想象一把万能钥匙，可以打开一栋大楼里的每一扇门：前门、办公室和保险柜。再想象这把钥匙无法替代。没有锁匠能配出一把副本，也没有大楼管理员留有备用钥匙。这就是加密货币中的助记词。丢失助记词，您就会失去它所保护的一切；让别人保管助记词，对方就能掌控您的一切。
本指南将全面介绍助记词：12 个或 24 个单词究竟编码了什么，它们如何生成数十条区块链上的密钥，应该如何存储，可以恢复和无法恢复哪些内容，以及恢复钱包当天才会暴露的种种故障情形。如果您只读一篇有关钱包安全的文章，就读这一篇。
简单来说
助记词（也称为助记码或恢复短语）是一组由 12 个或 24 个普通英文单词组成的词语，例如 correct horse battery staple。这些单词组合起来，编码了您整个加密货币钱包背后的主密钥。这不是您自行设置的密码，而是一个超大随机数的人类可读形式；从计算上说，几乎不可能靠猜测得到它。
在新设备上恢复钱包时，您按顺序输入这些单词，钱包曾生成的每个地址和私钥都会恢复。无需找回账户、提交支持工单，也无需等待。这正是助记词的意义所在，也是它带来的全部风险。
助记词究竟是什么
这一流程由 BIP-39（比特币改进提案 39）制定标准，其中规定了钱包软件如何将原始随机数转换为单词列表。
- 钱包会生成一个随机数，称为熵：12 个单词的助记词对应 128 位，24 个单词的助记词对应 256 位。总共定义了五种长度（128 位对应 12 个单词，160 位对应 15 个，192 位对应 18 个，224 位对应 21 个，256 位对应 24 个）。
- 随后会附加一段简短的校验和。钱包使用 SHA-256 对熵进行哈希运算，并取结果的前几位：128 位熵取 4 位，256 位熵取 8 位。
- 熵和校验和会被拆分为若干个 11 位的部分。每个部分都是固定的 2,048 个英文单词列表中的一个索引，因此每个单词恰好编码 11 位。这就是为什么助记词总是由词典中的单词组成，而不是任意字符串。
- 最终，128 位熵会生成 12 个单词，256 位熵会生成 24 个单词。
实际使用中，有两个设计细节很重要。列表中每个单词的前四个字母都不相同，因此输入缩写时不会产生歧义。校验和还能检测拼写错误：如果钱包在导入时拒绝某组助记词，说明校验和不匹配，通常意味着某个单词有误或顺序不对，并不代表资金已经丢失。
所有 BIP-39 钱包使用同一份单词列表。因此，Zelcore 助记词可以在其他兼容钱包中恢复，反之亦然。
如果您想了解在新设备上恢复助记词后会恢复哪些内容，请阅读在不同设备间同步 Zelcore 的指南。
12 个单词的助记词提供 128 位安全性，与单个 Bitcoin 私钥的安全级别相同；24 个单词的助记词提供 256 位安全性。使用当前或可预见的硬件都无法通过暴力破解来破解它们，因此两者之间的选择取决于您的威胁模型，以及您是否愿意多抄写一些单词，而不是其中一种“不安全”。
从单词到主种子：PBKDF2 与密码短语
这些单词不会直接用作密钥，而是作为密钥拉伸函数的输入。
PBKDF2 将助记词作为字符串，对其运行 HMAC-SHA512 共 2,048 次。盐值是单词 mnemonic，后面接可选的密码短语，有时也称为第 25 个单词。输出是一个 512 位的值，称为主种子。拉伸步骤会增加暴力破解的成本，即使攻击者已经掌握了大部分助记词也一样。
密码短语让许多人蒙受损失，因此需要准确说明：
- 密码短语不会存储在任何地方：硬件钱包、应用或备份中都没有。它只存在于您的记忆中，或单独的书面记录里。
- 使用不同的密码短语（包括空密码短语），会生成完全不同的主种子，因此对应的钱包也完全不同。相同单词配上不同密码短语生成的两个钱包，在密码学上毫无关联。
- 密码短语留空是有效的，会生成大多数用户使用的标准钱包。
这种安全机制采用双因素设计：如果有人窃取了单词但没有密码短语，打开的会是默认钱包；默认钱包可以作为诱饵钱包，只存有少量余额。代价也很严重：忘记密码短语就无法挽回。没有重置方法，也没有客服渠道可寻求帮助。第 25 个单词会介绍何时值得使用此功能；简而言之，初学者应先掌握基本的助记词保管方法。
从主种子生成每个密钥：BIP-32 与 BIP-44
