17. Sedaj naredimo besedo št. 2

Zdaj ne nadaljujemo z ostanki prejšnje besede. Začnemo znova.
Vržemo kocko ali več njih. Ponovimo postopek kot pri prvi besedi in zbiramo bite, dokler jih ni: 11.
Nato: 11 bitov → decimalna številka → BIP39 beseda

18. To ponavljamo za

…
3. besedo
4. besedo
5. besedo
…
23. besedo

Pri 24. besedi pa se postopek nekoliko spremeni.

 19. Zakaj imamo pri 24. besedi problem?

To je ključni del. Pri 24-besednem BIP39 seedu potrebujemo: 256 bitov entropije.
Če bi 24 besed × 11 bitov: 24 × 11 = 264

Imamo: 264 bitov
Od tega: 256 bitov = naša naključnost in: 8 bitov = checksum (številka za preverjanje veljavnosti)
Torej: 256 + 8 = 264  Točno 24 × 11.

20. Kako pridemo do 24 besede?

Tukaj si pomagamo z strojno denarnico. Bitbox02, JADE in SeedSigner nam pomaga izračunati 12/24 besedo. Ko vnesemo vseh 11 ali 23 naključno pridobljenih z metanjem kock je 12 ali 24 izračunana z izbranimi 3 biti in izračunana z SHA256 algoritmom ter izpisana na zaslonu strojne denarnice.

21. Zdaj imamo svojih 12/24 besed

V javnem primeru dobimo:

 To je javni demonstracijski primer, objavljen v vodiču. Nikoli ga ne uporabljajte za dejanski Bitcoin wallet, ker je javno znan.

22. Končni »javni« primer

Torej je celoten demonstracijski recovery phrase:

reward symptom rude hamster wide weekend camera reward pride roof weather keep ritual ocean rib wing board potato whisper weasel chunk rival obvious clean

Še enkrat:

⚠️ TO NI VAŠ SEED.

Ta seed je javno objavljen v tehničnem vodiču in ga zato ne smete uporabiti za hranjenje bitcoinov. Njegov namen je samo pokazati, kako se celoten postopek izvede.

24. Zakaj je vrstni red besed tako pomemben?

Zelo pomembno: reward symptom rude ... ni isto kot: symptom reward rude ...
Tudi če imamo popolnoma iste besede, je drugačen vrstni red: popolnoma drug wallet.

BIP39 uporablja vrstni red kot del podatka. Zato moramo besede vedno zapisati: 1, 2, 3, 4 ... 24

25. Najpomembnejša razlika glede običajnega hardware walleta

Pri običajnem ustvarjanju:

Hardware wallet
↓
RNG – zaupamo proizvajalcu, da je vse ok
↓
256 bitov
↓
BIP39
↓
24 besed 

Pri naši metodi:

🎲 KOCKA
↓
256 bitov
↓
SHA-256 checksum - HWW
↓
264 bitov
↓
24 BIP39 besed

Računalnik ni ustvaril začetne naključnosti. Mi smo jo.

26. In to je bistvo "verifiable entropy"

Ko hardware wallet ustvari seed, moramo zaupati, da je njegov generator naključnih števil deloval pravilno. Pri kocki pa lahko sami opazujemo vir naključnosti.

Seveda še vedno obstajajo tveganja:

• slaba kocka,
• človeška napaka,
• napačen zapis,
• kompromitiran računalnik (ki ga ne priporočamo)
• napačen checksum,
• napačna hramba seeda.

Zato fizična entropija ni "čarobna rešitev".

Je pa način, kako zmanjšamo eno pomembno točko zaupanja: zaupanje v RNG naprave. Self Custody Labs prav zaradi tega opisuje fizično generiranje seeda kot preverljivo naključnost.

27. Zelo pomembno: tega javnega primera ne uporabljajte

Še enkrat, ker je to najpomembnejše:

Javni primer: reward symptom rude hamster ... clean

je popolnoma neuporaben za pravi wallet.

Zakaj?

Ker ga lahko vsakdo prebere. Če na ta wallet nakažete Bitcoin, ga lahko nekdo drug obnovi in sredstva porabi.

