“錢包”一詞在比特幣中有多重含義。 廣義上，錢包是一個(gè)應(yīng)用程序，為用戶提供交互界面。 錢包控制用戶訪問(wèn)權(quán)限，管理密鑰和地址，跟蹤余額以及創(chuàng)建和簽名交易。 狹義上，即從程序員的角度來(lái)看，“錢包”是指用于存儲(chǔ)和管理用戶密鑰的數(shù)據(jù)結(jié)構(gòu)。

1. 錢包技術(shù)概述

在本節(jié)中，我們總結(jié)了各種技術(shù)，它們?yōu)橛脩魳?gòu)建起友好，安全和靈活的比特幣錢包。

一個(gè)常見誤解是，比特幣錢包里含有比特幣。 事實(shí)上，錢包里只含有鑰匙。 “錢幣”被記錄在比特幣網(wǎng)絡(luò)的區(qū)塊鏈中。 用戶通過(guò)錢包中的密鑰簽名交易，從而來(lái)控制網(wǎng)絡(luò)上的錢幣。 在某種意義上，比特幣錢包是密鑰鏈。

提示比特幣錢包只含有密鑰，而不是錢幣。 每個(gè)用戶有一個(gè)包含多個(gè)密鑰的錢包。 錢包只包含私鑰/公鑰對(duì)的密鑰鏈（請(qǐng)參閱［私鑰章節(jié)］）。 用戶用密鑰簽名交易，從而證明他們擁有交易輸出（他們的錢幣）。 錢幣以交易輸出的形式存儲(chǔ)在區(qū)塊鏈中（通常記為vout或txout）。

有兩種主要類型的錢包，區(qū)別在于它們包含的多個(gè)密鑰是否相互關(guān)聯(lián)。

第一種類型是非確定性錢包（nondeterministic wallet），其中每個(gè)密鑰都是從隨機(jī)數(shù)獨(dú)立生成的。密鑰彼此無(wú)關(guān)。這種錢包也被稱為“Just a Bunch Of Keys（一堆密鑰）”，簡(jiǎn)稱JBOK錢包。

第二種類型是確定性錢包（determinisTIc wallet），其中所有的密鑰都是從一個(gè)主密鑰派生出來(lái)，這個(gè)主密鑰即為種子（seed）。該類型錢包中所有密鑰都相互關(guān)聯(lián)，如果有原始種子，則可以再次生成全部密鑰。確定性錢包中使用了許多不同的密鑰推導(dǎo)方法。最常用的推導(dǎo)方法是使用樹狀結(jié)構(gòu)，稱為分級(jí)確定性錢包或HD錢包。

確定性錢包由種子衍生創(chuàng)造。為了便于使用，種子被編碼為英文單詞，也稱為助記詞。

接下來(lái)的幾節(jié)將深入介紹這些技術(shù)。

1.1 非確定性（隨機(jī)）錢包

在最早的一批比特幣客戶端中（ Bitcoin Core，現(xiàn)在稱作比特幣核心客戶端），錢包只是隨機(jī)生成的私鑰集合。這種類型的錢包被稱作零型非確定錢包。舉個(gè)例子，比 特幣核心客戶端預(yù)先生成100個(gè)隨機(jī)私鑰，從最開始就生成足夠多的私鑰并且每個(gè)密鑰只使用一次。這種錢包現(xiàn)在正在被確定性錢包替換，因?yàn)樗鼈冸y以管理、 備份以及導(dǎo)入。隨機(jī)密鑰的缺點(diǎn)就是如果你生成很多私鑰，你必須保存它們所有的副本。這就意味著這個(gè)錢包必須被經(jīng)常性 地備份。每一個(gè)密鑰都必須備份，否則一旦錢包不可訪問(wèn)時(shí)，錢包所控制的資金就付之東流。這種情況直接與避免地址重復(fù)使用的原則相沖突——每個(gè)比特幣地址只能用一次交易。地址重復(fù)使用將多個(gè)交易和地址關(guān)聯(lián)在一起，這會(huì)減少隱私。當(dāng)你想避免重復(fù)使用地址時(shí)，零型非確定性錢包并不是好的選擇，因?yàn)槟阋獎(jiǎng)?chuàng)造過(guò)多的私鑰并且要保存它們。雖然比特幣核心客戶端包含零型錢包，但比特幣的核心開發(fā)者并不鼓勵(lì)大家使用。

