在手機或硬體設備上點擊「建立新錢包」，幾秒鐘內螢幕就會顯示 12 或 24 個英文單詞。這短暫幾秒內發生的運算，比後續所有安全設定都更為關鍵。區塊鏈資產不存在「忘記密碼」後的客服重設機制，助記詞一旦生成便已定型；後續即便更換多個冷錢包、配置多簽名合約，底層安全性的理論上限早在生成那一刻就被鎖定。
決定這組單詞能否被外部算力暴力破解的核心，正是種子詞熵值來源的品質與不可預測性。
助記詞本質：隨機位元的易讀編碼
BIP-39 是主流加密錢包廣泛採納的助記詞標準。其核心邏輯非常明確：系統先採集一串具備高度不確定性的隨機二進制數據（即熵值），依據長度計算校驗和後，每 11 個位元切分為一組，轉換為 0 至 2047 的索引數字，最後對應到包含 2048 個單詞的標準詞表中。因為 2 的 11 次方恰好等於 2048，所以每個單詞嚴格承載 11 個位元的資訊量。
助記詞本身並非隨機性的來源，而是一層便於人類抄寫與核對的編碼層，功能類似於二進制資料的 Base64 轉換。無論字跡多麼工整、實體備份多麼隱蔽，都無法彌補底層隨機源質量不足帶來的安全漏洞。
在密碼學評估中，度量安全性使用的是 最小熵（Min-Entropy），即在最壞情況下猜測輸出所需的代價，而非平均統計意義上的香農熵。若一個隨機源在 99% 的情況下均勻分佈，但在 1% 的特定情境下輸出固定值，其香農熵看似正常，最小熵卻會迅速歸零。攻擊者只需鎖定該系統在最差狀態下的輸出特徵即可實施破解。
判斷標準：若隨機源的最差輸出狀態能被數學模型清晰描述，該描述本身就會轉化為攻擊路徑。合格的隨機源必須確保任何未持有內部狀態的觀察者皆無法預測下一組輸出。
BIP-39 生成流水線與位元結構
以標準的 128 位元熵為例，錢包取得 16 位元組（Bytes）的原始隨機數據後，執行一次 SHA-256 雜湊運算，提取雜湊值的前 4 位元作為校驗和（Checksum）附加在尾部，組成 132 位元的整體序列。隨後依每 11 位元一組切分成 12 個索引值，查表輸出 12 個單詞。此轉換流程完全確定，相同的原始熵必定輸出完全一致的助記詞。
校驗和的長度公式固定為：校驗和長度 = 原始熵長度 / 32。因此 128 位元配 4 位元校驗和對應 12 詞；256 位元配 8 位元校驗和對應 24 詞。
| 原始熵長度 | 校驗和長度 | 助記詞數量 | 編碼總位元數 |
|---|---|---|---|
| 128 位元 | 4 位元 | 12 個單詞 | 132 位元 |
| 160 位元 | 5 位元 | 15 個單詞 | 165 位元 |
| 192 位元 | 6 位元 | 18 個單詞 | 198 位元 |
| 224 位元 | 7 位元 | 21 個單詞 | 231 位元 |
| 256 位元 | 8 位元 | 24 個單詞 | 264 位元 |
校驗和的作用僅是防止輸入或抄寫時發生拼寫筆誤，並不提升搜尋空間大小。攻擊者在暴力窮舉有效空間時，只需遍歷 2 的 128 次方或 2 的 256 次方種原始可能，校驗和會隨候選值自動生成，無法作為防護屏障。
在 BIP-39 開發規範中包含多組公開測試向量。例如 128 位元全為 0 的輸入，會生成由 11 個「abandon」及 1 個「about」構成的標準序列。符合規範的錢包軟體皆可藉由這些向量驗證內部轉換實作是否準確，詳細標準可查閱 BIP-39 官方規範與測試向量庫。
四大常見隨機源層次剖析
各類終端設備生成助記詞時採用的底層隨機機制主要劃分為四個層次，各層次在安全審計透明度與執行門檻上各有側重。
| 層次 | 典型實現途徑 | 可審計性 | 潛在風險點 |
|---|---|---|---|