28. Kako bi to naredili za svoj pravi wallet?

Pri pravem walletu:
1. Pripravimo zasebno okolje.
2. Vzamemo kakovostno D6 kocko.
3. Vsak met takoj zapišemo.
4. Vsak rezultat pretvorimo:
1 → 00
2 → 01
3 → 10
4 → 11
5 → 0
6 → 1
5. Za vsako besedo zbiramo 11 bitov.
6. Naredimo 12/24 vrstic.
7. Po 23 polnih vrsticah imamo 253 bitov.
8. V 24. vrstico zapišemo checksum besedo pridobljeno iz strojne denarnice
9. Skupaj imamo 256 bitov.
10. Vse 24 števil imamo pretvorjene v BIP39 besede.
11. Seed preverimo offline.
12. 24 besed zapišemo na trajen fizični backup.
13. Šele nato obvezno uničimo VSE začasne zapise.

!!!! Priporočamo da testirate backup na napravi. Pošljite res majhen znesek na svojo denarnico, izbrišite/povrnite denarnico na tovarniške nastavitve in naredite postopek obnovitve iz zapisanega backupa. Če so sredstva še vidna na strojni denarnici je z semensko frazo vse OK in imate vse pravilno zapisano ter generirano !!!!

30. Ena zelo pomembna podrobnost pri shranjevanju

Med postopkom imamo na papirju ogromno občutljivih informacij:
·         256 bitov,
·         decimalne indekse,
·         BIP39 besede,
·         končni seed.

Vse to je praktično enakovredno ključu do denarnice.

Ko je končni seed pravilno prenesen na trajni backup in preverjen, priporočamo trajno in popolno uničenje začasnih papirnih zapisov!!!!

Nikoli:
❌ fotografirati
❌ skenirati
❌ shraniti v cloud
❌ poslati po e-mailu
❌ vnesti v spletni generator

Blockstream izrecno opozarja, naj recovery phrase NIKDAR in NIKOLI ne vnašamo v spletne strani ali nezaupanja vredne naprave.

31. Celoten postopek v eni tabeli

⚠️ ZADNJE OPOZORILO

Ročno ustvarjanje Bitcoin seeda je napreden postopek.
Največja prednost je: naključnost lahko ustvarimo sami in ni odvisna samo od RNG-ja hardware walleta.

Največja nevarnost pa je: človeška napaka.
Če se zmotimo pri enem samem bitu, besedi ali vrstnem redu, lahko dobimo popolnoma drug wallet.

Zato je zelo pomembno, da najprej celoten postopek preizkusimo z nepomembnim/testnim walletom in šele potem razmišljamo o uporabi za večje zneske.

🔐 BITCOIN WALLET

In ravno zato je metoda tako zanimiva.
Ne gre za to, da bi bila kocka "bolj napredna" od hardware walleta.
Ravno nasprotno. Kocka je primitivna, preverljiva in ne potrebuje firmwarea.

Hardware wallet lahko še vedno uporabimo za varno podpisovanje transakcij.
Toda začetno naključnost smo ustvarili sami.
In to je bistvo: Don't trust. Verify.

Uradni viri

Blockstream – Generate a Recovery Phrase With a D6 Die

Blockstream – Generate Recovery Phrase Words from the Real World

Self Custody Labs – Generate Your Own Bitcoin Seed Phrase with Dice

Opomba: javni 24-besedni primer iz tega vodiča je namenjen izključno demonstraciji in ga nikoli ne uporabljajte za dejanska sredstva.

Članke in prevode za blog na spletni strani pišejo različni člani, podporniki in skupine posameznikov v Bitcoin društvu Slovenije in ne pomenijo nikakršnih finančnih nasvetov. Vsak ima svoj pogled na samo tehnologijo, bitcoin in obstoječe sisteme. Društvo samo nudi opcijo, da delijo svoj pogled z večjim številom ljudi ter, da dobijo kakšen komentar oziroma odziv na svoje mnenje. Našemu društvu se lahko pridružite na bitcoin.si, telgram skupini oziroma skupini Kriptovalute — Slovenska Blockchain Skupnost — Bitcoin.si na Facebooku.