圖1展示的是一個(gè)非確定性錢包，其含有的隨機(jī)密鑰是個(gè)松散的集合。

提示除了簡(jiǎn)單的測(cè)試之外，不要使用非確定性錢包。 它們對(duì)于備份和使用來(lái)說(shuō)太麻煩了。 相反，推薦使用基于行業(yè)標(biāo)準(zhǔn)的HD錢包，可以用種子助記詞進(jìn)行備份。

1.2 確定性（種子）錢包

確定性，或者“種子”錢包包含通過(guò)使用單項(xiàng)離散函數(shù)而可從公共的種子生成的私鑰。種子是隨機(jī)生成的數(shù)字。這個(gè)數(shù)字也含有比如索引號(hào)碼或者可生成私鑰的“鏈碼”（參見“ 分層確定性錢包（BIP0032/BIP0044）”一節(jié)）。在確定性錢包中，種子足夠恢復(fù)所有的已經(jīng)產(chǎn)生的私鑰，所以只用在初始創(chuàng)建時(shí)的一個(gè)簡(jiǎn)單備份就足以搞定。并且種子也足夠讓錢包導(dǎo)入或者導(dǎo)出。這就很容易允許使用者的私鑰在錢包之間輕松轉(zhuǎn)移。

圖2展示了確定性錢包的邏輯圖。

1.3 分層確定性錢包（HD Wallets （BIP-32/BIP-44））

確定性錢包被開發(fā)成更容易從單個(gè)“種子”中生成許多密鑰。確定性錢包的最高級(jí)形式是通過(guò)BIP0032標(biāo)準(zhǔn)定義的HD錢包。HD錢包包含以樹狀結(jié)構(gòu)衍生的密鑰，使得父密鑰可以衍生一系列子密鑰，每個(gè)子密鑰又可以衍生出一系列孫密鑰，以此類推，無(wú)限衍生。圖3展示了樹狀結(jié)構(gòu)。

相比較隨機(jī)（不確定性）密鑰，HD錢包有兩個(gè)主要的優(yōu)勢(shì)。第一，樹狀結(jié)構(gòu)可以被用來(lái)表達(dá)額外的組織含義。比如當(dāng)一個(gè)特定分支的子密鑰被用來(lái)接收交易收入并且有另一個(gè)分支的子密鑰用來(lái)負(fù)責(zé)支付花費(fèi)。不同分支的密鑰都可以被用在企業(yè)環(huán)境中，這就可以支配不同的分支部門、子公司、具體功能以及會(huì)計(jì)類別。

HD錢包的第二個(gè)好處就是它可以允許讓使用者去建立一個(gè)公共密鑰的序列而不需要訪問(wèn)相對(duì)應(yīng)的私鑰。這可允許HD錢包在不安全的服務(wù)器中使用或者在每筆交易中發(fā)行不同的公共鑰匙。公共鑰匙不需要被預(yù)先加載或者提前衍生，而在服務(wù)器中不需要可用來(lái)支付的私鑰。

1.4種子和助記詞（BIP-39）

HD錢包具有管理多個(gè)密鑰和地址的強(qiáng)大機(jī)制。由一系列英文單詞生成種子是個(gè)標(biāo)準(zhǔn)化的方法，這樣易于在錢包中轉(zhuǎn)移、導(dǎo)出和導(dǎo)入，如果HD錢包與這種方法相結(jié)合，將會(huì)更加有用。 這些英文單詞被稱為助記詞，標(biāo)準(zhǔn)由BIP-39定義。 今天，大多數(shù)比特幣錢包（以及其他加密貨幣的錢包）使用此標(biāo)準(zhǔn)，并可以使用可互操作的助記詞導(dǎo)入和導(dǎo)出種子進(jìn)行備份和恢復(fù)。

讓我們從實(shí)際的角度來(lái)看以下哪種種子更容易抄錄、閱讀、導(dǎo)出以及導(dǎo)入。

16進(jìn)制表示的種子： 0C1E24E5917779D297E14D45F14E1A1A

助記詞表示的種子：

army van defense carry jealous true garbage claim echo media make crunch

1.5錢包最佳實(shí)踐

由于比特幣錢包技術(shù)已經(jīng)成熟，出現(xiàn)了一些常見的行業(yè)標(biāo)準(zhǔn)，使得比特幣錢包具備廣泛互操作，易于使用，安全和靈活的特性。這些常用的標(biāo)準(zhǔn)是：

