前言

今年看到很多关于「抢劫加密货币」的新闻：

针对于加密货币实施的犯罪不仅存在于比特世界，在原子世界也变得越来越频繁。今天读到《精通比特币》第三版「种子和恢复码」部分，结合自己之前经历过的钱包安全事件，脑海中出现很多经典的犯罪场景，针对于这些场景，我们可以采用哪些技术手段来保证自己的资产安全呢？

💡 在此之前，你需要知道的：
种子技术是一种在加密货币钱包中用于生成私钥和公钥的技术。通过生成一个随机数作为种子，再利用该种子计算出多个私钥和公钥对，从而实现钱包的生成和恢复。
恢复码是一组用于恢复钱包的助记词，是种子的可读形式。常见的恢复码由12到24个单词组成（如 BIP39），这是通过将种子编码为单词序列得到的。用户可以手动记录这组单词，用于在钱包丢失或损坏时恢复钱包。

假设场景

场景 1：劫持威胁

情景描述

加入你遇到了劫匪，劫匪要求你必须交出比特币钱包的恢复码，你不想暴露自己的全部资产，但又要交出一些钱来保命。

困点

不能让劫匪知道你到底有多少钱。

解决方案

使用 BIP39 和 SLIP39 的合理否认机制。在 BIP39 和 SLIP39 恢复码方案中，用户可以设置一个「主恢复码」以及可选的口令。不同的口令会生成不同的密钥树，因此 Alice 可以设置一个包含少量资金的备用口令，用于应对被迫交出恢复码的情况。这样，歹徒即便拿到恢复码和备用口令，也只能获取少量资产。

def generate_seed(mnemonic_phrase, passphrase=""):
    """
    Generate seed from mnemonic phrase and optional passphrase using PBKDF2.
    """
    # BIP39 defines the salt as "mnemonic" + passphrase
    salt = "mnemonic" + passphrase
    # Generate the seed using PBKDF2-HMAC-SHA512 with 2048 iterations
    seed = hashlib.pbkdf2_hmac("sha512", mnemonic_phrase.encode(), salt.encode(), 2048)
    return seed.hex()

# 初始化 BIP39 助记词生成器
mnemo = Mnemonic("english")

# 生成助记词
mnemonic_phrase = mnemo.generate(strength=128)  # 12 个助记词
print(f"助记词: {mnemonic_phrase}")

# 使用不同的口令生成种子
passphrase_1 = "main_passphrase"
passphrase_2 = "secondary_passphrase"

# 生成不同的种子
seed1 = generate_seed(mnemonic_phrase, passphrase_1)
seed2 = generate_seed(mnemonic_phrase, passphrase_2)

print(f"种子 (口令1): {seed1}")
print(f"种子 (口令2): {seed2}")

# 验证不同口令生成的种子是否相同
if seed1 != seed2:
    print("不同口令生成了不同的种子。")
else:
    print("不同口令生成了相同的种子（请检查代码或口令设置）。")

打印示例

助记词: dose grid token call output jungle spot monster ozone spread bunker canal
种子 (口令1): 5a7a35f7a6e08d7a7efb93f9120d94bf7ffb3a7f82e84e2334fa6310a7f216b20b6fc536...
种子 (口令2): 9e40e3d60ff15a54d37dabc8474825c92a5b830d842fbdb77e5fbe5a6b35b7123c973c6...