| 作業系統 CSPRNG | getrandom()、/dev/urandom、SecRandomCopyBytes | 高（系統級公開介面） | 調用非密碼學 API、啟動早期熵池未充分初始化 |
| 硬體 TRNG | 晶片內置環形振盪器、熱噪聲取樣 | 中（受限於晶片閉源程度） | 硬體故障停滯、缺乏動態健康測試、後門疑慮 |
| 物理隨機過程 | 標準六面骰子、拋擲硬幣 | 極高（使用者完全可控） | 採樣次數不足、手動記錄過程外洩 |
| 人腦自主構造 | 自選詞彙、名言短語記憶 | 極低（存在思維定勢） | 語言統計規律明顯、搜尋空間急劇萎縮 |
作業系統 CSPRNG 的底層機制
現代主流作業系統的密碼學安全偽隨機數生成器（CSPRNG）具備嚴格的架構設計。以 Linux 的 getrandom() 系統調用為例，其設計保證在核心熵池未完成安全初始化前處於阻塞狀態，防止程式在系統剛啟動時獲取到低品質輸出。iOS 的 SecRandomCopyBytes 與 Android 近代架構同樣直接橋接底層核心隨機源。
雖然作業系統隨機源為一般軟體提供了標準保護，但在特定嚴苛情境下，學界對於通用核心實作是否完全契合專用隨機源的健康監控標準仍有探討。美國國家標準與技術研究院（NIST）在相關規範中對熵源架構設計、啟動測試與連續健康測試制定了詳盡評估框架，相關標準定義可參考 NIST SP 800-90B 熵源設計與健康評估規範。
軟體層面最嚴重的隱患通常源於開發時調用了錯誤的介面。例如 JavaScript 中的 Math.random() 或 C 語言的 rand() 均屬於非密碼學演算法，其內部狀態極易被少量輸出還原，絕對不可用於產生金鑰。
硬體真隨機數生成器（TRNG）的關鍵節點
硬體錢包常採用晶片級 TRNG 採集熱噪聲或微觀物理波動。此類機制具備獨立性，但物理組件會受環境溫度、電壓波動及硬體老化影響產生統計偏差。因此，合格的硬體隨機模組必須包含即時健康測試機制以監控輸出品質。
此外，採集到的原始噪聲通常需經過 SHA-256 等雜湊演算法進行去偏與熵提取，確保輸出位元分佈均勻。若晶片架構未開源或缺乏具備公信力的第三方測試認證，單純依賴單一晶片輸出仍存在閉源供應鏈風險。
物理隨機性採集：投擲骰子與拋硬幣的數學計算
對於不希望完全信任電子設備隨機源的場景，直接藉助物理過程生成是可驗證性最高的途徑。透過物理方式採集隨機數據時，必須嚴格滿足位元運算所需的最少採樣次數：
- 六面骰子（D6）：投擲一次可產生的理論熵為 $\log_2(6) \approx 2.585$ 位元。累積 128 位元熵需投擲 50 次（提供約 129.2 位元）；累積 256 位元熵則至少需要 100 次投擲（提供約 258.5 位元）。99 次投擲僅能提供約 255.9 位元，未達完整強度。
- 拋擲硬幣：每次拋擲嚴格提供 1 位元熵。產生 128 位元與 256 位元熵分別需要拋擲 128 次與 256 次。
- 撲克牌完整洗牌：52 張牌的排列組合全集為 52 階乘，對應 $\log_2(52!) \approx 225.58$ 位元。即便是極限洗牌狀態，單副撲克牌也無法直接滿足 256 位元的完整熵需求。
在實務應用中，主流硬體錢包多採取熵混合機制。設備將內部硬體 TRNG 輸出的位元與使用者手動輸入的物理骰子點數進行雜湊或 XOR（互斥或）運算。依據密碼學原理，只要其中一個輸入源保持完全隨機且彼此獨立，混合後的輸出安全性便不會低於該隨機源，能有效防範單一晶片出現潛在後門或硬體缺陷。
人腦構造隨機性的致命缺陷
試圖脫離隨機工具、由人類自行挑選單詞來組合助記詞是極度危險的行為。人類思維在挑選詞彙時會呈現出不可避免的統計規律與認知偏差：
- 傾向主動迴避相鄰單詞重複，刻意選擇語意通順或具備特定韻律關聯的詞彙。
- 偏好常用英文單詞或母語直譯短語，使得候選詞彙池從標準的 2048 個大幅縮小至數百個常用詞。
