种子短语

定义

助记词（也称为助记短语、恢复短语或备份短语）是由 12、15、18、21 或 24 个人类可读单词组成的有序序列，它编码了用于生成分层确定性 (HD) 加密货币钱包中所有私钥、公钥和地址的加密熵。助记词已根据BIP-39（比特币改进提案 39）进行标准化，它作为整个钱包的唯一主备份，能够在任何兼容的钱包软件或硬件设备上完整恢复所有相关资金和交易历史记录。

种子短语的根本创新之处在于它将一个随机二进制数（128 到 256 位熵）转换为人类可读的格式，这种格式可以记录、记忆或物理存储。如果没有 BIP-39，用户需要为他们生成的每个地址备份原始十六进制私钥——例如 `5Kb8kLf9zgWQnogidDA76MzPL6TsZZY36hWXMssSzNydYXYB9KF` 这样冗长且容易出错的字符串。而有了种子短语，只需一串常见的英文单词（例如 `army abandon ability able about above absent absorb abstract absurd abuse access`）即可通过 BIP-32 和 BIP-44 派生标准确定性地重新生成整个密钥树，包括尚未生成的密钥。

种子短语的安全模型基于信息论熵。一个 12 词的种子短语包含 128 比特的熵，提供 2^128（约 3.4 × 10^38）种可能的组合——这是一个天文数字，使得暴力破解攻击在计算上不可行。一个 24 词的短语提供 256 比特的熵（2^256 种可能性），使得任何可预见的技术，包括使用 Grover 算法的量子计算机（对于 256 比特的种子，这将使有效安全性降低到 128 比特），都无法进行暴力破解攻击。这些词选自精心整理的BIP-39 词表，该词表包含 2,048 个词，每个词的前四个字符都可唯一标识，以最大程度地减少转录错误。

起源与历史

2011年：确定性钱包的概念首次被提出，即单个种子可以生成一系列密钥对。早期实现使用的是1型确定性钱包，其功能有限，并且缺乏后来出现的层级结构。

2012年：Pieter Wuille撰写了BIP-32，定义了分层确定性（HD）钱包的规范。BIP-32阐明了如何使用父子链码系统，通过单个主种子生成完整的密钥对树，但它并未解决如何以人类可读的形式表示种子本身的问题。

2013年：SatoshiLabs （Trezor硬件钱包的开发者）的Marek “Slush” Palatinus和Pavol “Stick” Rusnak撰写了BIP-39，提出了用于生成确定性钱包的助记符代码标准。BIP-39定义了包含2,048个单词的英文单词列表、熵到助记符的转换过程，以及用于从助记符导出主种子的PBKDF2密钥拉伸函数。

2014年：Marek Palatinus和Pavol Rusnak也为BIP-44做出了贡献，该协议为确定性钱包建立了多账户层级结构。BIP-44定义了派生路径格式“m / purpose / coin_type / account / change / address_index”，使得单个助记词可以管理跨多个加密货币和账户的密钥。

2014-2016年：Trezor One和Ledger Nano S硬件钱包的普及，使得BIP-39助记词成为标准的钱包备份机制。用户被要求将24个单词的助记词写在设备附带的纸卡上——这一做法至今仍在沿用。

2017年：Electrum钱包采用了与BIP-39不兼容的助记词系统，使用了不同的词表和派生方案。这种碎片化凸显了标准化的重要性，同时也表明其他方法在技术上是可行的。

2019年：Adi Shamir于1979年提出的秘密共享方案（SSS）通过SLIP-39（SatoshiLabs改进提案39）被应用于种子短语备份。SLIP-39允许将种子分割成多个份额，恢复时需要达到一定的份额数量阈值（例如，5份中的3份），从而在不产生单点故障风险的情况下提供冗余。

2020年至今：随着加密货币社区意识到纸质备份易受火灾、水灾和老化影响，金属备份解决方案（钢板、钛胶囊和刻字金属卡）得到广泛应用。Cryptosteel、Billfodl和Blockplate等产品成为长期种子存储的标准推荐方案。

2023-2026 年：多方计算 (MPC) 钱包和社交恢复机制作为传统助记词的替代方案出现，Argent 和 Safe（前身为 Gnosis Safe）等项目实现了基于监护人的恢复机制，不再依赖单一助记词。尽管有这些创新，BIP-39 助记词仍然是业界的主流备份标准。

