什么是 seed phrase：工作原理与正确保管方法

用简单的话解释什么是 seed phrase

Seed phrase 是由 12 个或 24 个常见英语单词组成的一组词，crypto wallet 可以据此重新计算其中的全部私钥和地址。它本质上不是密码，而是钱包本身的文本形式：谁拥有这些单词，谁就拥有其中的资产，无论在什么设备上输入。

钱包只会生成一次这样的短语——在应用首次启动或 hardware wallet 激活时。单词从专用词库中随机选取，排列顺序至关重要：如果调换两个单词的位置，就会得到另一个钱包，其中包含不同的地址，也无法访问原来的资产。

Seed phrase 看起来大致是这样：apple, garden, tiger, coffee, orange, planet 等——由十二个或二十四个单词以空格分隔，不含数字和标点符号。钱包在创建时只显示一次，并要求您将其抄写在纸上；之后通常无法再通过应用界面查看。

这一术语源自 BIP-39 标准，该标准已被大多数 crypto wallet 采用，包括 MetaMask、Trust Wallet、Ledger、Trezor、Exodus 等数十种钱包。得益于统一标准，您可以将在一个应用中获得的短语输入另一个应用，恢复相同的地址和余额——这就是钱包之间的兼容性。

seed（“种子”）一词体现了这一机制的本质：正如一粒种子能长成拥有枝叶的整棵树，钱包也能从一个短语派生出由不同币种和网络的密钥与地址组成的完整树状结构。这一原理称为分层确定性钱包（HD wallet），下一节将对此进行介绍。

Seed phrase 如何运作，以及如何从中生成钱包密钥

钱包通过严格的数学算法将 seed phrase 转换为统一的主密钥，再用相应公式从主密钥派生出任意数量、适用于不同币种的私钥和地址。这个过程是单向的：从短语可以轻松获得钱包的任何地址，但无法从地址反推出短语——即使动用全球所有计算能力也无法做到。

从技术上看，整个过程分为两步。首先，将短语中的单词与可选的密码短语（passphrase）一起输入 PBKDF2 函数，得到一个 512 位数字，即 master seed。随后按照 BIP-32/BIP-44 标准，通过类似 m/44'/60'/0'/0/0 的“派生路径”，从 master seed 派生出特定币种中某个序号地址对应的私钥。

正因如此，一个短语保护的不是单个钱包，而是众多钱包：通过更改派生路径末尾的数字，可以从相同的 12 个单词生成第二个、第三个乃至第一百个 Ethereum 地址；通过更改路径中的相应部分，则可生成 Bitcoin、Solana、BNB Chain 等网络的地址。无需为每种币单独保存备份：在新应用中恢复短语后，钱包会重新计算所有地址，并找到其中相同的余额。

短语的最后一个单词并非随机生成：它根据之前所有单词计算得出，作为校验和，使钱包能够在输入时立即发现拼写错误或单词顺序错乱——若没有这项检查，可能只有在发现余额消失后才会察觉错误。校验和也使随机猜中他人有效短语几乎不可能：即使攻击者猜对了前 23 个单词，第 24 个单词还必须与校验和一致。

整个过程是确定性的——相同的单词以相同顺序排列，无论在什么设备或任何兼容该标准的钱包中，始终都会生成同一组密钥。这正是 seed phrase 的核心特性：它不存储在服务器上，也不绑定某一部手机，而是能够凭借自身完整恢复钱包。

Seed phrase 与私钥及交易所密码有何区别

Seed phrase 是可以一次派生出数千个私钥的主秘密；私钥是由该短语生成、对应某个特定地址的一把具体密钥；交易所密码完全不能直接访问币，只能用于登录账户，而密钥则由交易所自行保管和控制。

最常见的混淆恰恰发生在表格的第二列和第三列之间。您可以从非托管钱包中导出某个地址的私钥，例如将其导入另一个应用，但它与 seed phrase 并不相同：私钥无法派生出钱包中的其他地址，只能保护其对应的地址。

