私钥是一个秘密数字。任何知晓它的人都可以花费该地址上持有的比特币；而不知晓者，无论拥有多少算力，都无能为力。公钥则是其公开对应的部分：它由私钥计算得出，可以公开显示在任何地方，却不会泄露秘密。这种单向性正是比特币以及所有无需银行介入的区块链技术的核心奥秘。
在这个系统中，“所有权”并不意味着名字出现在某个注册表中，而是意味着某人能够生成有效的签名。正因如此，丢失的密钥是永久性的损失，而被复制的密钥则立即带来危险。
从技术上讲，比特币私钥是一个介于1和2的256次方（略小于此值）之间的随机数。将其写出来，这个上限值有78位十进制数字，以115,792,089开头。这听起来像是一场关于大数字的游戏，但它有一个实际后果：猜测并不是一种可行的攻击手段。不存在某种最终会被穷举出来的密钥库存。
助记词、私钥和地址这三个术语经常被混淆，但它们描述了同一计算过程的三个阶段。助记词是起源，从中可以衍生出任意数量的私钥。每个私钥恰好生成一个公钥。而从公钥中又衍生出地址，即当你希望他人向你发送硬币时所提供的地址。
密钥并不是存储在区块链某处的东西。区块链仅持有地址、金额和签名。私钥只存在于你保管它的地方：可能在硬件钱包中、手机应用里、一张纸上，或者在交易所的数据库中。
将私钥转换为公钥的计算过程称为椭圆曲线上的点乘运算。自2009年以来，比特币一直使用secp256k1曲线进行此操作。简单来说，该曲线上有一个固定的起始点，你的私钥决定了这个点与自身结合的次数。结果产生一个新的点，这个点就是你的公钥。
在一个方向上，计算机只需微秒即可完成该运算。反向操作——从终点倒推回步数——涉及椭圆曲线上的离散对数问题。目前，尚无已知的方法能在经典计算机上以合理的时间解决这一问题。每一笔余额的安全性都完全依赖于这一点。
以太坊使用相同的曲线，但其地址的推导方式与比特币不同。这就是为什么尽管底层数学原理相同，比特币地址和以太坊地址却无法互通的原因。如果将硬币发送到错误链上的地址，它们通常会消失，因为那里没有人能生成匹配的签名。
你在比特币中复制并作为收款地址使用的，并非公钥本身，而是其哈希值。公钥经过两个哈希函数处理，最终剩余的是一个160位的值，然后被编码为可读的字符字符串。因此，地址可以说是公钥的一种指纹。
这一中间步骤产生了一个令许多人惊讶的后果：只要你从未从某个地址花费过任何东西，你的公钥就不会出现在公共视野中。只有在第一次花费时，它才会变得可见，因为签名需要可验证性，而网络需要公钥来进行验证。在此之前，区块链只知道哈希值。
大小差异也解释了为什么地址碰撞不是一种现实可行的攻击途径。每一个160位的指纹在算术上大约对应着7.9乘以10的28次方个不同的私钥。这在理论上是一个难以想象的匹配数量，而在实践中则是零可达匹配，因为即使找到一个指纹也需要超过全球计算能力总和的资源。
公钥就像邮箱的投信口：向所有人开放，但只有主人能打开。
区块链中的一笔转账是一条记录，声明：“这些地址中的这些金额转移到那个地址。”为了使网络接受这笔交易，该记录必须经过签名。签名由私钥和交易内容共同生成。网络上的任何人都可以使用公钥来检查该签名只能来自匹配的私钥，而无需看到私钥本身。
中本聪在2008年的《比特币白皮书》中将这一原则描述为所有权证明链：每个所有者签署给下一位的移交手续，且签名永远可验证。因此，负责记账和确认条目的银行变得多余。
这与密码有本质区别。你将密码发送给服务提供方，对方验证后便已获知该密码。而私钥 ideally 永远不会离开存放它的设备。硬件钱包正是这样做的：未完成的交易输入设备，签名在设备内部完成，最后输出的仅是签名。具体哪些设备如何实现这一功能，可以参考我们的硬件钱包对比指南。
十二或二十四个单词生成所有密钥。没人会手写记录一个78位的数字。因此，如今几乎所有钱包都采用符合BIP39标准的助记词：从2,048个固定词汇列表中选取的12或24个单词。这串单词是随机值的易读形式，钱包随后据此进行计算。
第二个标准BIP32规定了后续步骤。助记词生成主密钥，并以此为基础以树状结构衍生出任意数量的后续密钥对。在实践中，这意味着单串单词携带了钱包中的所有地址，包括那些将在两年后才生成的地址。这就是为什么丢失的钱包可以通过助记词完全恢复，也为什么那些单词的照片足以清空余额。
新钱包最初几分钟的操作流程及关键步骤，详见我们的创建比特币钱包指南。对于软件钱包，助记词加密存储在设备本身，仅受应用密码和底层系统安全的保护。
从BIP32树状结构中衍生出一个鲜为人知但极具价值的工具：xpub（扩展公钥）。它允许计算钱包分支中的每个地址并读取其余额，而无法发起任何转账。