- 使用特定規則挑選（例如在字典中按固定步長跳選），此類規則一旦被演算法建模，搜尋空間將面臨幾何級數式的塌縮。
針對詩詞、名言或自創口訣轉換生成的「腦錢包（Brainwallet）」，黑客早已建立龐大的字典庫與常見語法規則進行定向掃描。密碼學隨機性要求每一個位元都必須具備均勻且不可預測的概率，這正是人類大腦無法勝任的領域。
歷史案例：隨機源缺陷引發的資產崩塌
在區塊鏈歷史中，演算法層面多數維持穩固，但因實作端隨機源缺陷導致資產受損的重大事件屢見不鮮：
Profanity 靚號地址工具窄種子漏洞
2022 年被公開披露的以太坊靚號地址生成工具 Profanity 存在嚴重隨機源設計缺陷。該工具在初始化隨機狀態時僅使用了 32 位元的隨機種子。這意味著所有生成的地址總空間被壓縮至僅約 43 億（$2^{32}$）種可能。利用現代顯示卡，攻擊者可在數十分鐘內完成整個空間的窮舉，進而精確推導出私鑰並轉移資產。
Milk Sad 漏洞（CVE-2023-39910）
2023 年揭露的 Libbitcoin Explorer 工具漏洞（Milk Sad）展現了隨機庫誤用的典型後果。受影響版本（3.0.0 至 3.6.0）在執行助記詞生成指令時，錯誤調用了以當前系統時間（秒級）為種子的 Mersenne Twister（mt19937）偽隨機數演算法。由於其初始化種子上限僅為 32 位元整數，使得助記詞搜索範圍僅剩幾十億種可能。該漏洞被公開收錄於 美國國家漏洞庫 CVE-2023-39910 詳細記錄 中。
Trust Wallet 擴充套件早期隨機源缺陷
2023 年安全團隊披露 Trust Wallet 於 2022 年底發布的特定瀏覽器擴充套件模組中，助記詞生成邏輯存在熵值不足問題，底層隨機性被不當實作限制在 32 位元空間內。官方隨後發布安全修補並協助受影響用戶完成資金遷移。此事件表明，即便是成熟的團隊，若在隨機數實作審計上出現疏漏，同樣會引入致命隱患。
Android 早年 SecureRandom 啟動期問題
2013 年，多款基於 Android 系統的比特幣錢包出現私鑰碰撞與資金遺失。調查顯示，當時 Android 系統自帶的 Java 密碼學架構在特定情況下未對 /dev/urandom 進行充分初始化，導致 SecureRandom 輸出可預測的重複隨機序列。該事件推動了整個加密社群對行動端熵池生命週期管理的嚴格審查。
有效熵值與暴力破解算力成本分析
在 BIP-39 標準下，助記詞生成最終金鑰種子（Seed）必須通過 PBKDF2-HMAC-SHA512 演算法並進行 2048 輪運算。這是一項刻意設計的高運算負載密碼學哈希流程，用以抵禦硬體暴力破解。目前專業級單張 GPU 在執行此特定演算法時，運算速度通常處於每秒數十萬次至百萬次（$10^5 \sim 10^6\text{ H/s}$）區間。
以下以目前典型分散式叢集算力（假設攻擊者具備每秒嘗試 $10^7$ 組助記詞推導能力）為基準，對比不同有效熵值下的理論破解難度：
| 有效熵長度 | 理論候選總數 | 理論窮舉所需時間量級 | 安全防護評估 |
|---|---|---|---|
| 32 位元（缺陷狀態） | 約 $4.29 \times 10^9$ | 數分鐘至數小時 | 毫無防護力，易被腳本全面掃描 |
| 64 位元（嚴重不足） | 約 $1.84 \times 10^{19}$ | 約數萬年 | 可防範普通攻擊，但面對國家級專用算力存在風險 |
| 128 位元（12 詞標準） | 約 $3.40 \times 10^{38}$ | 遠超宇宙年齡（約 $10^{24}$ 年） | 在經典計算架構下具備絕對安全性 |
