BIP-39 Passphrase: 给助记词再加一道保险

Sat, 01 Aug 2026 10:00:00 +0000

过去一年, 安全事件一波接一波, COLDCARD 只是最新的一起。

7 月底, 一款硬件钱包的固件版本里, 生成助记词时随机数出了问题: 本该用硬件真随机源, 却在特定情况下悄悄回退到很弱的软件随机数。助记词只剩几十 bit 的熵, 攻击者直接推导出私钥, 41 分钟内卷走数千万美元。

看了这么多复盘, 我这一年最大的改变是: 不再无条件信任任何环节。固件可能悄悄回退、随机源可能变弱、供应链可能被投毒、AI 又把攻击门槛拉低了一大截——钱包安全链条上每一环都可能出问题。所以防线不能只有一道, 助记词也绝不能是唯一那道锁。

随机数是硬指标

这次攻击的根源, 不是助记词被偷拍, 而是它可以被重新计算出来。

一套 12 词助记词背后是 128 位随机数。128 bit 意味着 2 的 128 次方种可能, 正常情况下穷举到宇宙尽头也试不完。可一旦随机源只剩 40~72 bit 的熵, 攻击者只要知道某台设备那个时间窗口用的是弱随机源, 就能顺着同样的算法, 把生成助记词的过程重演出来。

这个区别很重要: 不是"泄露", 是"可推导"。任何"别告诉别人助记词"的提醒, 在这种情况下都失效了。

那有没有一种东西, 即使助记词被完整推导出来, 依然能拦住攻击者?

有, 就是 BIP-39 Passphrase(助记词口令, 俗称"第 13 词", 24 词助记词则是第 25 词)。它是一串自己定义的字符串, 和助记词一起参与密钥推导:

flowchart TB
 A[助记词 12/24 词] --> C{PBKDF2 2048 轮<br/>HMAC-SHA512}
 B[Passphrase 口令] --> C
 C --> D[512-bit Seed]
 D --> E[私钥 / 地址]

关键在于: 助记词和 Passphrase 是两份互相独立的信息。这次攻击里, 攻击者手里有的是"重新计算出来的助记词", 而不是口令。不知道 Passphrase, 推导不出私钥。