借助它，你可以在从未见过助记词的电脑上监控硬件钱包的持仓，或者给予税务程序对你历史记录的只读访问权。代价是隐私：持有你xpub的人可以看到该分支过去和未来的所有动向。因此，尽管xpub无法移动资金，但它也不应出现在公共文件中。
在交易所，托管方持有密钥。如果你在购买硬币后将它们留在交易所，你就没有拥有私钥。你拥有的是一家公司的债权，而公司拥有密钥。你的硬币在提供方的资产负债表上；在你的账户中，只是一个数字。
欧洲加密货币法规MiCA precisely地将此视为一项独立的服务：托管加密资产及访问手段（即私钥）需要授权。提供商需要获得加密资产服务提供商的许可，在德国由BaFin颁发和监督。相关的职责规定详见我们对加密货币公司MiCA义务的概述。
这种监管并未改变技术地位。许可证要求托管方隔离客户持仓、持有自有资金并承担法律责任，但其基础设施仍负责生成签名。如果访问失败，账户被冻结或提供商陷入困境，你剩下的只有法律追索权，而非密钥。因此，受监管提供商的托管和你自己手中的托管解决了不同的问题，许多投资者将持仓分散在这两者之间。
签名就像印章：任何人都可验证，但只有拥有抽屉里的印模才能生成。
比特币从一开始就使用ECDSA方案进行签名。随着Taproot升级（自2021年11月14日第709,632区块起生效），第二种方案加入其中：基于BIP340标准的Schnorr签名。这些签名位于相同的secp256k1曲线上，但长度始终精确为64字节，且公钥缩小至32字节。
优势在于ECDSA所缺乏的一个特性：Schnorr签名可以相加。多方可以共同生成单个签名，在网络看来如同单个用户所为。因此，需要三个签名的钱包可以更便宜、更低调地运行。对于日常使用而言，这主要意味着较新的地址格式会产生更低的费用，因为签名占用的空间更少。
关于量子计算机的担忧常被颠倒叙述。易受攻击的环节是从公钥回溯到私钥的路径，而非助记词或地址。足够强大的量子计算机可以破解secp256k1所依赖的离散对数问题。因此，首先面临风险的余额正是那些公钥已经公开暴露在区块链上的余额，即所有此前已被花费过的地址。
这部分供应量的规模有多大？我们在2026年10月21日的量子联盟分析中指出：当时记录了604万枚比特币的公钥处于暴露状态。移动到从未被花费过的全新地址可以再次消除这一攻击途径，因为此时仅可见哈希值。
替代方案已经存在。2024年8月，美国国家标准与技术研究院（NIST）发布了FIPS 204，这是一种被认为对量子计算机安全的签名标准。然而，对于比特币而言，切换将是协议层面的变更，需要网络首先达成一致，且新签名需要的空间远大于64字节。目前尚未设定日期。
弱点几乎从不在于数学层面。决定结果的是存储方式，且模式不断重复：
第一，互联网上的副本。云存储中的助记词照片、笔记应用或聊天记录中的内容，其安全性等同于其所处账户的安全性。一次登录泄露就足够了。
第二，在错误的地方输入。将单词输入克隆网站或恶意植入的应用程序，等于自愿交出密钥。真正的钱包仅在恢复时询问助记词，绝不会用于解锁提款或奖金。
第三，单一介质。纸张会燃烧，硬盘会损坏，设备会丢失。如果没有存放在另一处的第二份副本，余额将彻底消失，无人能将其找回。
第四，未解决的继承。如果所有者去世而继承人不知道单词的位置， holdings 将永远停留在区块链中。它们可见但不可达。
同一个理念有助于应对前三点：密钥至少存在两份，物理存储且无网络连接。对于大额持仓，需要多个签名的多重签名钱包可以将风险分散到多个地点和人员身上。
以下三个步骤可在半小时内确立你的安全立场：
1. 检查密钥当前的存放位置。写下哪些持仓由提供商托管，哪些持仓在你自己持有助记词的钱包中。对于提供商部分，授权是关键问题，哪些交易平台拥有欧洲牌照详见我们对受监管加密交易所的概述。
2. 制作助记词的第二份副本。手写或压印在金属板上，存放在与第一份不同的地方，不要拍照，也不要上传云端。来自我们对比指南中的硬件钱包可将密钥保留在设备内部，防止其从受感染的计算机中泄露。
3. 在需要之前测试恢复过程。用少量资金设置一个钱包，删除它，然后仅通过单词恢复。只有这次尝试才能证明你的笔记完整且正确。适合此操作的程序详见我们的软件钱包对比。
（截至2026年10月25日。本文不构成投资建议。价格和费用结构会发生变化；购买前请与提供商核实条款。）
声明：文章不代表币圈网立场和观点，不构成本站任何投资建议。内容仅供参考！
免责声明:本站所有内容仅供用户学习和研究,不构成任何投资建议.不对任何信息而导致的任何损失负责.谨慎使用相关数据和内容,并自行承担所带来的一切风险.