因此，对这三种秘密信息应采取不同的安全策略。交易所密码可以也应该定期更换，并使用密码管理器保存；丢失后还可以通过 email 恢复，因为这只是普通账户。而 seed phrase 及其派生出的私钥原则上无法更换：想要“更换”seed phrase，唯一的方法是使用新的 seed phrase 创建新钱包，再手动将旧钱包中的全部资金转入新钱包。本文后面的 seed phrase 更换部分将对此进行详细说明。

seed phrase 由多少个单词组成，为什么通常是 12 或 24 个

seed phrase 最常由 12 或 24 个单词组成，但 BIP-39 标准实际上允许五种长度：12、15、18、21 和 24 个单词。单词数量与短语包含的随机比特数直接相关：单词越多，可能的组合越多，暴力破解的难度也越高。12 个单词提供的安全余量已经足以抵御任何现实攻击；24 个单词则用于提供额外余量，也常见于 hardware wallet。

在实际使用中，只要短语是通过真正随机的方式生成，12 个和 24 个单词在现实安全性上的差异几乎可以忽略。128 比特的熵已经对应约 340 涧种可能的组合，这一数量可与可观测宇宙中的原子数量相比；即使考虑到计算技术的发展，无论现在还是可预见的未来，都无法通过暴力破解攻破这样的短语。标准制定者预留安全余量，是为了应对未来密码分析可能取得的突破，而不是因为 12 个单词在今天已不够安全。

短语长度通常不是由用户选择，而是由钱包决定：许多移动应用为了便于输入和恢复，固定使用 12 个单词；hardware wallet 则历来偏好更为保守的 24 个单词，这也是部分企业安全政策的要求。Trezor 等部分设备允许在创建钱包时选择长度。在这种情况下，大额资金可优先选择 24 个单词，以获得额外的心理和合规安全余量，尽管从数学角度看并无此必要。

还应区分短语本身的长度与额外的保护层，即所谓的第 25 个单词或 passphrase。它是用户自行设定的任意单词或短语，附加在标准的 12 或 24 个单词之上；设备不会在任何位置保存它，而同一组 seed phrase 会根据输入的 passphrase 派生出无限多个不同的钱包。这是一种高级技术，只有在充分理解其后果时才应使用：忘记 passphrase 会像丢失 seed phrase 一样，导致您永久失去对钱包的访问权限。

创建钱包时，如何正确生成并记录 seed phrase

短语必须由钱包本身在您将使用该钱包的设备上生成，而不能使用第三方生成网站。正确步骤是：离线创建钱包或在官方应用中创建钱包，将单词手写在纸上或直接记录在金属载体上，核对顺序和拼写，测试恢复流程，完成这些操作后再向钱包转入资金。

必须离线生成短语：可以使用内置硬件随机数生成器且绝不会通过网络传输短语的 hardware wallet，也可以在没有可疑软件的设备上，使用从官方网站或官方应用商店下载的移动端或桌面端官方应用。绝对不要使用“在线生成 seed phrase”之类的网站：此类网站会比您更早看到短语，并可能在生成时将其窃取。互联网上有大量专门针对这一场景的钓鱼生成器。

请逐个手写抄录单词，每输入一个就立即核对编号和拼写，不要等到最后凭记忆检查。一个字母写错或两个单词顺序颠倒，都会生成一个余额不同的全新钱包。因此，最好使用印刷体字母和带编号的模板（1–12 或 1–24），并在将载体存放到远离他人视线的地方之前，再次对照屏幕核查每个单词。

通过恢复钱包进行验证是最常被忽略的一步，但正是这一步能在真实资金转入钱包前发现拼写错误和单词顺序颠倒。整个过程只需几分钟：先从应用中删除钱包（余额不会因此消失，它仍保存在区块链上），然后输入抄录的短语重新恢复钱包，并核对恢复后的地址是否与之前一致。如果地址不一致，说明记录中存在错误，必须在向钱包充值前找出并纠正。