简单来说

1. 助记词就像一把万能钥匙，可以打开存放你所有贵重物品的建筑物。如果你失去了进入建筑物的权限（例如钱包设备损坏或应用程序被删除），你可以使用这把万能钥匙打开新的入口，找到所有你离开时的东西。如果没有这把万能钥匙，建筑物及其内部的所有物品都将被永久锁定。
2. 你可以把它想象成金库密码，只不过密码不是数字，而是单词。“army banana castle”比“7a3f9b2c8d1e”更容易记住和正确书写。这正是BIP-39发明的目的——将冗长复杂的数字转换成简单的单词列表。
3. 想象一下，你种下一颗特殊的种子，它会长成一棵拥有数百根独特枝干的大树。每根枝干都代表一个不同的加密货币地址。如果这棵树被毁，你可以再次种下同样的种子，一棵完全相同的大树就会重新长出来，所有枝干都一模一样。你的助记词就是这颗种子——它每次都能确定性地生成同一个钱包地址。
4. 这就像有一个食谱，每次都能做出同样的菜肴。如果你严格按照12个或24个“配料”的顺序来做，就能做出余额完全相同的钱包。只要改变一个词或者顺序，你就会得到一个完全不同的（空的）钱包。
5. 把助记词想象成你钱包的DNA。就像DNA包含了构建生物体所需的所有指令一样，你的助记词包含了从零开始重建你整个钱包——包括每个账户、每个地址和每个私钥——所需的所有信息。

重要提示：任何获得您助记词的人都将完全且不可逆转地访问您钱包中的所有资金。我们不提供客户支持、密码重置服务，也无法追回被盗资金。您的助记词必须安全地离线存储，切勿以任何数字方式共享——例如照片、电子邮件、云存储或连接到互联网的密码管理器。

关键技术特征

BIP-39 熵生成和记忆编码

生成助记词的过程始于加密随机数生成，并遵循一套精确的算法流程：

• 钱包会生成 128 位（12 个字）、160 位（15 个字）、192 位（18 个字）、224 位（21 个字）或 256 位（24 个字）的随机二进制序列（熵）。
• 对熵进行 SHA-256 哈希运算，并将哈希的前 `ENT/32` 位附加为校验和（例如，128 位熵使用 4 位校验和，256 位熵使用 8 位校验和）。
• 熵和校验和的组合比特被分成每组 11 比特。
• 每个 11 位组映射到 BIP-39 字列表中的 2,048 个字（2^11 = 2,048）中的一个。
• 最终得到一个由 12 到 24 个英文单词组成的有序序列，该序列编码了原始熵以及一个可验证的校验和。

种子密钥派生原理（BIP-32/BIP-44）

6. 用户的助记词被转换回熵，并且校验和得到验证。
7. 助记符字符串经过 PBKDF2-HMAC-SHA512 算法 2,048 次迭代，使用字符串“mnemonic”加上可选的密码短语作为盐值，生成一个 512 位的主种子。
8. 根据 BIP-32 协议，将主种子输入 HMAC-SHA512 算法，以导出主私钥（前 256 位）和主链码（后 256 位）。
9. 子密钥是使用 BIP-44 路径派生的：`m / 44′ / coin_type' / account' / change / address_index`
10. 对于比特币（coin_type = 0），第一个接收地址的路径为 `m/44'/0'/0'/0/0`；对于以太坊（coin_type = 60），则为 `m/44'/60'/0'/0/0`。
11. 每个派生步骤都使用父密钥和链码，通过 HMAC-SHA512 确定性地计算子密钥。
12. 这种层级结构允许使用单个助记词管理无限个账户，涵盖无限种加密货币。

BIP-39 词表

• 包含从常用英语词汇中精选的 2,048 个单词
• 每个单词都可以通过其前四个字符进行唯一识别（例如，“abandon”和“ability”的区别在于第三个字符）。
• 用词经过精心挑选，避免混淆：不使用同音词，不使用过短的词，不使用手写时看起来相似的词。
• 多种语言（英语、日语、韩语、西班牙语、简体中文、繁体中文、法语、意大利语、捷克语、葡萄牙语）都有词汇表，但英语词汇表是事实上的标准。
• 单词列表是静态且不可变的——不会添加或删除任何单词，从而确保向后兼容性。