助記碼，基于BIP-39

HD錢包，基于BIP-32

多用途HD錢包結(jié)構(gòu)，基于BIP-43

多幣種和多帳戶錢包，基于BIP-44

這些標(biāo)準(zhǔn)可能會(huì)隨著發(fā)展而改變或過(guò)時(shí)，但是現(xiàn)在它們形成了一套互鎖技術(shù)，這些技術(shù)已成為比特幣的事實(shí)上的錢包標(biāo)準(zhǔn)。

這些標(biāo)準(zhǔn)已被廣泛的軟件和硬件比特幣錢包采用，使所有這些錢包互操作。用戶可以導(dǎo)出在其中一個(gè)錢包上生成的助記符，并將其導(dǎo)入另一個(gè)錢包，實(shí)現(xiàn)恢復(fù)所有交易，密鑰和地址。

列舉支持這些標(biāo)準(zhǔn)的軟件錢包，包括（按字母順序排列）Breadwallet，Copay，MulTIbit HD和Mycelium。列舉支持這些標(biāo)準(zhǔn)的硬件錢包，包括（按字母順序排列）Keepkey，Ledger和Trezor。

以下部分將詳細(xì)介紹這些技術(shù)。

提示如果您正準(zhǔn)備開發(fā)一個(gè)比特幣錢包，那么它應(yīng)該被構(gòu)建為一個(gè)HD錢包，一個(gè)種子被編碼為助記詞代碼進(jìn)行備份，遵循BIP-32，BIP-39，BIP-43和BIP-44標(biāo)準(zhǔn)，下面章節(jié)有所涉獵。

1.6使用比特幣錢包

在［用戶故事］中，我們介紹了Gabriel，里約熱內(nèi)盧是一個(gè)有進(jìn)取心的少年，他正在經(jīng)營(yíng)一家簡(jiǎn)單的網(wǎng)絡(luò)商店，銷售比特幣品牌的T恤，咖啡杯和貼紙。

Gabriel使用Trezor比特幣硬件錢包（Trezor設(shè)備：硬件HD錢包）來(lái)安全地管理他的比特幣。 Trezor是一個(gè)簡(jiǎn)單的USB設(shè)備，具有兩個(gè)按鈕，用于存儲(chǔ)密鑰（以HD錢包的形式）和簽署交易。 Trezor錢包遵循本章討論的所有行業(yè)標(biāo)準(zhǔn)，因此Gabriel不依賴于任何專有技術(shù)或單一供應(yīng)商解決方案。

當(dāng)Gabriel首次使用Trezor時(shí)，設(shè)備從內(nèi)置的硬件隨機(jī)數(shù)生成器生成助記詞和種子。 在這個(gè)初始化階段，錢包在屏幕上按順序逐個(gè)顯示單詞。

通過(guò)寫下這個(gè)助記符，Gabriel創(chuàng)建了一個(gè)備份（參見表1），可以在Trezor設(shè)備丟失或損壞的情況下用于恢復(fù)。 在新的Trezor錢包，或者任一種兼容的軟件和硬件錢包中，助記詞都可以用于恢復(fù)。 請(qǐng)注意，單詞序列很重要，因此，記憶紙備份需要對(duì)每個(gè)單詞都有空格。Gabriel必須仔細(xì)記錄每個(gè)單詞的編號(hào)，以保持正確的順序。 表1Gabriel的助記器備份

提示為了簡(jiǎn)單起見，Gabriel的助記詞記錄中顯示了一個(gè)12個(gè)詞。 事實(shí)上，大多數(shù)硬件錢包生成更安全的24個(gè)詞的助記符。 助記詞以完全相同的方式使用，不管長(zhǎng)度如何。

作為網(wǎng)店的第一次實(shí)踐，Gabriel使用他的Trezor設(shè)備生成一個(gè)比特幣地址。 所有客戶的訂單都使用此單一地址。 我們將看到，這種方法有一些缺點(diǎn)，不過(guò)可以使用HD錢包進(jìn)行改進(jìn)。

2. 錢包技術(shù)細(xì)節(jié)

