十六进制私钥 → 全部格式、地址与 WIF

本页计算了什么

这是整套工具的总计算器。你给它一个 256 位整数 —— 私钥 k —— 它就给出这个整数的全部标准表示形式、两种 WIF 字符串、两种公钥序列化、背后的椭圆曲线点、两个 hash160 承诺值，以及十个地址（主网 5 个、测试网 5 个）。

本页一切都只是 k 的纯函数。没有种子、没有口令、没有服务器状态、没有任何网络请求。 两个人输入同样的 64 位十六进制数，在任何计算机上、任何时候得到的都是逐字节相同的结果。

1. 私钥：一个数字，多种写法

私钥不是文件、不是字符串、也不是一团随机字节。它是一个整数（标量），区分两把私钥的唯一 依据就是它的数值大小。你怎么把这个数字写下来，属于表示形式问题，而不是「不同的私钥」：

由于上面这些指的都是同一个数字，hex 与十进制之间的转换是无损、可逆的。而 Base64 和 WIF 混入了第二种 成分（原始字节，或者字节加版本号加校验和），所以它们不是「另一种进制」—— 详见第 4 节。

2. 为什么正好是 256 位，以及为什么 k 不能是 0 或 n

secp256k1 定义在 256 位素域上，由 G 生成的群是阶为 n 的循环群。于是出现三条 硬边界：

• k = 0 意味着 0 · G，即无穷远点。它没有 x、y 坐标，无法序列化成 公钥，所有校验器都会拒绝。
• k ≥ n 会绕回来：n · G = ∞，所以 (n+1) · G = G。一个等于 n + 1 的 32 字节数值看起来毫无异常，行为上却等同于私钥 1。
• 32 字节能装下的最大数 2256 − 1 不是合法私钥：它比 n 大。

最后两行之间的差额是 432420386565659656852420866394968145598，一个 39 位数。落在这个 区间里的私钥不会表现出任何异常，所以人们往往要等到某个校验器抛错才意识到问题。

3. 从数字到点：公钥

把生成元 G 乘以 k，得到曲线 y² = x³ + 7 (mod p) 上的点 P = (X, Y)，这就是公钥。它有两个坐标，因此有多种序列化方式，而选哪一种会改变之后所有的 地址。

压缩是无损的，因为 Y 可以从 X 完整恢复：方程 Y² = X³ + 7 恰好 有两个解 Y 与 p − Y，而它们的奇偶性必然相反。于是只需 1 个比特回答「取哪一个」， 这个比特就是 02/03 前缀。恢复过程有闭式解（因为 p ≡ 3 (mod 4)）：Y = (X³ + 7)(p+1)/4 mod p，若奇偶性不符再取负。

4. WIF：带网络标识与校验和的同一个私钥

WIF 意为 Wallet Import Format（钱包导入格式），本质是对一小段载荷做 Base58Check：

压缩：  0x80 ‖ k(32 字节) ‖ 0x01    → 34 字节载荷 → 52 个字符
非压缩：0x80 ‖ k(32 字节)           → 33 字节载荷 → 51 个字符
校验和 = SHA256(SHA256(载荷)) 的前 4 字节，编码前追加在末尾

5. hash160：20 字节的承诺值

对演示私钥，把中间值也列出来，绝无隐藏：

把公钥先哈希再放进地址，通常有两个理由。第一，缩短地址：20 字节代替 33 或 65 字节。第二，在链上给 公钥前面加一层哈希，于是从未花费过的地址可以一直隐藏自己的公钥 —— 这一点很重要，因为公钥正是 运行 Shor 算法的量子计算机可以直接攻击的对象。代价是 160 位承诺值的抗碰撞强度（约 2⁸⁰） 远低于曲线的 256 位安全强度，但仅靠碰撞并不能让攻击者花掉你的币。