512 位主种子会与固定密钥字符串 Bitcoin seed 一起输入 HMAC-SHA512。输出分为两部分：左侧 256 位成为主私钥，右侧 256 位成为链码。链码是一段熵，会用于之后的每一步密钥派生。根据 BIP-32 的定义，两者共同构成分层确定性（HD）钱包的根。
钱包从这个根派生出一棵实际上没有数量上限的子密钥树。每一步都会通过另一次 HMAC-SHA512 运算，将父密钥、链码和索引号混合计算。派生方式有两种：
- 强化派生使用父级私钥。即使有人持有父级扩展公钥（xpub），也无法计算通过这种方式派生的子密钥。这样可以防止泄露的 xpub 进一步导致私钥暴露。
- 普通派生使用父级公钥，让观察钱包和交易所可以生成存款地址，而无需接触私钥。
BIP-44 为不同币种统一规定了路径布局：
m / 44' / coin_type' / account' / change / address_index
coin_type因区块链而异：Bitcoin 是 0，Ethereum 是 60，数百种已登记币种也各有对应值。前三层路径后的撇号表示强化派生；即使地址级 xpub 泄露，也能保护账户级密钥。正是这种机制让一个助记词可以备份整个多链钱包：每条链都位于同一根节点下的不同路径上，因此 Zelcore 能通过一个助记词派生出 80 多条链上的账户。多链托管难题对此有更深入的介绍。
由于每一步都是确定性的，同一助记词总会生成相同的密钥。仅知道主私钥并不会暴露所有子密钥，因为每次派生还需要链码。但助记词能提供两者。掌握助记词的人就能掌控一切。
丢失助记词为何意味着无法挽回
区块链没有密码重置功能。没有任何公司持有您的密钥副本，也没有客服表单能找回丢失的资金。您签署一笔区块链交易时，使用的是由助记词派生出的私钥。如果助记词丢失，相应的密钥也会随之丢失，这些地址中的资金将永久无法动用。
研究人员估计，有 2.3 到 3.7 million BTC 永久无法访问，其中许多是在 Bitcoin 发展早期因助记词和私钥从未得到妥善备份而丢失的。
硬件钱包 PIN 码无法解决这个问题。错误输入 PIN 码次数过多后，硬件钱包会自行擦除数据。设备虽然无法再用，但只要您的助记词离线保存着，就能在几分钟内将其恢复到新设备上。没有助记词，仅仅拥有实体设备并不足够。
因此，所有严谨的钱包设置流程都会要求您立即抄下助记词，并在存入任何一枚币之前完成验证。
助记词能恢复什么，不能恢复什么
“我有助记词，所以不用担心”这句话对标准账户来说没错，但有些人以为助记词还能恢复其他内容，事实并非如此。
仅凭助记词可以恢复：
- 每个标准 BIP-44 账户的链上余额和交易记录
- 所有受支持区块链上的派生地址
- 使用这些地址进行交易的能力
助记词无法恢复：
- 硬件钱包 PIN 码、自定义账户标签和地址簿条目。这些是保存在设备本地的元数据。
- Lightning Network 通道状态。Lightning 是链下系统；要恢复已开启通道的余额，除助记词外还需要**静态通道备份（SCB）**文件。
- 使用非标准派生路径的只读配置。
- 应用专属数据，例如投资组合标签、价格提醒和自定义 RPC 端点。在 Zelcore 中，恢复后需要重新创建联系人和设置；您的余额不会受到影响。
只要助记词完好无损，即使忘记 PIN 码，重置硬件钱包后也能完全恢复。如果助记词也丢失了，设备就无法再用。
如何存储助记词
了解助记词是什么之后，存储规则也就不难理解了。
建议这样做：
- 设置过程中助记词一出现，就按顺序抄写在纸上。
- 完成钱包要求的验证步骤，并在存入大额资金前实际测试一次恢复流程。
- 至少保存两份副本，分别放在不同的安全地点，例如防火保险箱、银行保管箱或可信的异地地点。
- 如果要长期持有资产，请将助记词刻在金属备份板上。钢或钛可以承受普通住宅火灾的高温，也能抵御洪水；纸张则不行。
绝不要这样做：
- 给助记词拍照。大多数手机会自动将照片同步到云服务。
- 将助记词输入任何应用、扩展程序或网站，除非您确实在恢复钱包；即便如此，也要核实软件来源。
- 通过电子邮件发送助记词，或将其保存在笔记应用、云文档或在线密码管理器中。
- 将助记词分享给任何人。钱包服务商、交易所或客服人员都不会向您索要助记词。任何索要助记词的人都企图窃取您的资金。Zelcore 客服绝不会向您索要助记词。
根据您实际面临的威胁选择存储介质
