BIP39 checksum

这些词既表示原始随机数据，也就是熵，又包含对它们的简短检查。BIP39 允许 ENT = 128、160、192、224 或 256 位，分别加入 4、5、6、7 或 8 位校验数据，形成 12、15、18、21 或 24 个词。每个 11 位分组从含有 2048 个词的词表中选择编号为 0‑2047 的词。恢复时，软件可以拆解这份记录，检查各部分是否一致。 [1]

最后一个词也包含一部分原始秘密数据。对于 128 位输入，128 + 4 = 132 = 12 × 11：最后一个词里有 7 位熵和 4 位校验数据。对于 24 个词的备份，最后一个词包含 3 位熵和 8 位校验数据。因此，丢失最后一个词，不只是丢失了校验。前面的词不能确定唯一正确的结尾，并不存在一个通用的校验词可以直接填上。 [1]

校验很短，不能拒绝所有错误组合。在从正确词表均匀随机抽取的序列中，12 词序列有 1/16 能通过，24 词序列有 1/256 能通过。这些数字描述的是该长度的所有可能序列，并不说明你某一次抄错或调换词序会被多可靠地发现。因此，钱包显示绿色确认，并不能证明备份已经抄得完全正确。 [1]

想想教程中公开的一份备份。它的校验和可以完全正确，但用它保存自己的钱仍然不安全。验证程序只会按正确词表把词转成比特，分离原始数据，再把校验位与其 SHA-256 比较。攻击者也能完成相同计算。检查无法判断词是谁生成的、谁知道它们。它既不能认证来源，也不是修复错误备份的通用方法。 [1]

如果你使用 BIP39 passphrase，也就是额外口令，备份词的校验和完全不会检查它。另一个计算步骤 PBKDF2-HMAC-SHA512 才会把备份词和 passphrase 转成 512 位 seed，作为派生密钥的秘密基础。因此，即使备份词通过检查，passphrase 的输入错误仍可能让你进入另一个钱包。请保存准确的词、顺序和所需的 passphrase。也不要把词翻译到另一个词表，那会改变 seed。 [1]

陌生网站可能承诺快速检查备份，但只要你输入这些词，就已经把它们交给了网站。结果正确，不能证明应用没有保存或窃取这些词。因此，恢复时应使用钱包可信的操作流程。测试软件应使用公开测试向量，即已知输入及其预期结果，而不是自己的秘密备份。不过，这些公开示例也绝不能拿来作为真实资金的钱包。 [1]