如何存放 seed phrase，避免被盗或遗失

最佳方案是使用纸张或金属等实体载体离线保存，并将其藏在他人无法接触且防火防水的地方，最好制作多份副本，分别存放在不同地点。不存在适用于所有人的完美方案：具体选择取决于钱包中的金额，以及您更重视防范哪类风险——第三方盗窃，还是火灾、水灾或搬家造成的实体遗失。

纸张是最容易获得、但也最脆弱的选择：它会燃烧、受潮、褪色，并可能在几年内因时间推移而损坏。金属板和金属胶囊（Cryptosteel、Billfodl 及类似产品）主要解决自然灾害带来的风险——单词可刻在金属上，或用不可燃字母排列记录，这类金属板甚至能经受足以烧毁整栋房屋的火灾。但金属的防盗能力并不优于纸张：一旦有人找到藏匿处，载体的材质就已无关紧要。

家用保险箱可以防盗，并在一定程度上防火——但前提是它是符合所需等级认证的保险箱，而不是带锁的装饰性箱子。银行保险箱能同时最大程度地防范这两种风险，但不便于快速取用：如果您需要在周末或身处其他城市时恢复钱包，那么在前往银行之前将无法取得 seed phrase。

更高级的方案是使用 Shamir 方法拆分 seed phrase（SLIP-39 标准，例如 Trezor Model T 支持该标准）：钱包不会生成一条完整短语，而是生成多个份额，恢复时需要集齐预先设定数量的份额，例如 5 份中的 3 份。这既能防止单份副本被盗，也能承受单份副本丢失，但操作更复杂，适合愿意提前弄懂其原理、而不是等到急需恢复资金时才开始研究的用户。自行把普通 seed phrase 分成两半并不是好的替代方案：掌握部分单词会大幅降低另一半的熵，而且无法提供 SLIP-39 所具备的真正密码学保护。

能否以数字形式存储 seed phrase：照片、笔记和云端

从技术上说可以，但安全专家并不建议这样做：任何数字载体——相册中的照片、笔记或云端文件——迟早都会与互联网产生连接，因此可能遭到恶意软件窃取、账户入侵或意外同步。唯一相对安全的数字存储方式，是在无网络设备上使用专门加密的离线容器，但即便如此，其可靠性仍不如藏在安全位置的普通纸张或金属载体。

相册中的截图和照片是所有方案中最危险的一种：有多类恶意软件（clipper 和 stealer 木马）会专门扫描设备上的照片、识别其中的文字，并寻找类似 seed phrase 的模式——连续 12 个或 24 个单词。设备可能通过盗版软件、假冒钱包应用或恶意浏览器扩展在不知不觉中感染，受害者往往直到余额被转空后才发现失窃。

密码管理器（1Password、Bitwarden 等）被认为是相对更安全的数字方案，因为其中的数据会由主密码在本地加密，而不是以明文存放。尽管如此，hardware wallet 厂商仍不建议将 seed phrase 仅存放在密码管理器中：密码管理器是单点故障，一旦主密码或云端账户遭到入侵，攻击者就能一次获得所有机密信息。对于使用高强度主密码和硬件 2FA 的高级用户，将其作为额外副本而非唯一副本，风险尚可接受，但离线载体仍应作为主要备份。

丢失 seed phrase 会怎样

如果存有资金的钱包仍安装在设备上并且可以访问，目前不会立即出现问题，您可以像往常一样继续使用。风险不在当下，而在未来：手机下次损坏、应用被误删或设备恢复出厂设置后，您将无法恢复访问权限，因为钱包开发者、交易所和技术支持都不会保存 seed phrase 的副本，也无法通过任何技术手段将其找回。

在 Bitcoin 及其他代币的历史总损失中，相当一部分并非源于黑客攻击，而是因 seed phrase 和私钥丢失所致。从统计上看，这比盗窃更常造成资金永久损失。这种情况没有补救途径：与银行账户不同，这里既没有包含您姓名的数据库，也不能通过验证身份来重新获得访问权限——区块链不知道您是谁，只会验证密码学签名是否正确。