| 256 位元（24 詞標準） | 約 $1.15 \times 10^{77}$ | 物理極限不可達（約 $10^{62}$ 年） | 具備抵禦 Grover 量子搜尋演算法的充足餘裕 |
從數據可見，12 詞（128 位元熵）在隨機源完全正常的條件下，其數學防護強度已足以抗衡全網算力。24 詞（256 位元熵）的核心價值在於提供極高的容錯空間，確保即便未來出現未知的微弱演算法偏差或部分熵損失，整體安全性依然堅不可摧。
錢包隨機源安全性核驗實務
評估一款加密錢包的隨機性可靠度時，可依循以下維度進行檢查：
- 原始碼公開與審計狀態：確認錢包核心庫是否開源，且隨機生成模組是否經過專業安全機構的專項審計。
- 底層隨機調用介面：檢查程式碼是否嚴格使用
getrandom()、SecRandomCopyBytes、BCryptGenRandom等系統級 CSPRNG，杜絕任何非密碼學隨機函數。 - 離線生成架構：助記詞生成過程必須能完全在斷網（飛行模式或無網絡環境）下獨立完成，無任何後端伺服器通訊交互。
- 測試向量一致性：驗證錢包在輸入標準測試數據時，能否輸出符合 BIP-39 規範的預期助記詞。
- 支援外部熵注入：高階硬體錢包應允許使用者透過手動投擲骰子等方式混合外部物理隨機數據。
密碼短語（Passphrase）對熵值的補充作用
BIP-39 允許使用者設定額外的自訂字串作為密碼短語（Passphrase，常被稱為第 13 個或第 25 個單詞）。在金鑰派生時，該短語會與助記詞結合，共同傳入 PBKDF2 作為 Salt 參與計算。設定不同的 Passphrase 將派生出截然不同的一組全新錢包位址。
高品質的 Passphrase 能夠實質提升種子派生階段的複雜度，並具備防脅迫功能（隱藏主資產帳戶）。然而必須明確：Passphrase 無法修復助記詞本身熵值不足的結構性缺陷。若助記詞生成時的隨機源僅有 32 位元，攻擊者依然可以優先窮舉底層助記詞。兩者屬於互為補充的縱深防禦架構，不可相互替代。
安全建立與備份的操作指引
- 環境隔離：優先選擇開源硬體錢包或經安全清理的完全離線冷設備。
- 混合物理隨機源：在管理重要資產時，採用標準六面骰子投擲 100 次以上，將點數注入硬體設備進行熵混合。
- 物理介質備份：助記詞必須手抄於紙質卡片或使用耐火防腐蝕的金屬板壓印保存，全程嚴禁螢幕截圖、相機拍照、雲端備忘錄存檔或輸入聯網設備。
- 災難恢復驗證：在轉入主要資產前，先行清空錢包並執行一次完整的助記詞導入恢復測試，確保備份單詞與記錄完全無誤。
- 謹慎規劃 Passphrase：若啟用密碼短語，必須將其與助記詞分開獨立存放，防止單點遺失引發資產永久鎖定。
常見問題（FAQ）
Q1：24 個單詞一定比 12 個單詞更安全嗎？
從抗暴力破解角度看，12 個單詞（128 位元熵）在數學上已處於極限安全範圍，暴力窮舉在現實物理世界中不可行。24 個單詞（256 位元熵）的主要優勢在於提供了更高的容錯餘裕與抗量子演算法（如 Grover 演算法）的理論防護儲備。
Q2：可以自己從詞表中挑選 12 個喜歡的單詞嗎？
絕對不可。人類挑選單詞存在嚴重的規律性與語義偏差，這會使實際的最小熵急劇下降，攻擊者藉由字典規則可在短時間內完成定向破解。助記詞必須透過合格的隨機數生成器或嚴格的物理投擲方式產生。
Q3：網頁上的助記詞生成工具安全嗎？
存在高度安全隱患。聯網網頁可能包含惡意第三方腳本、擴充套件監控或伺服器端後門，且使用者的瀏覽器環境無法保證 CSPRNG 的純淨調用。重要錢包必須在純離線且受信任的環境中生成。
Q4：助記詞中的最後一個單詞為什麼不能隨意填寫？
在 BIP-39 標準中，最後一個單詞包含了部分原始熵以及對全部熵計算產生的校驗和（Checksum）。若隨意填寫最後一個詞，極大概率會因校驗和不匹配而被錢包軟體判定為無效助記詞。