現(xiàn)在我們來(lái)深入了解被眾多比特幣錢包所使用的重要的行業(yè)標(biāo)準(zhǔn)。

2.1助記碼詞匯（BIP-39）

助記碼詞匯是英文單詞序列代表（編碼）用作種子對(duì)應(yīng)所確定性錢包的隨機(jī)數(shù)。單詞的序列足以重新創(chuàng)建種子，并且從 種子那里重新創(chuàng)造錢包以及所有私鑰。在首次創(chuàng)建錢包時(shí)，帶有助記碼的，運(yùn)行確定性錢包的錢包的應(yīng)用程序?qū)?huì)向使用者展示一個(gè)12至24個(gè)詞的順序。單詞的順序就是錢包的備份。它也可以被用來(lái)恢復(fù)以及重新創(chuàng)造應(yīng)用程序相同或者兼容的錢包的密鑰。助記碼詞匯可以讓使用者復(fù)制錢包更容易一些，因?yàn)橄啾容^隨機(jī)數(shù)字順序來(lái)說(shuō)，它們更容易地被閱讀和正確抄寫。

提示助記詞經(jīng)常與“腦錢包”混淆。 他們不一樣。主要區(qū)別在于腦錢包由用戶選擇的單詞組成，而助記符是由錢包隨機(jī)創(chuàng)建的，并呈現(xiàn)給用戶。 這個(gè)重要的區(qū)別使助記詞更加安全，因?yàn)槿祟惒聹y(cè)隨機(jī)數(shù)還是無(wú)能為力。

助記碼被定義在比特幣的改進(jìn)建議39中。需要注意的是，BIP-39是助記碼標(biāo)準(zhǔn)的一個(gè)實(shí)施方案。還有一個(gè)不同的標(biāo)準(zhǔn)，使用一組不同的單詞，是由Electrum錢包使用，并且早于BIP-39。 BIP-39由Trezor硬件錢包背后的公司提出，與Electrum的實(shí)施不兼容。 然而，BIP-39現(xiàn)在已經(jīng)在數(shù)十個(gè)可互操作的實(shí)踐案例中獲得了廣泛的行業(yè)支持，應(yīng)被視為事實(shí)上的行業(yè)標(biāo)準(zhǔn)。

BIP-39定義了助記符碼和種子的創(chuàng)建，我們?cè)谶@里描述了九個(gè)步驟。 為了清楚起見，該過(guò)程分為兩部分：

1-6步是創(chuàng)建助記詞，7-9步是從助記詞到種子。

2.2創(chuàng)建助記詞

助記詞是由錢包使用BIP-39中定義的標(biāo)準(zhǔn)化過(guò)程自動(dòng)生成的。 錢包從熵源開始，增加校驗(yàn)和，然后將熵映射到單詞列表：

1、創(chuàng)建一個(gè)128到256位的隨機(jī)序列（熵）。

2、提出SHA256哈希前幾位（熵長(zhǎng)/ 32），就可以創(chuàng)造一個(gè)隨機(jī)序列的校驗(yàn)和。

3、將校驗(yàn)和添加到隨機(jī)序列的末尾。

4、將序列劃分為包含11位的不同部分。

5、將每個(gè)包含11位部分的值與一個(gè)已經(jīng)預(yù)先定義2048個(gè)單詞的字典做對(duì)應(yīng)。

6、生成的有順序的單詞組就是助記碼。

圖6展示了熵如何生成助記詞。

表2表示了熵?cái)?shù)據(jù)的大小和助記詞的長(zhǎng)度之間的關(guān)系。

2.3從助記詞生成種子

助記詞表示長(zhǎng)度為128至256位的熵。 通過(guò)使用密鑰延伸函數(shù)PBKDF2，熵被用于導(dǎo)出較長(zhǎng)的（512位）種子。將所得的種子用于構(gòu)建確定性錢包并得到其密鑰。

密鑰延伸函數(shù)有兩個(gè)參數(shù)：助記詞和鹽。其中鹽的目的是增加構(gòu)建能夠進(jìn)行暴力攻擊的查找表的困難度。 在BIP-39標(biāo)準(zhǔn)中，鹽具有另一目的，它允許引入密碼短語(yǔ)（passphrase），作為保護(hù)種子的附加安全因素，我們將在BIP-39可選密碼短語(yǔ)章節(jié)詳細(xì)地描述。