可选密码短语（BIP-39“第25个词”）

• BIP-39 支持可选的口令（有时称为“第 25 个词”），该口令会修改 PBKDF2 盐值，从而生成完全不同的主种子，进而生成完全不同的密钥和地址集。
• 密码短语提供了可信的否认机制：用户可以在胁迫下透露 12/24 个单词，同时保持密码短语的秘密，因为仅凭这些单词就能创建一个有效的（但不同的、可能为空的）钱包。
• 密码短语并未编码在助记词中，也无法仅凭种子词恢复——如果忘记密码，关联的钱包将永久无法访问。
• 将助记词与不同的密码短语组合使用，可以在同一个助记词背后创建独立的“隐藏钱包”。

沙米尔的秘密分享（SLIP-39）

• 基于 阿迪·沙米尔 1979 年的密码算法SLIP-39 使用有限域上的多项式插值将种子分割成多个份额。
• 配置阈值方案（例如，2/3、3/5）：任何满足阈值的份额组合都可以重构种子，但份额过少则不会泄露任何关于原始密钥的信息。
• 每个份额都被编码为 SLIP-39 词表（与 BIP-39 不同）中 20 或 33 个单词的单独序列。
• 消除单点故障风险：股票可以存储在不同的地理位置（银行金库、值得信赖的家庭成员、律师事务所）。
• Trezor Model T 和兼容的钱包软件原生支持。

优点缺点

优势	缺点
通用恢复只需一个助记词，即可在任何兼容 BIP-39 的钱包应用程序或硬件设备上恢复整个钱包——包括所有账户、所有地址和所有余额。	单点故障如果助记词丢失、被盗或损毁且没有备份，所有关联资金将永久且不可逆转地无法取回。
人类可读的格式常用英语单词比十六进制私钥更容易转录、验证和存储，从而显著减少备份错误。	物理安全负担用户需自行负责保护可能存放其毕生积蓄的纸质或金属文件，没有任何机构提供保障或保险。
跨平台兼容性BIP-39 几乎受到所有主流钱包（Ledger、Trezor、MetaMask、Trust Wallet、Exodus、Electrum）的支持，从而实现了平台间的平滑迁移。	网络钓鱼漏洞社会工程攻击和虚假钱包应用程序经常诱骗用户输入助记词，导致资金立即被全部盗走。
确定性推导同一个种子始终生成相同的密钥，确保跨时间和设备实现一致的恢复，无需依赖服务器备份或云同步。	无部分恢复与多重签名设置不同，标准助记词要么全部有效，要么全部无效——如果某些词丢失或损坏，则无法恢复部分访问权限。
校验和验证内置校验和可检测转录错误（大约每 16 个无效词序列中会检测到 1 个），提供基本的错误保护。	继承复杂性将加密财富传承给继承人需要安全地转移助记词，这会带来传统金融资产所不存在的安全风险和法律纠纷。
通过密码短语实现扩展可选的密码短语功能在不修改核心助记词标准的情况下，提供了一层额外的安全保障和可信的否认能力。	熵质量依赖性整个钱包的安全性取决于初始随机数生成质量；熵值较低的随机数源可能会生成容易猜测的助记词。
多货币支持通过 BIP-44 推导路径，一个助记词即可同时管理比特币、以太坊和数百种其他加密货币的密钥。	用户责任过重非技术用户往往无法妥善保管助记词，导致整个生态系统中数十亿美元的加密货币永久丢失。

风险管理

盗窃和未经授权的访问

• 以数字格式（屏幕截图、电子邮件、云端笔记、密码管理器）存储的助记词容易受到黑客攻击、恶意软件感染和数据泄露。
• 缓解措施：仅将助记词存储在安全位置的物理介质（纸张、金属）上；切勿在任何连接到互联网的设备上输入助记词；使用硬件钱包，确保助记词永远不会暴露给主机。

物理破坏

• 纸质备份容易受到火灾、洪水、紫外线照射和意外损坏的影响。
• 缓解措施：使用耐火防水的金属备份解决方案（例如，耐温 1,400°C 的 Cryptosteel 胶囊，耐温 1,200°C 的 Billfodl）；将重复备份存储在地理位置分散的地方；考虑使用 SLIP-39 Shamir 共享实现分布式冗余。

社会工程学和网络钓鱼

• 攻击者创建虚假的钱包恢复页面、客服聊天机器人和移动应用程序，这些程序会要求用户提供助记词。
• 任何正规的钱包、交易所或客服人员都不会索要您的助记词。
• 缓解措施：教育所有钱包用户，助记词请求始终是欺诈行为；将官方钱包网址添加至收藏夹；通过官方应用商店列表和校验和验证来验证钱包应用的真实性。

