视频来源:Andreas Antonopoulos(aantonop)频道《Bitcoin Q&A: Why is Seed Splitting a Bad Idea?》(YouTube,约 10 分钟)。核查立场:本文为问答类视频的密码学核查 + 重构。视频的核心结论(不要 DIY 拆助记词)与 BIP-39/SLIP-39 规范原文、NIST 强度标准完全一致;其中一处口误(2 的指数)已在第三节修正,其余主张逐条对过规范与官方文档。
直接回答标题:不安全。把 24 词助记词按「任意两份可拼回」拆成三份分存,看似 2/3 门限,实际上每份只缺 8 个词——攻击者拿到任意一份,暴力破解空间就从 256 位塌缩到约 80 位,而 80 位早已被 NIST 列为禁用的安全强度。同时你还赔掉了复原力:三份里丢两份,资产永久归零。真要门限,用 SLIP39 这类 Shamir 标准,不要自己发明。
🧭 速览:四档评级
- 【有证据】24 词 BIP39 助记词 = 256 位熵 + 8 位校验和,共 264 位(BIP-0039 规范原文)
- 【有证据】按 2/3 方案拆分后,单份泄露只剩约 80 位密钥材料待爆破(按词位逐位推算,见第二节)
- 【有证据】NIST SP 800-131A 已将 80 位安全强度列为「禁止用于保护」;112 位只是 2030 年前的过渡下限
- 【有证据】Shamir 门限方案低于门限 = 零信息泄露(信息论安全,Shamir 1979 原文)
- 【部分支持】「80 位十年内可被算力集群攻破」——方向正确,但 BIP39 的 PBKDF2-2048 迭代会显著拖慢实际爆破速度,且公开工具目前只做到缺失 ≤4 词
- 【口误已修正】视频把 256−80 口说成「2^196 倍容易」,正确值是 2^176 倍(他自己也说「如果我算得对」)
🎬 一、网友提问:一个看似完美的「2/3 备份」
原文观点:网友 Pyrros 问——想给钱包种子做 2/3 保护,把 24 词助记词这样存:地点 1 放第 1-8 词 + 9-16 词;地点 2 放第 1-8 词 + 17-24 词;地点 3 放第 9-16 词 + 17-24 词。「听起来像 Shamir 备份但更简单:单看一份拿不到完整种子,任意两份就能还原。这安全吗?」
核查:aantonop 的判决是「Absolutely not」——永远不要拆助记词,这个结论完全成立,第二节用数学说明为什么。先点破一个直觉错误:这个方案「形似」Shamir 门限,但它把门限建立在对密钥材料做减法上,而 Shamir 是把秘密编码进多项式,两者有本质区别,第四节展开。
🔢 二、数学拆解:256 位是怎么被砍成 80 位的
原文观点:24 词助记词含 256 位熵,不可爆破;但按上面的方案,任意一份都缺 8 个词,缺的里面还有一个是校验位所在,实际只剩约 7 个词的关键材料,即约 80 位;爆破 80 位远难于「三分之一难度」的直觉,是指数级塌缩。
核查:【有证据】,逐步对过 BIP-0039 规范原文:
- 📐 BIP39 编码规则:24 词 = 256 位熵 + 8 位校验和(SHA-256 的前 8 位),拼接成 264 位,每 11 位映射一个词表单词(2^11 = 2048 词),264 ÷ 11 = 24 词
- ✂️ 按 2/3 方案,每份缺 8 词 = 缺 88 位;若缺的 8 词包含末词,末词里装的是 8 位校验和 + 3 位熵(256 = 23×11 + 3),所以缺失的密钥材料 = 7×11 + 3 = 80 位——视频的 80 位推算正确
- 🧪 校验和是双刃剑:攻击者本地就能验证猜测对不对(24 词的误判率仅 1/256),不用连区块链查余额,爆破成本进一步压低
- 📉 80 位 vs 256 位:爆破工作量之比 = 2^256 ÷ 2^80 = 2^176 倍——不是「容易三倍」,是容易 2^176 倍,宇宙级和纸糊级的区别
