Não precisa
confiar.
Você pode provar.

Do lacre ao vencedor, em quatro etapas. É o mecanismo real, o mesmo que a conferência acima refaz.

1. 01 · Antes do sorteio

   O lacre vem primeiro

   Quando a campanha nasce, o sistema gera uma chave secreta e publica só o SHA-256 dela. Esse compromisso fica travado antes da primeira cota ser vendida, então ninguém escolhe a chave depois de saber quem está disputando.

2. 02 · Quem disputou

   A lista entra na conta

   No encerramento, os títulos vendidos viram um manifesto público em ordem crescente. O SHA-256 desse manifesto é o segundo ingrediente: mexer em quem disputou mudaria o resultado, e a lista fica à vista.

3. 03 · O cálculo

   Uma conta, não um clique

   O vencedor sai de HMAC-SHA256 entre a chave secreta e o manifesto, lido como número e reduzido pelo tamanho do bolo. Mesmas entradas, mesmo resultado, sempre. Não existe botão de escolher ganhador.

4. 04 · Você confere

   A chave é revelada

   No resultado, a chave secreta é publicada. Aí dá para conferir que ela bate com o lacre do começo, que o manifesto é o de quem comprou, e que a conta leva exatamente ao número anunciado.

O verificador apenas refaz o cálculo com os dados publicados. Não existe passo de escolher vencedor.