记忆和转录错误

• 用户可能会错误地书写单词，顺序错误，或者完全漏掉单词。
• 缓解措施：创建助记词后立即在同一设备上执行测试恢复来验证助记词；使用 BIP-39 校验和验证助记词；用永久性墨水清晰地将助记词写在提供的备份卡上。

遗产和继承规划

• 如果助记词持有者死亡或丧失行为能力且未共享备份访问权限，则相关资金将永久丢失。
• 缓解措施：使用分配给受信任的家庭成员和法定代表人的 SLIP-39 Shamir 共享密钥；在律师处保存的遗产规划文件中加入助记词恢复说明；考虑使用多重签名钱包，由多个参与方持有独立的密钥。

针对硬件钱包的供应链攻击

• 被入侵的硬件钱包可能会使用弱化的随机数生成器生成可预测的助记词。
• 缓解措施：仅从官方制造商处购买硬件钱包；使用认证证书验证设备完整性；使用掷骰子生成自己的熵，并手动转换为 BIP-39 字，以实现最高安全性的设置。

文化相关性

助记词已成为加密货币时代最具文化意义的象征之一。它代表了区块链技术所承诺的彻底的自主权，以及随之而来的巨大责任。“私钥不在你手里，币就不是你的”这句谚语与助记词的概念密不可分，因为助记词是加密密钥所有权的最终体现。

“我必须强调：务必记下你的助记词并妥善保管。切勿以任何形式存储。切勿拍照。切勿上传到云端。一旦丢失，无人能助你找回。”——安德烈亚斯·M·安东诺普洛斯，《精通比特币》作者

加密货币社区充斥着关于丢失助记词的警示故事。威尔士纽波特的詹姆斯·豪厄尔斯（James Howells）就曾因丢弃装有8,000枚比特币（按峰值价格计算价值超过500亿美元）的硬盘而臭名昭著，他花了数年时间试图说服当地议会允许他挖掘垃圾填埋场来回收这块硬盘。程序员斯特凡·托马斯（Stefan Thomas）也曾因忘记密码而无法访问存储在IronKey硬件设备上的7,002枚比特币，该设备设置为在10次密码错误后自动擦除数据。这些故事已成为加密货币领域的传奇，也强化了助记词管理的重要性。

在设置钱包时记下助记词已成为加密货币用户的重要仪式。Trezor 和 Ledger 等硬件钱包制造商会在包装内附赠专用恢复卡，而加密货币社区也针对助记词的存储制定了周密的安全措施——从防火保险箱到银行金库，再到埋在秘密地点的金属板。“将助记词刻在钢铁上”已成为认真对待加密货币安全的代名词。

另一方面，助记词钓鱼已成为加密货币领域最猖獗的攻击手段之一。诈骗分子在社交媒体上冒充钱包客服，创建虚假的浏览器扩展程序，甚至邮寄带有二维码的信件，这些二维码会将用户引导至窃取助记词的网站。用户安全意识与攻击者日益高超的手段之间的持续博弈，使得助记词安全成为一个持续存在的社会议题。

实际例子

13. Ledger硬件钱包恢复

• 场景： 用户的 Ledger Nano X. 硬件钱包掉入水中后发生物理损坏，导致设备无法使用，多个账户中存储了 3.5 个比特币和 15 个以太坊。
• 实施： 用户从存放在家中保险箱中的 Cryptosteel 胶囊中取出其 24 个单词的 BIP-39 助记词。他们购买了一台新的 Ledger Nano X，在设置过程中选择“从恢复短语恢复”，并按正确顺序输入所有 24 个单词。设备通过 PBKDF2 算法生成主种子，然后重新生成比特币和以太坊的所有 BIP-44 推导路径。
• 结果： 恢复后的钱包在几分钟内就收到了全部 3.5 个比特币和 15 个以太坊，以及完整的交易记录。BIP-32/44 密钥派生的确定性确保了每个地址和密钥都与原始设备完全一致。尽管硬件完全损坏，但资金并未丢失。

14. MetaMask 跨设备迁移

• 场景： 一位 DeFi 用户想要迁移他们的 MetaMask 通过桌面浏览器将钱包传输到移动设备，随时随地管理他们的 Uniswap LP 头寸和 Aave 借贷活动。
• 实施： 用户从 MetaMask 桌面版导出其 12 个单词的 BIP-39 助记词（设置 > 安全与隐私 > 显示秘密恢复短语）。在移动设备上，他们从官方应用商店安装 MetaMask，然后选择“使用秘密恢复短语导入”，并输入这 12 个单词。
• 结果： 移动版 MetaMask 钱包与以太坊账户共享相同的以太坊账户，并显示所有代币余额、NFT 和 DeFi 持仓。用户现在可以通过任一设备管理其投资组合。两台设备共享同一个种子，因此任何一台设备遭到入侵都会导致所有资金泄露。

