Esto se hace con javascript. Y el navegador, ¿de dónde saca el javascript? Ah, se lo baja de blockchain.info. ¿Qué pasa si un hacker o un "hacker"(*) modifica el javascript para que tan pronto metas la contraseña, las claves privadas se envíen a algún sitio? ¿Qué pasa si esto solo se hace una de cada, pongamos, 20 veces? Sería muy difícil de detectar pero no dejaría de ser un agujero en toda regla.

O también, las claves privadas me parece que también se generan en el navegador con un js de bc.i. También pueden modificar este para que las claves no tengan una entropía de 256 bits sino "alguno" menos y sean fácilmente crackeables.


(*) Lo siento piuk si lees esto, pero estoy un poco escarmentadete hoy .