6. 一个私钥，五个地址

五种主网地址类型都由同一个私钥算出。它们不是同一个值的五种编码：它们承诺的是不同的字节， 并且由不同的脚本决定能否花掉。

• C 与 U 是同一种脚本类型，只是承诺值不同。历史上两者都是标准形式；SegWit 之后 witness 程序只接受压缩公钥，如今几乎所有钱包都推导 C。U 之所以还存在，是因为 2009–2012 年间确实 有币被支付到它上面，而你至今仍必须能花掉那些币。
• S 是一层包装。那 22 字节脚本 0x0014 ‖ h160 是 redeemScript，P2SH 地址 承诺的是它的哈希。它存在的意义是让只认识 3… 地址的钱包也能支付进 SegWit。花费时会 暴露 redeemScript，之后的行为与 W 相同。
• W 是现代单密钥钱包的默认选择：地址本身就是 witness 程序，scriptPubKey 最短，前四种 里手续费最低。
• T 是完全不同的构造。x-only 内部公钥先用 TapTweak 调整；对演示私钥， tweak 是 bae9168523281e7f9e91d897a8d23f7ae6fe66d61854019dcb8abb5185e8fa4d，输出公钥是 dc07734d9b91d7231b8574b459ad8e65d8351c1c4930ad2e171447297bde59a3。Taproot 不会把公钥哈希成 20 字节值，这也是为什么纯 hash160 工具无法生成这类地址。

7. 校验和：防止手滑的最后一道防线

Base58Check 只能检错而不能纠错：它能告诉你打错了，但猜不出你本来想打什么。Bech32 还额外禁止大小写混用、限制总长 90 字符 —— 这两条纯粹是为了让抄写错误更容易被发现。

8. 测试网：同一个私钥，不同的前缀

测试网（以及 regtest／signet 用的地址格式）只是版本字节不同，密码学上毫无区别。演示私钥在测试网上：

注意 146ZNjH7… 和 micWfnN6… 承诺的是同一个 20 字节 hash160，只有版本字节 不同。把测试网币发到主网地址会得到一个「看起来很正常」的错误网络地址，不手工重新编码脚本就取不回来。 请把前缀当作付款指令的一部分，而不是装饰。

9. 完整实例演算

下表中每一个值都是本页用示例私钥 0824c314772b2c2859c889471390a36bf66e53a1ca1642f96f0f2c9307a171ca 实际算出来的。点「填入 示例」后，你看到的应该就是这些字符串。

10. 推导链上的下一步

• 十进制私钥 —— 同一个私钥写成 76 位十进制数。
• 二进制私钥 —— 同一个私钥写成 256 个比特，并标出位号。
• Base64 私钥 —— 针对那些把原始字节当文本导出的钱包。
• WIF → 私钥 —— 反方向，包含校验和验证。
• 私钥 → 压缩公钥 —— 把 P = k·G 这一步单独讲透。
• hash160 → 地址 与 Bech32 解码 —— 哈希之后发生的事。

11. 安全须知

• 靠熵，不靠小聪明。私钥必须来自密码学安全随机源、硬件随机数发生器或 BIP39 助记词。 人为挑的口令、时间戳、计数器，以及「看起来随机」的图案，全部是可枚举的。
• 地址复用是隐私泄漏。从某个地址花费会公开它的公钥，并把该私钥之后所有付款都关联到 你的身份上。现代钱包会为每一笔收款派生新地址（BIP32／44／84／86）。
• 核对地址要看原文，不要看截图。替换剪贴板内容的恶意软件就是在地址层面下手的，这是 当今自托管资产被盗最常见的路径。
• 测试网私钥不可公开。主网私钥的「测试网版本」是同一个标量，变的只是前缀。

12. 常见错误

• 以为只有一个地址。一个私钥产生 5 个主网地址和 5 个测试网地址；钱包只显示它被设计 用来显示的那一类。
• 该填 hex 的地方粘了 WIF。K…／5… 字符串是 Base58Check 编码，不是 hex，必须先解码（见 WIF → 私钥）。
• 丢掉前导零。把 0824c314… 写成 824c314… 会让每个字节错位 半个字节。本页会自动左补零，反而掩盖了这个错误 —— 请务必逐位比对 64 位字符串。
• 以为校验和通过就说明地址是你的。校验和只说明这串字符没被写坏。 1BgGZ9tcN4rm9KBzDn7KprQz87SZ26SAMH 是完全合法的地址，它的私钥就是 1， 而且早就被扫走了。
• 把公钥当成地址。地址承诺的是（编码后）公钥的哈希，或由它派生出的脚本／witness 程序。 转换是单向的。
• 把域素数 p 和曲线阶 n 搞混。坐标对 p = FFFF…FC2F 取模，私钥则落在 [1, n−1]，其中 n = FFFF…4141。

13. 速查表