红字结论:DIY 拆词 = 亲手把 256 位安全砍到 80 位。NIST 早已把 80 位列为「禁止用于保护」的强度(SP 800-131A);对照现实,比特币全网算力做 2^80 次 SHA-256 只需数天量级,虽然 BIP39 的 PBKDF2-2048 迭代会把每次猜测拖慢约三个数量级,但这只是把「国家级预算可及」变成「更有耐心的国家级预算可及」。
🚫 三、口误补丁:2^176,不是 2^196
核查补丁:视频原话把 256−80 说成「2^196 倍容易」(他自己都加了「如果我算得对」)。正确值:2^176。这是口误,不影响论证方向——无论 2^176 还是 2^196,结论都是「指数级塌缩」。但既然做核查,数字就按对的写。
🧮 四、真门限长什么样:SLIP39 / Shamir 与 DIY 的本质区别
原文观点:真要做 k/n 门限,用 Shamir 秘密共享——多项式编码保证低于门限 k 份在数学上等同于零信息,拿 k−1 份去爆破等于爆破整个密钥空间;SLIP39 就是干这个的标准,原生支持 2-of-3。
核查:【有证据】。Shamir 1979 年论文《How to Share a Secret》给出的性质是信息论级的:k−1 份不泄露任何比特,这不是「很难算」,是「什么都学不到」。SLIP-0039(SatoshiLabs 提出)把它做成钱包标准:Trezor 官方文档明示,每份份额是 20 词(128 位强度)或 33 词(256 位强度),可设任意 k/n,低于门限零泄露;2024 年 6 月起 Shamir 备份是 Trezor Safe 系列的默认备份类型。
三个视频没展开、但动手前必须知道的点:
- 🔀 SLIP39 与 BIP39 不互通:词表不同、机制不同,SLIP39 备份只能用支持它的钱包(主要是 Trezor 系)恢复;OneKey、Ledger 走的是 BIP39 + passphrase 路线,买设备前先想清楚走哪条生态,别混用
- ⏱️ 恢复时刻暴露窗:SLIP39 在恢复时要把份额拼回主种子,拼合动作发生在单一设备上——这个窗口期多签没有(多签的钥匙各自独立、永不合体);超大额持仓的多签路线另见CEX 和 DEX 怎么分工里的托管分水岭讨论
- 🧰 主流替代:BIP39 助记词 + 独立存放的 passphrase(即「第 25 个词」),机制拆解见BIP39 助记词拆解:12 个词怎么变出整个钱包;passphrase 丢了他链上资产也没了,所以它自己也要按同等规格备份
🛡️ 五、不做门限的正解:整词备份 + 物理防护
原文观点:助记词是备份用的——正确做法是整串词在多个地点各存一份完整备份,这同时给出安全性和复原力。怕被人看到?用物理手段:钢板备份、防拆封条、保险箱/银行保管箱。更怕?加 passphrase,分开存放。
核查:【有证据】,与 Bitcoin Wiki 及各硬件钱包厂商的现行官方指引一致。注意这里的逻辑:多份备份是「完整复制」,每一份单独都保持 256 位安全,安全不降级;DIY 拆词是「数学降级」,每一份单独只有 80 位。同样是「三地存放」,一个把风险交给物理防护,一个亲手拆掉密码学地基。硬件钱包本身的选型与信任模型(随机数可不可信、要不要掷骰子注入自己的熵)另见硬件钱包的种子可信吗和硬件钱包放久会被黑吗。
⚠️ 六、复原力代价:安全没要到,韧性先赔光
原文观点:这个方案不只不安全,还不韧——三份丢两份就全完;他收到过几十封求助邮件,有人拆了词丢了部分,只能回答「很可能永远丢了」;最惨的是这些人里运气好的还能爆破找回,意味着他们没换来安全,只是赔上了韧性。「复杂度不只是安全的敌人,也是易用性的敌人」;不要 DIY 密码学,用专家写好的、文档化、可互操作的标准。
