BIP39 助记词 → BIP32 子私钥

本页计算了什么

它把一句话的 BIP39 助记词加上可选的 passphrase 变成 512 位种子，然后沿着 BIP32 派生路径一层层走下去， 直到落在一个真实可用的私钥上——这个私钥同时带有 WIF、公钥、hash160 和地址。这里没有任何缓存：本页显示的每一个 数字都是用你输入的文本重新算出来的。

1. BIP39：128–256 位熵是怎么变成单词的

BIP39 助记词是「随机数」的一种人可以抄写的编码方式。编码流程是：

1. 从密码学安全的随机源取 ENT 位熵，其中 ENT ∈ {128, 160, 192, 224, 256}。
2. 令 CS = ENT / 32，取 SHA-256(熵) 的前 CS 位，这几位就是校验和。
3. 拼接：总共 ENT ‖ CS 位。
4. 把这个比特串按 11 位一组切开。每组是一个 [0, 2047] 的整数，也就是 2048 词词表的下标（2¹¹ = 2048，这正是每组 11 位的原因）。
5. 按顺序写出单词，用单个空格连接。

有两个设计细节值得欣赏。第一，校验和不是单独一个单词：它被粘在熵的尾部，因此只有持有词表的人才能验证它。 4 位校验和能查出全部单词级错误，按 BIP 的说法也几乎能查出全部两词错误；钱包拒绝你的短语，通常就是在拒绝校验和。 第二，词表被设计成任意两个单词的前四个字母都不同 —— abandon、ability、 able、about……前四个字母就足以区分。这让短语对手写错误更鲁棒，允许钱包接受四字母缩写， 也使得每个单词的后三个字母在消歧上是冗余的。

最后一列解释了为什么 24 个词不是「24 个自由的词」：最后一个词必须承载 8 位校验和，只剩下 3 位真正的选择空间， 所以给定前 23 个词，最后一个词只有 8 个合法候选。因此「校验和失败」是一个很强的信号 —— 而这恰恰是本服务器 无法给出的信号。

2. BIP39 种子：PBKDF2，以及为什么从不直接哈希单词

助记词不是密钥。它是通过 PBKDF2-HMAC-SHA512 被拉伸成种子的，passphrase 在这里扮演盐的角色。 下面每个参数都由规范固定，正因如此，两个钱包在同样的单词和同样的 passphrase 下必然得到相同结果：

需要明确种子不是什么：它不是私钥，不是 BIP32 密钥，本身也不是钱包备份。它只是下一步的输入。 还要注意依赖方向：助记词决定种子，种子决定其下所有密钥，而没有任何东西能从种子反推出助记词 （HMAC-SHA512 是单向的）。

3. BIP32：主密钥、链码，以及 CKD 派生函数

BIP32 用一次 HMAC-SHA512 建立树根，此后每层一次调用，把 64 字节种子变成一棵密钥树：

链码 c 是 32 字节的额外「准秘密」熵，它跟着树上的每一个密钥一起传递，并被混进 每一次 HMAC。它不是能用来花钱的密钥，但它并不是公开信息：任何同时拿到链码与父公钥的人，都能推导出该父节点下 所有非硬化子公钥。每一步 CKDpriv 都是：

其中 ser256 是 32 字节大端私钥，serP 是 33 字节压缩公钥，而路径里的撇号 就是 i + 2³¹。子密钥是通过对 n 取模的标量相加得到的，这一步之所以安全， 是因为曲线上的恒等式 (a+b)·G = a·G + b·G。

4. 派生路径：BIP44、BIP49、BIP84、BIP86

BIP32 路径从左往右读，每一层都有约定含义。单密钥钱包的惯例是 m / purpose' / coin_type' / account' / change / address_index：

最后两层不硬化的意义在于：只读（watch-only）钱包可以只拿一个 xpub，就枚举出全部收款地址，完全不需要接触私钥。 这种便利的代价，正是上面描述的那种泄漏。

5. passphrase：所谓「第 25 个词」

BIP39 的 passphrase 既不属于词表，也不属于助记词 —— 它是 PBKDF2 的盐。对 24 词的助记词，人们叫它 第 25 个词，因为它的行为就像你必须凭记忆额外提供一个单词。由此产生三个推论，而它们每年都在毁掉资金：

• 不同的 passphrase 就是不同的钱包。 同样的 12 个词，passphrase 差一个字符，种子、所有密钥和 所有地址就全都不一样。不会有任何报错，也没有东西可供比对 —— 那个新钱包只是空的而已。
• 忘了它就等于全部丢失。 passphrase 不存放在任何地方；你的词表备份里没有它。找回它意味着 暴力搜索你自己的记忆，而且不存在任何客服渠道。
• 它并不是一个强口令 KDF。 2048 轮 PBKDF2-HMAC-SHA512 只是一道很矮的门槛；短或可猜的 passphrase 可以被离线攻破。

用得好，它确实有真实价值：一张被偷走的纸条会因此变得毫无用处。用得随意，它就是人们把自己锁在币门之外最常见的 原因。

6. 演示助记词的官方测试向量

输入框里的示例短语正是 BIP39 英文的第一条官方测试向量 —— 128 位全零熵的编码结果。官方为它配的 passphrase 是 TREZOR，这也是唯一一个能证明本页 PBKDF2 步骤正确的外部检查点：

把短语和 TREZOR 填进表单，就能现场复现它。请注意这条测试向量与校验和验证无关：PBKDF2 对任何字符串 都会成功，这恰恰就是本页开头所述的那个局限。

7. 实例演算：演示助记词走 m/44'/0'/0'/0/0

在 passphrase 留空的情况下，演示短语会产出下面这些真实的值（上方表单会对它们逐一重算）：

最后，用同样的十二个单词、同样的路径，演示 passphrase 存在的全部意义：

8. 常见错误

• 把真实助记词输入到网站里。 包括本页。一个网页对它可以做任何事。请使用硬件钱包自带的屏幕， 或你自己掌控的离线机器。
• 信任一个不校验校验和的钱包。 如果某个恢复工具默默接受了带拼写错误的短语 —— 就像本页因为 没有词表而不得不如此 —— 你可能最终盯着一个空钱包，然后以为币没了。
• 以为 passphrase 跟着助记词一起备份了。 按设计它没有。请单独记下来，或者干脆不用 —— 但必须是有意选择的结果。
• 把同一个 account 序号复用于不同用途。 account／change／address_index 是一套目录结构； 在不同标准之间复用序号，会把钱包看不见的密钥混在一起。
• 把各层概念混成一团。 BIP39 管单词；BIP32 管密钥树；BIP44/49/84/86 管路径约定； 每种地址标准又各自哈希自己那套公钥序列化。它们里没有任何一个等于「钱包」。
• 以为 2048 轮能保护弱 passphrase。 不能。安全性来自单词本身，passphrase 只是额外加了一层盐。

9. 速查表