O que realmente acontece com sua chave privada quando você toca em “Entrar com o Google” para abrir uma carteira de criptomoeda? Sua carteira “entrar com o Google” reconstrói a chave privada em seu dispositivo toda vez que você faz login. O Google nunca detém essa chave. O Google responde apenas a uma pergunta: esta pessoa é quem diz ser? Após isso, outro sistema assume o controle. Aqui está o que realmente acontece: Sua chave é dividida em 3 partes. Qualquer 2 reconstruem-na. Parte A: em seu dispositivo Parte B: bloqueada atrás do seu login, armazenada por eles Parte C: recuperação (senha, backup, outro dispositivo) Quando você toca em “Entrar com Google/Apple”: 1. O Google ou Apple verifica que é você e entrega ao seu aplicativo um token de login. 2. Seu aplicativo não envia cegamente esse token a um único servidor. Primeiro, ele envia um hash do token à rede de nós, aguarda até que suficientes nós o tenham reconhecido, e só então revela o token. Isso tem como objetivo impedir que um nó malicioso capture seu login e se disfarce como você. 3. Cada nó verifica o token por conta própria e retorna sua parte da chave de criptografia. 4. Mais da metade dos nós precisa ser honesta para que a chave de criptografia seja reconstruída. Gerar chaves totalmente novas é mais rigoroso: mais de três quartos dos nós precisam ser honestos. Seus documentos afirmam que escolheram esses limiares intencionalmente. Eles preferem que todo o sistema falhe a permitir que um ladrão reconstrua chaves. 5. Essa chave de criptografia desbloqueia a Parte B no armazenamento. 6. A Parte B, somada à Parte A, presente em seu dispositivo, reconstrói a chave privada real da carteira. Dois pontos em uma linha, chave no ponto de interseção. O nome técnico é interpolação de Lagrange. 7. Agora você pode assinar. Quando você faz logout, a chave reconstruída deve desaparecer. No próximo login, reconstrua-a novamente. Portanto, “sem frase semente” não significa sem chave. Significa que a rede de outra pessoa decide quando você recupera sua chave. Essa é a camada que falhou no recente ataque à Keplr. O Web3Auth afirma que o problema estava em sua própria infraestrutura e expôs chaves para algumas carteiras Google/Apple da Keplr. Login social é adequado para poeira de airdrop. Para dinheiro que você sentiria falta, use uma frase semente que você controle ou um dispositivo de hardware. Você ainda manteria dinheiro real em uma carteira com login social?