創(chuàng)建助記詞之后的7-9步是：

7、PBKDF2密鑰延伸函數(shù)的第一個(gè)參數(shù)是從步驟6生成的助記符。

8、PBKDF2密鑰延伸函數(shù)的第二個(gè)參數(shù)是鹽。 由字符串常數(shù)“助記詞”與可選的用戶提供的密碼字符串連接組成。

9、PBKDF2使用HMAC-SHA512算法，使用2048次哈希來(lái)延伸助記符和鹽參數(shù)，產(chǎn)生一個(gè)512位的值作為其最終輸出。 這個(gè)512位的值就是種子。

圖5-7顯示了從助記詞如何生成種子

提示 密鑰延伸函數(shù)，使用2048次哈希是一種非常有效的保護(hù)，可以防止對(duì)助記詞或密碼短語(yǔ)的暴力攻擊。 它使得攻擊嘗試非常昂貴（從計(jì)算的角度），需要嘗試超過(guò)幾千個(gè)密碼和助記符組合，而這樣可能產(chǎn)生的種子的數(shù)量是巨大的（2^512）。

表3、4和表5展示了一些助記碼的例子和它所生成的種子。

2.4 BIP-39中的可選密碼短語(yǔ)

BIP-39標(biāo)準(zhǔn)允許在推導(dǎo)種子時(shí)使用可選的密碼短語(yǔ)。 如果沒有使用密碼短語(yǔ)，助記詞是用由常量字符串“助記詞”構(gòu)成的鹽進(jìn)行延伸，從任何給定的助記詞產(chǎn)生一個(gè)特定的512位種子。 如果使用密碼短語(yǔ)，密鑰延伸函數(shù)使用同樣的助記詞也會(huì)產(chǎn)生不同的種子。事實(shí)上，給予一個(gè)單一的助記詞，每一個(gè)可能的密碼短語(yǔ)都會(huì)導(dǎo)致不同的種子。 基本上沒有“錯(cuò)誤”的密碼短語(yǔ)， 所有密碼短語(yǔ)都是有效的，它們都會(huì)導(dǎo)致不同的種子，形成一大批可能未初始化的錢包。這批錢包非常之大（2^512），使用暴力破解或隨機(jī)猜測(cè)基本不可能。

提示BIP-39中沒有“錯(cuò)誤的”密碼短語(yǔ)。 每個(gè)密碼都會(huì)導(dǎo)致一些錢包，只是未使用的錢包是空的。

可選密碼短語(yǔ)帶來(lái)兩個(gè)重要功能：

（存儲(chǔ)在大腦中的）密碼短語(yǔ)成為第二個(gè)因素，使得助記詞不能單獨(dú)使用，避免了助記詞備份盜取后被利用。 起到掩人耳目的效果，把密碼短語(yǔ)指向有小額資金的錢包，分散攻擊者注意力，使其不在關(guān)注擁有大額資金的“真實(shí)”錢包。

然而，需要注意的是，使用密碼短語(yǔ)也會(huì)引起丟失的風(fēng)險(xiǎn)：

如果錢包所有者無(wú)行為能力或死亡，沒有人知道密碼，種子是無(wú)用的，所有存儲(chǔ)在錢包中的資金都將永遠(yuǎn)丟失。相反，如果所有者將密碼短語(yǔ)與種子備份在相同的地方，則違反了上述第二個(gè)因素的目的。雖然密碼是非常有用的，但它們只能與仔細(xì)計(jì)劃的備份和恢復(fù)流程結(jié)合使用，考慮到所有者個(gè)人風(fēng)險(xiǎn)的可能性，應(yīng)該允許其家人恢復(fù)加密資產(chǎn)。

2.5使用助記符代碼

BIP-39被做成函數(shù)庫(kù)，支持多種編程語(yǔ)言：python-mnemonic

SatoshiLabs團(tuán)隊(duì)在Python中提出了BIP-39標(biāo)準(zhǔn)的參考實(shí)現(xiàn)

bitcoinjs/bip39

作為流行的bitcoinJS框架的一部分，在JavaScript中實(shí)現(xiàn)了BIP-39

libbitcoin/mnemonic

作為流行的Libbitcoin框架的一部分，在C ++中實(shí)現(xiàn)了BIP-39

還有一個(gè)BIP-39生成器在獨(dú)立的網(wǎng)頁(yè)中實(shí)現(xiàn)，對(duì)于測(cè)試和實(shí)驗(yàn)非常有用。圖5-8展示一個(gè)獨(dú)立的網(wǎng)頁(yè)，可以生成助記詞、種子和擴(kuò)展私鑰。