BIP-39 Passphrase: 给助记词再加一道保险

Sat, 01 Aug 2026 10:00:00 +0000

过去一年, 安全事件一波接一波, COLDCARD 只是最新的一起。

7 月底, 一款硬件钱包的固件版本里, 生成助记词时随机数出了问题: 本该用硬件真随机源, 却在特定情况下悄悄回退到很弱的软件随机数。助记词只剩几十 bit 的熵, 攻击者直接推导出私钥, 41 分钟内卷走数千万美元。

看了这么多复盘, 我这一年最大的改变是: 不再无条件信任任何环节。固件可能悄悄回退、随机源可能变弱、供应链可能被投毒、AI 又把攻击门槛拉低了一大截——钱包安全链条上每一环都可能出问题。所以防线不能只有一道, 助记词也绝不能是唯一那道锁。

随机数是硬指标

这次攻击的根源, 不是助记词被偷拍, 而是它可以被重新计算出来。

一套 12 词助记词背后是 128 位随机数。128 bit 意味着 2 的 128 次方种可能, 正常情况下穷举到宇宙尽头也试不完。可一旦随机源只剩 40~72 bit 的熵, 攻击者只要知道某台设备那个时间窗口用的是弱随机源, 就能顺着同样的算法, 把生成助记词的过程重演出来。

这个区别很重要: 不是"泄露", 是"可推导"。任何"别告诉别人助记词"的提醒, 在这种情况下都失效了。

Passphrase 一定要加

那有没有一种东西, 即使助记词被完整推导出来, 依然能拦住攻击者?

有, 就是 BIP-39 Passphrase(助记词口令, 俗称"第 13 词", 24 词助记词则是第 25 词)。它是一串自己定义的字符串, 和助记词一起参与密钥推导:

flowchart TB
 A[助记词 12/24 词] --> C{PBKDF2 2048 轮<br/>HMAC-SHA512}
 B[Passphrase 口令] --> C
 C --> D[512-bit Seed]
 D --> E[私钥 / 地址]

关键在于: 助记词和 Passphrase 是两份互相独立的信息。这次攻击里, 攻击者手里有的是"重新计算出来的助记词", 而不是口令。不知道 Passphrase, 推导不出私钥。

Cardano SecondFi 签名事件: 一条链上交易, Ed25519 私钥为何泄露

Sat, 27 Jun 2026 17:29:00 +0000

6 月底, Cardano 生态的 SecondFi 钱包(前身是知名的 Yoroi)出事, 圈内一片哗然。没有智能合约被黑, 没有私钥从设备上被偷走, 甚至没有钓鱼——攻击者只是"读"了区块链。短短三天, 374 个钱包约 1600 万 ADA(当时约 240 万美元)被洗劫一空, 官方又紧急把约 1.29 亿 ADA 转移到第三方托管抢救。

更反常的是官方的警告: “请不要把助记词恢复到其他 Cardano 钱包”。通常只有助记词泄露才需要换钱包, 这次为什么反过来?

因为这次的"伤", 伤在签名上。

签名也会"受伤"

Cardano 用的是 Ed25519 签名。要理解它为什么出事, 先看签名是怎么算出来的:

flowchart TB
 A[交易哈希 M] --> C
 B[密钥材料 kR<br/>保密] --> C
 C["nonce r = SHA-512(kR || M)<br/>保密且不可预测"] --> D[签名运算]
 E[私钥] --> D
 D --> F[签名 → 永久上链]

签名靠一个"一次性秘密"保护, 在 Ed25519 里叫 nonce r: 它必须既保密、又不可预测。正确实现里, r 由密钥材料加交易哈希一起推导出来, 别人算不出 r, 也就没法从公开签名反推私钥。

硬件钱包 on Time Friend

BIP-39 Passphrase: 给助记词再加一道保险

随机数是硬指标

Passphrase 一定要加

Cardano SecondFi 签名事件: 一条链上交易, Ed25519 私钥为何泄露

签名也会"受伤"