O que é entropia e como a Trezor gera a sua carteira

Por Equipe KriptoBR · Guia técnico · Atualizado em agosto de 2026

O que é entropia, de verdade

No dia a dia usamos “aleatório” de forma vaga. Em criptografia, o conceito é medido com precisão: entropia é a quantidade de imprevisibilidade de um número, contada em bits. Cada bit funciona como o lançamento de uma moeda honesta — cara ou coroa, 1 ou 0 — em que nenhum dos dois lados é mais provável que o outro.

A conta cresce de forma exponencial. Um bit oferece 2 resultados possíveis. Dois bits, 4. Oito bits, 256. E o número dobra a cada bit adicionado. Quando falamos de uma carteira gerada com 128 bits de entropia, estamos falando de 2¹²⁸ combinações possíveis — algo em torno de 340 undecilhões (um 3 seguido de 38 dígitos).

Para dar escala a esse número: mesmo que você reunisse todos os supercomputadores do planeta e os colocasse para adivinhar combinações sem parar, o tempo necessário para varrer esse espaço superaria em muitas ordens de grandeza a idade do universo. Não é uma senha “difícil”. É um alvo estatisticamente inalcançável — desde que a aleatoriedade original seja legítima. Toda a segurança repousa sobre essa condição.

Por que a entropia é o alicerce da sua carteira

Quando você cria uma carteira, a entropia gerada naquele instante origina as suas chaves privadas e a sua frase de recuperação (o backup de 12, 20 ou 24 palavras). Tudo o que existe depois é consequência determinística desse ponto de partida: os seus endereços, a sua capacidade de assinar transações e, no fim, o seu controle sobre os fundos.

A implicação é direta e às vezes desconfortável:

• Se a entropia é forte, as chaves são imprevisíveis. Ninguém consegue derivá-las sem o seu backup físico.
• Se a entropia é fraca, um atacante consegue recriar os mesmos números “aleatórios” que a sua carteira usou, calcular as suas chaves e esvaziar os fundos — sem nunca tocar no seu dispositivo. Ele não precisa alcançar a sua chave; basta reconstruí-la.

Por isso a entropia é a camada mais fundamental de todas. Você pode ter a melhor senha, guardar o backup em aço dentro de um cofre e nunca conectar o dispositivo a um computador infectado — e ainda assim estar exposto se as palavras nasceram de um gerador ruim. É um risco que não aparece na tela, não gera alerta e não pode ser corrigido depois: ou o sorteio inicial foi bom, ou não foi.

Onde mais a aleatoriedade sustenta a sua segurança

Vale entender que entropia não é um assunto exclusivo de cripto. Boa parte da segurança digital que você usa sem perceber depende dela. Toda vez que o seu navegador abre um site com o cadeado (HTTPS), ele gera chaves de criptografia aleatórias só para aquela sessão. Se essas chaves fossem previsíveis, alguém no meio do caminho poderia interceptar a conexão e ler tudo o que você faz.

O mesmo vale para aplicativos de banco, sistemas de login, tokens de autenticação e até os links de redefinição de senha que chegam por e-mail. Todos assumem que existe uma fonte de aleatoriedade de qualidade por baixo. A diferença, no universo cripto, é que aqui não há botão de “recuperar acesso”: uma falha de entropia não gera um inconveniente reversível, gera perda definitiva.

TRNG, CSPRNG e PRNG: os três tipos de gerador

Nem todo “gerador de números aleatórios” nasce igual. Existem três categorias, e a diferença entre elas é exatamente o que separa uma carteira segura de um desastre anunciado.

TRNG — Gerador de Números Verdadeiramente Aleatórios

Um TRNG (True Random Number Generator) extrai aleatoriedade de fenômenos físicos: ruído térmico em um circuito, minúsculas variações de tempo, flutuações elétricas imprevisíveis. A saída é genuinamente não determinística — ainda que alguém conhecesse o sistema inteiro em detalhes, não conseguiria prever o próximo número. É a matéria-prima de mais alta qualidade para gerar chaves.

CSPRNG — Gerador Pseudoaleatório Criptograficamente Seguro

Um CSPRNG pega uma pequena quantidade de entropia verdadeira e a “estica” em uma sequência longa de bits com aparência aleatória, adequada para uso criptográfico. É rápido e confiável — com uma condição inegociável: precisa ser alimentado (a expressão técnica é “semeado”, do inglês seeded) por uma semente de altíssima qualidade, vinda de um TRNG. Se a semente for fraca ou previsível, toda a saída herda essa fragilidade, por mais sofisticado que seja o algoritmo.