场景 2：跨国旅行遭遇检查

情景描述

你全球旅行到了一个对加密货币不友好的国家。入境检查时，当地安全人员要求他上交钱包的恢复码和私钥，但你并不想这么做。

困点

携带的私钥无法完整恢复钱包

解决方案

使用 SLIP39（分布式恢复码），可以将种子恢复码分成多个分片，存放在不同位置。比如我们可以设置 2 个分片，自身携带一个，要求比如两个分片在一起时才可以恢复钱包。

# 初始化 BIP39 助记词生成器
mnemo = Mnemonic("english")

# 生成助记词作为种子
mnemonic_phrase = mnemo.generate(strength=128)  # 生成 12 个助记词
print(f"原始助记词: {mnemonic_phrase}")

# 将助记词分成两个分片，设定 2 个分片才能恢复
mnemonics = generate_mnemonics(master_secret=mnemonic_phrase.encode(), group_threshold=1, groups=[(2, 2)])

print("生成的分片:")
for idx, part in enumerate(mnemonics, start=1):
    print(f"分片 {idx}: {part}")

# 恢复过程，使用两个分片组合恢复原始种子
recovered_phrase = combine_mnemonics(mnemonics)
print(f"恢复的助记词: {recovered_phrase.decode()}")

# 验证恢复的助记词是否和原始助记词一致
if recovered_phrase.decode() == mnemonic_phrase:
    print("成功恢复原始助记词！")
else:
    print("恢复失败，助记词不匹配。")

打印示例

原始助记词: stable whisper section invite risk embrace stand educate snack banner mirror result
生成的分片:
分片 1: armed strong acquire jungle plug mutual letter mother door use field mistake
分片 2: quick trip modify island food reduce length renew warm fortune green square
恢复的助记词: stable whisper section invite risk embrace stand educate snack banner mirror result

💡 原始助记词并不是分片 1 和分片 2 的简单集成。Shamir’s Secret Sharing (SSSS) 算法背后的原理并不是将原始助记词简单地拆分成多个部分，而是通过数学方法将原始数据（种子或助记词）转换成多个唯一且独立的分片。每个分片都包含一部分恢复原始数据所需的信息，但单独一个分片本身不能直接恢复原始助记词。因此：
每个分片都包含部分信息，但单独无法还原原始助记词；
多个分片联合才能进行插值重建，进而恢复原始种子。

场景 3：监守自盗

情景描述

你和几个朋友一起开了一家公司，希望共同管理 BTC 资产。但不希望任何人单独获得恢复码。

困点

任何一个恢复码都无法单独获得所有资产。

解决方案

SLIP39 或 Codex32 的分布式密钥分片。可以将种子恢复码分成多个分片（如 8 个），并将不同的分片分给朋友，同时设定恢复门限为 5 个分片。这样，即使有部分分片丢失或泄露，攻击者仍无法获得完整的恢复码。

💡 Codex32 是一种新的、仍在开发中的恢复码方案，目前尚未有正式的 Python 库或标准实现，但我们可以根据分布式密钥分片的原理，模拟 Codex32 的工作方式。Codex32 类似于 Shamir 的秘密共享方案，但它设计为可以通过物理方式（如纸质打印和手动验证）来生成和验证密钥分片。具体逻辑可以参考 SLIP39 代码片段。

当然，目前很多 EVM 链或图灵完备的公链大多数会采用多签钱包或 AA 钱包的方式来解决此类问题。但由此可能会引申出一个新的问题 - 如果双方各掌握 50% 的权限，那么当意见出现分歧时，很容易陷入僵局。

场景 4：设备丢失或被盗

情景描述

你的手机被盗，而且手机中存放着恢复码的照片。

困点

恢复码照片泄露导致资金被盗。

解决方案

**Aezeed（口令身份验证）。**Aezeed 的口令验证可以防止用户输入错误密码，而攻击者即便拥有恢复码，若不知道正确口令，依然无法生成有效的密钥。

使用 Aezeed 方案，你的恢复码是加密的，并且包含口令身份验证。在恢复钱包时，如果输入错误的密码，会立即显示验证错误，不会生成错误的密钥树。

技术特点

从上述描述中，我们可能感觉 Aezeed 和 BIP39、SLIP39 在功能上有一定相似性，特别是在使用口令生成不同密钥树方面，但 BIP39 和 SLIP39 的设计旨在生成单一恢复码或分片恢复码，通过可选口令来生成不同的密钥树，但缺少验证机制。输入错误口令时，BIP39 和 SLIP39 仍会生成有效密钥树，可能导致用户误解和丢失资金。但 Aezeed 会通过校验，告知用户输入的是错误的口令。