只有少数例外情况下，丢失助记词并不意味着资金丢失。交易所的托管账户可以通过电子邮件和客服恢复，因为密钥由交易所而非用户保管。多重签名钱包（multisig）和支持社交恢复功能的智能合约钱包（例如 Argent）无需单一 seed phrase，即可通过多名受信任联系人或多台设备恢复访问权限。

每多忘记一个单词，穷举规模都会急剧增长。如果助记词中有一个单词未知，候选项正好是 2048 个，普通电脑几秒内即可完成检查。如果忘记两个单词，候选组合将超过 400 万种，但通常仍可在数小时内完成。忘记三个单词时，组合数量将超过 80 亿种，即使使用高性能设备，穷举也可能持续数天或数周；而忘记四个单词时，如果没有已知地址范围等额外线索，恢复通常已几乎不可能。

还需特别警惕所谓的“seed phrase 恢复服务”：在讨论钱包丢失的视频下方，广告和评论中经常有人提出按资金比例收费来恢复访问权限。用于穷举遗忘单词的正规工具都是免费且开源的（如 BTCRecover 及其同类工具），需要您在自己的电脑上自行运行，并且只适用于未知单词数量较少的情况。任何收费“专家”，如果声称能恢复已经完全丢失的助记词，或在没有额外信息的情况下找回某个单词，几乎肯定是骗子：轻则什么也不做，重则会索要钱包残余数据的访问权限。

如果 seed phrase 被他人获知，会发生什么

他人一旦获知您的 seed phrase，就会获得与您完全相同的钱包控制权，并可随时转走全部资金。此时唯一切实有效的做法，是立即在干净的设备上创建一个使用新助记词的新钱包，并抢在攻击者之前将剩余资金全部转入其中。继续等待或“只是观察余额”，几乎必然会导致全部资金损失。

助记词落入他人手中的途径，通常是前文已介绍的几种：冒充官方钱包或客服的钓鱼网站；非官方应用商店中伪装成正版钱包的恶意应用；在受感染设备上扫描相册和笔记的窃密木马；或者云账户泄露，而助记词曾违反上文数字化存储章节的建议保存在其中。查明具体泄露渠道并不会改变应对方案——此时每一分钟都很关键，无论原因为何，都应遵循“创建新钱包—转移资金”的相同步骤。

seed phrase 能否更改或更新

seed phrase 本身无法更改：它在数学上与钱包的所有密钥和地址绑定。想要“编辑”它，就像在不关闭账户的情况下修改已经签发的银行卡号一样不可能。实际更换助记词的唯一方法，是创建一个使用全新随机助记词的新钱包，并手动将旧钱包中的全部资金转入其中。

在以下几种具体情况下，更换助记词是合理的：怀疑助记词曾被或可能被他人看到，即使没有明显的失窃迹象；原助记词的保存方式违反了上文章节中的建议，例如曾被拍照或输入可疑网站；使用过该助记词的设备准备出售、转交他人，或曾感染恶意软件；又或者对于存有大额资金的钱包，每隔几年定期更换一次，作为常规安全维护。

转移资金时应提前考虑网络手续费：如果旧钱包中积累了大量小额交易或不同代币，逐项转移每种资产可能需要一笔不小的费用，尤其是在 Ethereum 等网络高峰时段。对于持有数十种小额代币的钱包，有时更合理的做法是先通过兑换将其归集为一两种主要资产，再把最终金额转到新地址，这比逐项转移更便宜。

保存 seed phrase 时的常见错误

新手最常犯的错误包括：以数字形式保存 seed phrase、未通过恢复操作检查记录是否正确、只在一个地方留存唯一副本，以及以“客服”或“验证”为由泄露 seed phrase。现实中，每一种错误都曾导致用户损失资金，而在钱包被盗或丢失的案例中，这些错误往往会同时出现。

