12 个单词,如何一步步变成一把私钥、一个地址、和一次不可伪造的转账。以及为什么丢了就永远找不回。
"区块链钱包"这个词有误导性——钱包里其实没有钱。钱(状态)在链上,钱包里只有一把私钥。谁持有私钥,谁就能签署"花掉这笔钱"的交易。整个 Web3 的所有权,归根结底就是第 18 章的数字签名。这一章我们把从助记词到签名的完整链条走一遍。
本章 Demo 是教学演示,为了让你看清每一步,它用了简化的派生(比如用 SHA-256 代替以太坊真正的 Keccc-256、用小词表代替 BIP-39 的 2048 词表)。它生成的任何私钥/地址都不可用于真实资产,真实资产也绝不要输进任何网页。 真实钱包请用经过审计的库和硬件钱包。
回到第 18 章:私钥签名、公钥验证。区块链把这个原语变成了所有权凭证:
0x…)由你的公钥推导而来,可以公开。用的曲线是 secp256k1(第 17 章提过,比特币和以太坊都用它)。私钥是一个 256 位随机数 d,公钥是曲线上的点 Q = d·G——又是那个单向的标量乘:从私钥算公钥易如反掌,从公钥反推私钥(ECDLP)不可能。
一个 256 位私钥长这样:0x4c0883a69102937d…——没人能准确抄写和保管。BIP-39 助记词解决了这个人机工程难题:把那串随机比特,按标准词表映射成 12 或 24 个普通单词。
单词好抄、好读、好在纸上保存,还自带校验和(抄错一个词能被检测出来)。这串助记词就是你钱包的总种子——从它能确定性地派生出你所有的私钥。所以:
谁拿到你的 12 个助记词,谁就能在任何钱包软件里重建出你的全部私钥,拿走全部资产。所以:①绝不截图、不上传、不发消息、不输进任何网站;②抄在纸上/刻在金属上离线保存;③任何向你索要助记词的"客服""空投""验证",100% 是诈骗。这不是危言耸听——助记词钓鱼是加密世界最主流的盗窃手段。
现代钱包是 HD(分层确定性)钱包(BIP-32/44)。它从助记词派生出一棵密钥树,顺着一条"派生路径"(如 m/44'/60'/0'/0/0)能生成无穷多个子密钥。好处:你只需备份一句助记词,就能恢复所有账户;每次收款还能用一个新地址来保护隐私。全部子密钥都由那一颗种子确定性地长出来——这也是"确定性"三个字的含义。
下面的 Demo 把整条派生链摊开给你看(真实 secp256k1 曲线运算,教学简化的哈希步骤)。点"生成"随机造一组,或自己填助记词,观察每一步如何确定性地导出下一步:
有了私钥,发一笔交易就是第 18 章的签名:
以太坊还有一个和 App 安全强相关的细节:EIP-191 / EIP-712 结构化签名。当一个 DApp 请求你签名时,EIP-712 让钱包能清晰地展示你到底在签什么(而不是一串看不懂的十六进制)。这直接对应第 18 章的教训:永远搞清楚你在签的是什么——很多盗币事件正是骗用户签下了一个"授权把我全部代币转走"的消息,而用户以为只是"登录"。
把单点私钥的风险分散,是链上安全的重要方向:
· 多签(Multisig):一笔交易需要 M-of-N 把私钥共同签署才生效(如 3 个创始人里任意 2 个)。单把私钥泄露不至于丢钱。
· 门限签名(TSS):用密码学(秘密共享 + MPC)把一把私钥拆成 N 份,签名时多方协作产生一个普通签名,而完整私钥从未在任何一处出现过。比多签更私密、更省 gas。
这些都是把第 18 章的签名,与"秘密共享""安全多方计算"等更高级的密码学组合起来的成果——又一次印证"威力在于组合"。
回头看整个 Phase 6:哈希链、Merkle 树、PoW(第 23 章),椭圆曲线、ECDSA、助记词派生(本章)——没有一样是新密码学。区块链只是把第 3 Phase 的哈希和第 4 Phase 的签名,用一种"去掉可信第三方"的方式重新组合。你在前面章节建立的每一个直觉,在这里都直接适用。这也是为什么懂密码学的人看 Web3,能一眼分清哪些是真创新、哪些是包装。
Phase 6 结束。我们已经把密码学从古典走到了当代最热的应用。最后一个 Phase,我们眺望前沿:一种"泄露今天的密钥也读不了昨天消息"的聊天协议,一种"证明我知道却不告诉你"的魔法,以及一个可能颠覆前面所有公钥算法的幽灵——量子计算机。