不仅如此 Aezeed 相比 BIP39 和 SLIP39 还有一些独特的特性，包括其设计目的是为 闪电网络提供更好的支持，并且包含更多的安全特性，如口令验证和钱包生日信息，以及多层版本控制。这些特性使得 Aezeed 更适合复杂应用场景，比如高频、实时的交易需求。

由于目前 Aezeed 还没有正式的库实现，但我们可以模拟其通过口令生成不同种子的流程，同时添加口令验证，以确保在用户输入错误口令时返回错误信息。

def generate_seed_with_aezeed(mnemonic_phrase, passphrase=""):
    """
    Generate an Aezeed-style seed from mnemonic phrase and optional passphrase.
    Adds basic password validation by checking a derived hash.
    """
    # Aezeed 风格的种子生成函数
    salt = "mnemonic" + passphrase
    seed = hashlib.pbkdf2_hmac("sha512", mnemonic_phrase.encode(), salt.encode(), 2048)
    # 验证哈希值的前 8 字节作为基本校验
    checksum = seed[:8]
    return seed.hex(), checksum

def verify_passphrase(mnemonic_phrase, passphrase, expected_checksum):
    """
    Verify if the provided passphrase generates the expected checksum.
    """
    _, checksum = generate_seed_with_aezeed(mnemonic_phrase, passphrase)
    return checksum == expected_checksum

# 初始化 BIP39 助记词生成器
mnemo = Mnemonic("english")

# 生成助记词作为种子
mnemonic_phrase = mnemo.generate(strength=128)  # 生成 12 个助记词
print(f"助记词: {mnemonic_phrase}")

# 使用主口令生成种子
main_passphrase = "correct_password"
seed, checksum = generate_seed_with_aezeed(mnemonic_phrase, main_passphrase)
print(f"主种子: {seed}")
print(f"校验码: {checksum.hex()}")

# 测试其他口令是否会产生不同种子，并进行验证
test_passphrase = "wrong_password"
is_valid = verify_passphrase(mnemonic_phrase, test_passphrase, checksum)

print(f"口令验证结果（错误口令）: {'有效' if is_valid else '无效'}")

# 验证正确口令
is_valid = verify_passphrase(mnemonic_phrase, main_passphrase, checksum)
print(f"口令验证结果（正确口令）: {'有效' if is_valid else '无效'}")

打印示例

助记词: stable whisper section invite risk embrace stand educate snack banner mirror result
主种子: 5a7a35f7a6e08d7a7efb93f9120d94bf7ffb3a7f82e84e2334fa6310a7f216b20b6fc536...
校验码: 5a7a35f7a6e0
口令验证结果（错误口令）: 无效
口令验证结果（正确口令）: 有效

场景 5：网络黑客攻击

情景描述

你担心黑客攻击威胁到恢复码的安全，因此希望找到一种完全离线的存储方法。

困点

离线存储且可分片（防止单一丢失）

解决方案

Codex32 的手动离线分布式存储。Codex32 恢复码方案允许用户通过打印说明书、剪刀等物理方式生成分片恢复码，避免电子设备参与。Eve 可以将恢复码分片离线打印并分散存放，确保恢复码不会受到网络攻击威胁。

总结

Simon 写字的地方

More from Simon 写字的地方

逃出生天：不同威胁下的钱包恢复策略

前言

假设场景

场景 1：劫持威胁

情景描述

困点

解决方案

场景 2：跨国旅行遭遇检查

情景描述

困点

解决方案

场景 3：监守自盗

情景描述

困点

解决方案

场景 4：设备丢失或被盗

情景描述

困点

解决方案

技术特点

场景 5：网络黑客攻击

情景描述

困点

解决方案

总结