另一个不太明显但很常见的错误，是使用现成的单词组合、“提示词”或自行编写的短语，而不是钱包生成的 seed phrase。一些用户为了便于记忆，尝试自己编写短语或挑选有含义的单词，这会大幅降低熵，使原本具有密码学强度的 seed phrase 变得可预测，更容易通过有意义的模式进行暴力破解。Seed phrase 必须完全由钱包的随机数生成器生成，不得人为调整单词顺序或选择单词。

最后，一个常见的管理疏忽是没有提前考虑钱包所有者去世或丧失行为能力后，钱包访问权限应如何处理。如果除所有者外无人知道 seed phrase 的存在及其存放位置，那么资金将随着唯一所有者的离世而被永久锁定。合理的做法是向可信赖的人或律师留下关于 seed phrase 副本存放位置的书面说明，无需提前透露 seed phrase 本身，只需说明必要时应在哪里以及如何找到它。

如何检查 seed phrase 是否记录无误

唯一可靠的检查方式是进行测试恢复：从应用中删除钱包或重置 hardware wallet，然后输入抄录的 seed phrase 重新恢复，并核对恢复后的地址是否与原地址一致。仅通过肉眼将记录的单词与屏幕内容对照，无法同样可靠地发现错误，因为人们往往会从自己的笔迹中看到预期的内容，而不是实际写下的内容。

恢复前还应单独对照 BIP-39 词表：全部 2048 个单词的前四个字母都是唯一的，因此，如果抄录的单词不在官方列表中，或被误写成发音相近的形式，对照时便能立即发现。这种检查可以识别一种常见错误：非英语母语者在听写或书写时混淆拼写相近的英语单词。

与词表核对后，就可以进行实际的恢复测试：整个过程需要五至十分钟，对余额完全没有风险，因为从界面中删除钱包并不会删除区块链上的币——它们仍与该地址绑定，使用正确的 seed phrase 恢复后便会立即重新显示。如果恢复出的地址至少首尾字符与原地址一致，就说明 seed phrase 记录正确；如果不一致，则记录中存在错误，必须先找出并修正，之后才能将这份副本作为唯一备份。

Seed phrase 与 hardware wallet：存储方式有何不同

Hardware wallet 会在设备的安全芯片内生成 seed phrase，并且绝不会将其传输到连接的电脑或手机上——即使在签署交易时，对外发送的也只有签名，seed phrase 本身始终不会离开设备。Software wallet 的 seed phrase 则存储在运行应用的同一台设备的内存中，因此会面临与该手机或笔记本电脑中其他信息相同的风险。

在恢复钱包时，两者处理 seed phrase 的关键区别尤为明显：在 hardware wallet 上，用户通过按键或触控滚轮直接在设备屏幕上输入单词，而不是使用电脑键盘，因此可以避免 seed phrase 在恢复过程中被键盘记录器或恶意浏览器扩展截获。Software wallet 在恢复时，seed phrase 则不可避免地要经过手机的系统键盘和剪贴板；原则上，设备上已安装且拥有相应权限的应用都可能访问这些内容。

Hardware wallet 的另一层保护是设备本身的 PIN：连续输错数次后（通常为 3–8 次，具体取决于型号），设备会自动清除包括 seed phrase 在内的全部内存数据，因此仅盗走设备而不知道 PIN 并无用处。许多型号还支持 passphrase，即额外的“第 25 个单词”，可创建隐藏钱包。只知道基础 seed phrase 和 PIN、却不知道隐藏分区存在的人无法访问该钱包。

购买 hardware wallet 时，应专门检查设备是否以原厂未拆封状态送达，并在用户亲眼见证下于首次开机时自行生成 seed phrase。如果包装内已经附有写着“预先生成”seed phrase 的纸条，或包装封条看起来被拆过，就不能使用该设备：这组 seed phrase 可能在出售前就已泄露。Hardware wallet 只能从官方制造商或其授权经销商处购买，不应在电商平台上向不明卖家购买。

Seed phrase 常见问题