PRNG — Gerador Pseudoaleatório comum

Um PRNG simples prioriza velocidade em vez de segurança. É determinístico e previsível — perfeitamente adequado para simulações, jogos e efeitos visuais, e totalmente inadequado para gerar chaves criptográficas. Usar um PRNG comum para criar uma seed é o tipo de erro que, como veremos adiante, já custou centenas de carteiras.

Como a Trezor gera entropia forte

A decisão de projeto mais importante da Trezor nesse ponto é simples de enunciar e poderosa na prática: nunca depender de uma única fonte de entropia. Ao criar a sua carteira, o dispositivo Trezor combina a aleatoriedade gerada pelo seu próprio hardware com a aleatoriedade fornecida pelo sistema operacional do computador ou celular ao qual está conectado.

A vantagem dessa abordagem multifonte é a redundância. As fontes são misturadas de forma que a saída final é tão forte quanto a melhor delas, não tão fraca quanto a pior. Se uma fonte apresentar uma falha — um defeito de fabricação, um bug, uma implementação ruim no host — as demais continuam entregando aleatoriedade genuína, e a seed resultante permanece segura. Para prever as suas chaves, um atacante precisaria comprometer todas as fontes ao mesmo tempo, o que é uma barreira muito mais difícil de superar do que atacar um único ponto.

É por isso que a arquitetura importa tanto quanto a qualidade individual de cada componente. Não se trata só de ter um bom TRNG; trata-se de garantir que nenhum componente isolado seja capaz de comprometer o resultado.

Fontes de entropia por modelo Trezor

Cada geração de dispositivo Trezor adiciona novas fontes independentes ao conjunto. Quanto mais recente o modelo, mais camadas de aleatoriedade se combinam na criação da carteira. A tabela abaixo mostra a progressão:

Nos modelos Model One e Model T, duas fontes se combinam: a entropia do computador ou celular e o TRNG de hardware embutido no microcontrolador STM32. Já nos Safe 3 e Safe 5, entra uma terceira fonte independente — o Secure Element Optiga, um componente dedicado à segurança que também protege o PIN e as operações sensíveis do dispositivo.

O Trezor Safe 7, geração mais recente, adiciona uma quarta fonte: o chip TROPIC01, um elemento seguro de arquitetura aberta e auditável. São quatro fontes independentes se somando no momento em que a sua carteira nasce — o maior número de camadas de entropia de toda a linha.

Da entropia à sua carteira: o passo a passo

Entendida a origem da aleatoriedade, vale ver o caminho completo, do sorteio inicial até você conseguir receber o seu primeiro bitcoin. É mais simples do que parece:

1. O seu Trezor combina as várias fontes de entropia e produz um número aleatório — a semente bruta.
2. Esse número é convertido, por um padrão aberto, na sua frase de recuperação: as 12, 20 ou 24 palavras que você anota no papel ou grava em aço.
3. A partir desse mesmo número, o dispositivo deriva de forma determinística todas as suas chaves privadas e todos os seus endereços.
4. Como o processo é determinístico, a mesma frase de recuperação sempre reproduz exatamente a mesma carteira — em qualquer dispositivo compatível.

É exatamente por isso que o seu backup é capaz de restaurar tudo: ele carrega, em forma de palavras legíveis por humanos, a aleatoriedade que gerou a carteira inteira. Perca o dispositivo, quebre-o, deixe-o cair no mar — com a frase de recuperação em mãos, você reconstrói cada endereço e cada centavo. E é também por isso que proteger fisicamente essas palavras é a sua única responsabilidade real: a Trezor cuida da geração da entropia; guardar o resultado é com você.

Por que você nunca deve inventar a própria seed

Uma dúvida comum entre usuários mais avançados: “e se eu escolher as minhas próprias palavras, em vez de deixar o dispositivo gerar?”. A resposta curta é não faça isso — e a razão é matemática, não capricho.

O cérebro humano é uma máquina de encontrar padrões, e isso nos torna péssimos em evitá-los. Décadas de pesquisa em segurança mostram que, quando tentamos ser aleatórios, gravitamos em direção a datas, nomes, sequências de teclado e combinações que “soam aleatórias” — mas que, na verdade, saem de um conjunto minúsculo de possibilidades. Você acredita estar sendo criativo e imprevisível; estatisticamente, está escolhendo dentro de um espaço muito menor do que imagina.

Atacantes conhecem bem esses padrões. Eles sabem quais palavras as pessoas preferem, quais combinações parecem “aleatórias” para a mente humana e por onde começar a busca. Uma frase de recuperação escolhida por uma pessoa tem drasticamente menos entropia do que uma gerada por hardware dedicado — e é justamente essa diferença que separa o inalcançável do adivinhável.

