Seed Phrase

创建自己的钱包时，你常会看到 12 或 24 个词，并被要求抄写下来。等到手机损坏或 Hardware Wallet 无法工作时，就会明白它们的用途。比特币并没有随设备一起消失，相关记录仍保存在比特币网络中。你要恢复的是能用来支配这些币的密钥。完整的备份加上兼容的钱包，可以让你在另一台设备上完成恢复。不过，交易所账户的密钥通常由运营方管理，账户登录密码是另一回事。 [4] [6]

这些词不是给每一枚币贴的标签。钱包把它们作为共同起点，按照固定规则生成许多私钥和地址。采用这种方式的钱包称为 HD Wallet。因此，同一份备份通常也能覆盖钱包日后生成的地址。但这也有另一面：拿到这些词的人不必偷走你的手机，也不必知道设备的 PIN。对于没有额外 passphrase 的普通钱包，对方就能派生出相同的密钥。Passphrase 和 Multisig 会增加其他条件，后面会进一步说明。 [6] [1]

新的备份应由可信的钱包利用质量可靠的随机性生成。不要自己挑选喜欢的词，也不要拿书中的句子来代替。对随设备附送、已经填写好的备份也应保持警惕，因为准备它的人可能知道内容。不要把恢复词发给客服，也不要输入声称能修复、同步或解锁钱包的网站。正规的客服人员不需要这些词。恢复钱包应是你主动发起、按照已核实的说明进行的操作。 [1] [4]

准确写下所有词，并保留原有顺序，不要翻译。纸张简单易用，耐用的金属可以帮助抵御火灾或水损。但只要别人能接触备份，这两种材料都不能阻止对方阅读。选择存放位置时，要同时考虑丢失和他人接触的风险。多一份副本能减少对单一地点的依赖，却也多出一份需要保护的秘密。照片和普通云存储会产生容易被遗忘的数字副本。对初学者而言，离线保存是更容易掌控的起点。 [4] [1]

一张写得整齐的纸，并不能证明所有内容都抄对了。有些 Hardware Wallet 提供直接在设备上检查备份、无须擦除钱包的功能，例如 Trezor Model T。应使用对应型号的官方操作流程，不要为了测试而清除唯一仍能使用的钱包。真正恢复时，还要核对是否出现预期的地址或已知的小额余额。应用接受了恢复词，并不单独证明 passphrase 和账户设置也正确。 [3] [1]

PIN 通常保护的是对某一台设备的访问。Seed Phrase 则允许在设备之外重建密钥。可选的 BIP39 passphrase 直接参与钱包的派生过程：要恢复同一个钱包，既需要恢复词，也需要它。输错 passphrase 通常会打开另一个空钱包，而不是提示密码错误。它并不是必须从词表中选择的“第 25 个词”。如果使用它，应精确保留一份独立备份；一旦遗失，客服无法通过重置替你找回。 [1]

BIP39 是常见的恢复词格式，但并非所有钱包都使用它。Electrum 有自己的体系。SLIP39 可以将备份分成多份，并设定恢复时需要多少份；这不同于把一张单词表剪成几段。因此，除了恢复词，还要保留原钱包名称、备份格式和必要的账户设置。这包括派生路径，也就是告诉钱包到哪里寻找密钥的信息，以及地址类型。Multisig 使用多个密钥，并规定需要多少个签名。要恢复整个配置，仅有一位签名者的备份还不够，还需要其他公钥和签名规则。Output Descriptor 可以用软件能读取的格式记录这些密钥和花费规则。因此，导入后余额为空，并不一定意味着比特币已经消失。 [1] [7] [8] [2]

如果设备不能用了，但备份仍然保密，需要做的是恢复访问。可如果有人看过这些词，或者你把它们输入了诈骗网站，对方可能已经拥有自己的密钥副本。用相同的词恢复钱包或更换 PIN，都不能收回那份副本。面临风险的资金需要安全地转移到新生成的密钥控制之下；使用 Multisig 时，具体处理取决于完整的签名条件。如果所有备份和可用钱包的访问权限都丢失了，恢复可能就不再可行。恢复钱包也无法找回已经被盗的比特币。 [5] [2]

BIP39 使用包含 2048 个词的词表来表示随机比特和一小段校验和。12 个词对应 128 个随机比特和 4 个校验比特；24 个词对应 256 和 8 个比特。校验能发现部分错误，却不能证明生成过程安全，也不能发现别人持有的副本。随后，名为 PBKDF2 的计算函数根据恢复词和可选的 passphrase 生成一个 512 比特的 seed，也就是生成密钥的起始数据。结果变长并不会让原来的恢复词更难预测；这里所说的不可预测性称为熵。因此，更多词无法弥补糟糕的随机性，也无法挽救已经泄露的备份。 [1]