问题不在于“哪种备份最好”，而在于“我需要防范什么”。对大多数人来说，现实中的威胁并非定向攻击，而是住宅火灾、洪水、入室盗窃，以及忘记备份放在哪里。
- 纸张成本低、容易阅读，但会随时间老化，也无法抵御火灾或水浸。
- 金属可以抵御火灾和水浸，但价格更高，制作也更耗时。当资产价值高到损失会造成重大影响时，金属是实用之选。
- 数字副本（照片、云存储、密码管理器中的笔记）会让助记词在账户遭到入侵时面临全部丢失的风险。不建议用来存储助记词本身。
拆分助记词是个陷阱
把一半单词存放在一个地方、另一半存放在另一个地方的做法很常见，却会削弱安全性。对于 12 个单词的助记词，只要找到其中一半，搜索范围就会缩小到足以通过暴力破解找到其余单词。如果您需要将风险分散到多个地点，可以分别保存完整副本，或者使用Shamir 秘密共享（SLIP-39），将秘密拆分为 N 份；其中任意 M 份都能还原秘密，而且不会削弱任何单份的安全性。Trezor 支持 SLIP-39；其他钱包并非都支持。
鲜有人提醒的恢复失败情形
这些问题只会在恢复钱包时出现，而那往往是最关键的时刻。
忘记密码短语。 单词输入无误，但钱包派生出的是没有余额的地址，也不会显示任何错误信息。资金仍在受密码短语保护的钱包中，无法访问。对于启用了密码短语、却只靠记忆保存它的人来说，这是最常见的不可恢复情形。
派生路径错误。 如果钱包使用 BIP-49（封装式 SegWit）或 BIP-84（原生 SegWit），而恢复到的应用默认使用 BIP-44，那么同一助记词派生出的地址集合也会不同，余额看起来像是消失了。如果您知道要查找派生路径，可以在新应用的高级设置中更改路径来解决。
钱包不兼容。 并非所有钱包都支持每种 BIP-39 语言或每种币种类型。如果恢复所用的软件不支持原区块链对应的路径，就什么也看不到。资金并未丢失，只是在您使用支持该区块链的软件之前无法显示。
Lightning 通道缺少 SCB。 助记词可以恢复链上余额。要合作关闭已开启的通道，需要 SCB 文件。没有该文件时，通道可能会被强制关闭；如果备份已过期，对手方可能会据此领取罚没交易中的资金。
可被摄像头读取的存储方式。 将助记词制成二维码，或将照片保存在与云端同步的相册中，一旦账户遭到入侵，助记词就可能全部丢失。绝不能以摄像头或屏幕截图能够发送到服务器的形式保存助记词。
常见错误
- 数字存储。 屏幕截图、笔记应用、草稿和云文档都可能被恶意软件读取，也可能在数据泄露中暴露。助记词应离线保存。
- 社交工程诈骗。 冒充“客服”的人以“验证”或“恢复”账户为由索要助记词，一定是诈骗。您的攻击面一文汇总了这些手法。
- 只保存一份。 只在一个地方保存一份纸质副本，一旦发生火灾、洪水或入室盗窃，资产就可能永久丢失。
- 跳过恢复测试。 现在花五分钟测试，可以避免日后失去一切。
- 混淆助记词和私钥。 一个私钥控制一个地址；助记词可以派生出所有地址。丢失一个密钥已很棘手，丢失助记词则意味着全部丢失。
接下来该做什么
- 今天就检查备份。 找到助记词，并确认每个单词都清晰可辨。
- **记录派生路径，**如果您的钱包使用了非标准路径。普通 BIP-44 路径可以不特别记录。
- 将密码短语单独保存并进行测试。 如果您使用密码短语，请至少进行一次包含助记词和密码短语的完整恢复测试。
- **如果您使用 Lightning，请保存静态通道备份，**将它放在与助记词不同的地方，并在每次开启或关闭通道后更新。
- 根据资产价值选择存储介质。 风险较低、金额较小时可用纸张；资产价值较高时应使用金属。
- 制定托管计划。 您的个人托管计划可将这些规则转化为您能实际遵循的标准，而钱包备份与恢复指南则会逐步介绍在 Zelcore 中的具体操作。
核心要点
- 助记词是主熵的人类可读编码，用于生成钱包中的每个密钥，并由 BIP-39、BIP-32 和 BIP-44 标准化。
- 12 个单词对应 128 位熵，24 个单词对应 256 位熵。两者都几乎不可能被猜中。
- 丢失助记词会导致永久且不可逆的损失。忘记密码短语也一样。
- 助记词可以恢复余额和地址，但无法恢复 PIN 码、标签、Lightning 通道或非标准路径。
- 至少在不同的安全地点保存两份离线备份；资产较多时优先使用金属备份；切勿拆分单词，也不要将助记词放在摄像头或互联网可能接触到的地方。