Quando a entropia falha: o caso Milk Sad

Isto não é teoria. Em julho de 2023, pesquisadores de segurança revelaram uma falha crítica no Libbitcoin Explorer (a ferramenta de linha de comando bx), usada para gerar carteiras Bitcoin. A vulnerabilidade ficou conhecida como “Milk Sad” porque as frases de recuperação previsíveis que a ferramenta produzia começavam, com frequência, pelas palavras “milk sad”.

O problema estava exatamente onde este artigo alertou: o gerador de números não era aleatório de verdade. A ferramenta usava um PRNG comum — um algoritmo rápido, do tipo pensado para jogos e simulações — no lugar de um gerador criptograficamente seguro. Pior: ele partia sempre do mesmo ponto previsível, baseado apenas no segundo que o relógio do computador marcava no momento da criação.

Traduzindo o estrago: como só havia um número limitado de “segundos” possíveis como ponto de partida, um atacante podia simplesmente testar todos eles, recriar as mesmas seeds “aleatórias” e, ao encontrar uma correspondência, obter a chave privada. Não foi preciso invadir nenhum dispositivo — bastou reconstruir a fraqueza.

A lição do Milk Sad é a melhor defesa possível do modelo multifonte. Quando você combina várias fontes independentes de aleatoriedade, um único componente fraco não é capaz de comprometer a carteira — as outras fontes seguram a barra. Foi precisamente a ausência dessa redundância que transformou um bug em uma onda de roubos. (Quem quiser se aprofundar no caso pode consultar o material técnico público em milksad.info.)

Entropy Check: verificando que a aleatoriedade é real

Uma objeção legítima surge aqui: “como eu sei que a entropia do meu Trezor não tem um backdoor, uma porta dos fundos escondida?”. A resposta tem dois pilares.

O primeiro é a transparência. A Trezor é open-source: firmware, projeto de hardware e bootloader são públicos e podem ser auditados por qualquer pessoa. Pesquisadores independentes examinam esses componentes com regularidade e publicam suas conclusões. Segredo e segurança, nesse mundo, raramente andam juntos — e a Trezor aposta na primeira à custa do segundo.

O segundo pilar é justamente o modelo multifonte. Como a carteira mistura a aleatoriedade do hardware do dispositivo com a do sistema operacional do host, um eventual atacante precisaria comprometer todas as fontes simultaneamente para conseguir prever as suas chaves. Além disso, dispositivos Trezor modernos oferecem um mecanismo de verificação de entropia (Entropy Check) durante a criação da carteira, que permite confirmar de forma criptográfica que a aleatoriedade usada realmente veio do dispositivo, e não de uma fonte manipulada.

Aplicando o mesmo princípio a senhas e passphrases

O raciocínio da entropia não fica só na seed. Ele vale para toda senha e toda passphrase que você cria — para o seu e-mail, para o gerenciador de senhas ou para a passphrase que adiciona uma carteira oculta ao seu Trezor. Comprimento ajuda, mas senhas criadas por humanos são muito mais previsíveis do que parecem: recorremos a palavras familiares, frases comuns e combinações que os atacantes testam primeiro.

Duas soluções resolvem isso ao devolver o sorteio para um processo genuinamente aleatório:

• Gerenciadores de senhas criam senhas de fato aleatórias usando geradores criptograficamente seguros — o mesmo tipo de sistema que o seu Trezor emprega. A aleatoriedade vem da máquina, não do seu cérebro.
• Diceware é a alternativa offline: você rola dados físicos para sortear palavras de uma lista padronizada. Cada palavra adiciona cerca de 12,9 bits de entropia, e a aleatoriedade vem dos dados, não da sua intuição. É um método elegante para gerar senhas e passphrases fortes sem depender de nenhum computador.

Resumo prático

• Entropia é a aleatoriedade que dá origem às suas chaves privadas. A sua frase de recuperação nada mais é do que essa aleatoriedade codificada em palavras.
• A segurança começa no sorteio inicial. Entropia fraca torna as chaves previsíveis, e nenhum cuidado posterior corrige isso.
• Existem três tipos de gerador — TRNG (real), CSPRNG (amplificação segura) e PRNG (só para jogos). Chave privada exige os dois primeiros, nunca o terceiro sozinho.
• A Trezor usa múltiplas fontes independentes de hardware e software: 2 no Model One/T, 3 no Safe 3/5 e 4 no Safe 7. Uma falha isolada não compromete a carteira.
• Nunca invente a própria seed. O cérebro humano é previsível; deixe a geração com o dispositivo.
• O caso Milk Sad prova que a ameaça é real — e que o modelo multifonte é a defesa certa contra esse tipo de falha.
• A sua responsabilidade é proteger o backup físico. A entropia, a Trezor resolve.

Perguntas frequentes