密码短语

密码短语在任何密钥产生之前就与助记词混合，因此改动其中任何一个字符，都会得到一个全新的空钱包。任何错误输入都不会被拒绝，因为每一个可能的字符串都是有效输入。这一特性正是该功能的全部意义所在，也是人们使用它时最常见的资金损失原因。

运作方式

BIP-39将密码短语定义为助记词转换为种子时所用盐值的可选扩展。盐值是字面文本 "mnemonic" 加上您的密码短语，二者合在一起经过2,048轮 PBKDF2 与 HMAC-SHA512 运算。密码短语一旦改变，512位输出的每一位都会改变，随之改变的是主密钥，以及该钱包日后会显示的每一个地址。

由此产生三个后果，每一个都会让人意外。

不存在错误答案。如果您输入密码短语时使用了上次没有用过的大写字母，钱包会正常打开，显示余额为零，并给出全新的收款地址。没有任何故障，也没有任何提示。向该钱包转入比特币，就会使这一错误无法挽回。

每个字符都严格按输入的样子计算。大小写、空格、标点和带重音的字符都是密码的一部分，包括您看不见的末尾空格。钱包在哈希之前会将文本规范化为 Unicode NFKD，这可以解决大部分重音编码差异，但对于只能大致记住的短语，没有任何办法可以挽救。

密钥拉伸的强度很弱。PBKDF2 的2,048次迭代在2013年时成本很低，如今几乎可以忽略不计。已经拿到您手写助记词的攻击者，可以极快的速度测试字典中的密码短语，因此 "bitcoin2020" 或宠物的名字只能增加数小时的防护，而不是数年。密码短语应当足够长且无法猜测，否则形同虚设。

这些别称同样具有误导性。称其为“第25个单词”，会让人以为它来自 BIP-39词表并受校验和保护。两者都不是：它是任意文本，没有校验，不在词表中，也无法找回。

购买比特币时为何重要

密码短语只为应对一种特定威胁而存在：有人实际拿到了您的设备或手写的助记词。您的其他设置已经能够防范远程攻击者。

对较旧的硬件而言，这种威胁并非假设。本站评测的两款 Trezor 设备，即 Model One 和 Model T，都没有安全元件，其厂商明确表示，攻击者在实验室中拿到设备即可提取所存储的种子。密码短语是文档记载的缓解措施，因为单靠提取出的密钥只能打开错误的钱包。同样的道理也适用于在入室盗窃中被发现、或被访客看到的手写备份。

代价是，恢复现在需要两个相互独立的秘密信息，而第二个通常只存在于您的脑海中。大多数密码短语丢失正是由此而来：不是被盗，而是持有人去世、遗忘或搬家。如果您使用密码短语，请将其写下并存放在与助记词不同的地方，使任何单一地点都不会同时存有两者，任何单一意外也不会同时毁掉两者。Trezor 将输入限制为50个字符，因此请规划一个能容纳的长度。

如果您的持有量会显著改变您的生活，且您面临的现实威胁是某个人而不是黑客，请使用密码短语。如果您仍在学习阶段、余额很小，或者您无法联系时没有对其作出安排，则不要使用。

真正有效的胁迫钱包

隐藏钱包功能只有在可见钱包令人信服时才有用，而大多数人把这一点弄反了。

请将设备设置为不使用密码短语，并在其中放入一笔真实、可花费的金额。几百美元、偶尔有转账的比特币，看起来就像普通人的钱包。空的标准钱包恰恰说明了它自己：证明某处存在密码短语。

请将积蓄放在密码短语钱包中，并保持其安静。在 Trezor 上，输入密码短语会以独立会话打开一个隐藏钱包，留空则返回诱饵钱包，没有任何迹象表明另一个钱包的存在。

请如实看待其局限。这可以保护您免受发现或偷走设备并查看其中内容的人侵害。对于知道该功能存在的人，保护作用要小得多，而且在一些司法管辖区，就资产向有关当局主动撒谎是一项独立于比特币的违法行为。保持沉默是站得住脚的立场，虚假陈述则不是。

密码短语 vs 双重验证

密码短语是第二个密钥，而不是银行所说意义上的第二重验证。双重验证是由服务器执行的检查，服务器可以拒绝您、限制尝试次数、锁定账户，并让客服团队恢复访问。密码短语无人检查，无法重置，任何拿到您助记词的人都可以无限次离线猜测，输入错误时还会悄然打开另一个钱包。这种比较恰恰朝错误的方向抬高了它。

密码短语 vs Shamir 备份

密码短语是增加一个密钥，Shamir 备份是拆分一个密钥。二者回答的是不同的问题。密码短语要解决的是如何让被找到的备份失去用处，做法是要求持有一样发现者没有的东西。Shamir 要解决的是如何在丢失一份备份后仍能幸存，做法是把一张纸变成若干份，其中只需要一部分。两者可以结合使用，但会成倍增加恢复失败的途径，因此请选择您实际面临的问题。