15. Shamir Backup with Trezor Model T

• 场景： 一位持有价值 2 万美元加密货币的高净值投资者使用 特雷佐模型T 并希望实施分布式备份策略，以防止单点故障风险。
• 实施： 在设置钱包时，投资者选择 SLIP-39 Shamir Backup 而非标准的 BIP-39。他们配置了 3/5 阈值方案，生成五个独立的份额序列，每个序列包含 20 个单词。份额 1 存放在家中的保险箱中。份额 2 存放在银行的保险箱中。份额 3 由遗产律师保管。份额 4 交给一位值得信赖的家庭成员。份额 5 存放在另一处房产的防火箱中。
• 结果： 持有5份股份中的任意3份即可重建钱包，而持有少于3份股份则不会泄露任何关于种子的信息（信息论安全性）。即使任何一份股份被泄露，攻击者也无法访问资金。即使最多2份股份被销毁，仍然可以恢复资金。投资者的遗产规划指示继承人将律师、家庭成员和银行持有的股份合并。

16. BIP-39 可信否认口令

• 场景： 在担心资产被没收的司法管辖区，加密货币持有者希望保护自己的资产，同时维护一个看起来很合法的诱饵钱包。
• 实施： 用户生成一个标准的 24 字 BIP-39 助记词，并将其存储在金属备份上。如果没有密码，该助记词会生成钱包 A，其中存放少量加密货币（诱饵）。使用秘密密码“correct horse battery staple”，同样的 24 字助记词通过修改后的 PBKDF2 盐值生成钱包 B，其中存放大部分资金。该密码必须牢记，切勿写下来。
• 结果： 如果被迫透露助记词，用户会提供这 24 个单词。由此生成的钱包 (A) 显示了一个看似合理但金额不大的余额。如果没有助记词，钱包 B 的存在将无法被检测到，因为没有加密证据表明存在一个受助记词保护的钱包。这既提供了合理的否认空间，又保留了对主要资产的访问权限。

对比表

特性	BIP-39 种子短语	SLIP-39 沙米尔备份	琥珀金助记法	原始私钥备份
字数	12、15、18、21或24	每股 20 或 33	12 24或	N/A（十六进制字符串）
熵	128–256 位	128–256 位（分割）	132–264 位	每个密钥 256 位
单词列表大小	翻译词汇数：2,048	翻译词汇数：1,024	约 2,048（版本号前缀）	无
校验	SHA-256（最后 ENT/32 位）	RS1024 错误检测	基于版本的验证	没有
多币种	是的（通过 BIP-44 路径）	是的（通过 BIP-44 路径）	仅限比特币/莱特币	仅限单个地址
冗余	单份（不拆分）	阈值方案（例如，5 分之 3）	单份（不拆分）	每把钥匙仅一份副本
支持密码短语	是的（可选的第25个词）	是的（每份股份的密码短语）	没有	无
硬件钱包支持	通用（Ledger、Trezor 等）	Trezor Model T 仅限	仅限 Electrum 钱包	大多数钱包（进口）
部分损失后的恢复	不可能	是的（如果达到阈值）	不可能	无

常见问题解答

来源

• BIP-39：用于生成确定性密钥的助记符代码 – https://github.com/bitcoin/bips/blob/master/bip-0039.mediawiki
• BIP-32：分层确定性钱包 – https://github.com/bitcoin/bips/blob/master/bip-0032.mediawiki
• BIP-44：确定性钱包的多账户层级结构 – https://github.com/bitcoin/bips/blob/master/bip-0044.mediawiki
• SLIP-39：Shamir 的助记代码秘密共享方法 – https://github.com/satoshilabs/slips/blob/master/slip-0039.md
• BIP-39 英文词汇表 – https://github.com/bitcoin/bips/blob/master/bip-0039/english.txt
• 安德烈亚斯·M·安东诺普洛斯， 掌握比特币第二版，O'Reilly Media 出版社 – https://github.com/bitcoinbook/bitcoinbook
• Adi Shamir，“如何分享秘密”，ACM通讯（1979）– https://dl.acm.org/doi/10.1145/359168.359176
• Ledger学院：什么是恢复短语 – https://www.ledger.com/academy/crypto/what-is-a-recovery-phrase