核查:【部分支持】。「几十封邮件」是无法核实的自述,但 Reddit、Bitcoin Talk 上「拆分助记词后丢份」的求助帖是长期存在的公开模式,方向属实。「复杂度是安全的敌人」是经验法则而非定理,但它与所有主流钱包厂商「用标准、别自创」的指引同向——SLIP39 存在的意义就是把门限方案标准化,让普通人不必自己当密码学家。还有一层视频没明说:DIY 分词还有个继承噩梦——你的继承人看到三张写着半截单词的纸,根本不知道那是什么。
✅ 可采纳 / ❌ 不可自行采纳
- ✅ 助记词整串备份,多地各存一份完整副本(钢板优于纸)
- ✅ 需要门限 → 用 SLIP39/Shamir(Trezor 系),按官方流程生成和验证恢复
- ✅ 防人看 → 物理防护:保险箱、保管箱、防拆封条;再叠加 passphrase 分地存放
- ✅ 任何新备份方案落地前,先小额演练一次完整恢复流程
- ❌ 不要把助记词按词位拆开分存(DIY 分片 = 安全砍到 80 位)
- ❌ 不要把「看起来像 Shamir」当成 Shamir——门限必须建立在标准上,不是直觉上
- ❌ 不要自创密码学方案,包括自创的「改进版」分片
- ❌ 已经拆了的人不要抱侥幸:缺的份数越少越危险,尽快迁移(见 FAQ 第 4 问)
❓ FAQ
Q:12 词助记词拆三份会不会好一点?
更糟。12 词 = 128 位熵 + 4 位校验和 = 132 位;按同样思路拆三份,每份缺 4 词,若缺的那组含末词,只剩约 40 位密钥材料——家用显卡集群就能跑完。词越少,拆分的相对伤害越大。
Q:整词备份在多地点,任何一份被看到就全完,怎么破?
这是威胁模型问题,不是数学问题:防「被看到」靠物理防护(钢板+防拆+保险箱),防「单点被突破即全丢」靠 passphrase 与助记词分地存放,防「单点既丢又被拿」靠 SLIP39 门限或多签。先想清楚你防的是小偷、火灾、还是自己健忘,再选工具。
Q:SLIP39 和 BIP39 能混用吗?
不能。两套词表、两套机制互不兼容,SLIP39 份额只能用支持它的钱包(目前主要是 Trezor 系)恢复。OneKey/Ledger 用户想要「多份分布」效果,现实路径是 BIP39 + passphrase 分地,或者直接上多签。大额持仓把币分散在多个独立种子之间,也是简单有效的「人肉门限」。
Q:已经把词拆成三份存了好几年,现在要动吗?
要。步骤:① 在干净、离线的环境用任意两份拼回完整助记词;② 用这组词恢复出一个临时钱包,确认余额;③ 生成一组全新助记词的新钱包,把资产全部转过去(先小额测试);④ 旧的三份分片全部作废销毁,新种子按「整词多份」重新备份。整个过程不让助记词触网、不输入任何网页。
📚 参考来源
- BIP-0039 规范原文(熵/校验和位数、11 位映射、PBKDF2-2048)
- SLIP-0039 规范原文(Shamir 门限、20/33 词份额)
- Trezor 官方:What is Shamir backup?(低于门限零泄露、2024 年 6 月起 Safe 系列默认)
- Shamir, A. (1979). How to Share a Secret. Communications of the ACM(门限方案原文,信息论安全)
- NIST SP 800-131A Rev.2(80 位禁用、112 位过渡下限、2030 后 128 位)
- Timechain Wiki: SLIP-39 and Shamir Secret Sharing(恢复时刻暴露窗 vs 多签)
- 原视频:Andreas Antonopoulos(aantonop), YouTube
免责声明:本文为公开视频内容的科普整理与密码学核查,不构成投资建议(not financial advice);涉及资产迁移操作前请先小额演练,助记词永远不触网、不输入任何网页、不发给任何人。