近期上映的成龙新作《捕风追影》中有一段情节颇具深意：高达上百亿港币的加密资产被锁定在一个仅由 12 个单词组成的助记词钱包内，而剧情悬念集中在缺失的最后一个单词上。
笔者在观影后进行了实际测试，发现第 10 位和第 12 位词汇并未收录于标准助记词库中。这显然是编剧为了规避观众依据剧情复原钱包从而实施诈骗的特意安排，毕竟链上此类骗局屡见不鲜：
骗子往往会故意暴露一个「含有余额」的钱包地址（常见于 Tron 链，利用其 Owner 机制），诱导受害者转入 Gas 费，一旦资金到账便无法追回。
然而，有趣的是，尽管电影中设定只差最后一个单词，但在现实世界中，助记词遵循 BIP39 标准，词库总共仅有 2048 个单词。这意味着，即使采用暴力破解手段来猜测最后一位，最多也只有 2048 种可能性。若进一步缩小范围，例如已知首字母为「es」，可选词汇更少，一分钟即可穷尽所有可能。
抛开电影情节，更值得探讨的核心问题是：助记词、私钥、公钥之间究竟存在何种关联？为何一旦遗失助记词，就意味着彻底失去了所有资产控制权？
一、助记词、私钥、公钥/地址：钥匙串、钥匙与门牌号的逻辑
助记词是基于 BIP39 标准的一种备份机制，它通过算法从 2048 个英文单词的词库中随机抽取并组合成 12、18 或 24 个单词。
这组助记词经由 PBKDF2 算法处理后，会生成一个种子（Seed）。随后，依据 BIP32/BIP44 等路径规范，该 Seed 可派生出若干私钥，进而对应一系列公钥及地址。
一组助记词 → 衍生一系列私钥 → 生成一系列公钥 → 映射一系列地址
简而言之：
- 助记词 = 钥匙串，它与私钥通常呈一对多关系，理论上单个助记词可衍生出数以万计的私钥；
- 私钥 = 钥匙，每一把私钥都对应特定地址的使用权限；
- 公钥/地址 = 门牌号，可以公开透明，他人可凭此向你转账；
因此，助记词可被视为你的「钥匙串」，其中的每把私钥如同能开启门锁的钥匙，用于签名并证明你对某个钱包地址的所有权——当发起交易时，即使用私钥进行签名，向全网宣告：「这笔转账已获授权」。
二、能否自行挑选助记词？
或许会有朋友心想：我能否自行凑齐 12 个单词？比如生日、钟爱的英文单词或偶像名字，这样更具个性化。
答案是：理论上可行，但风险极高。
计算机生成的随机数属于真随机，而人类在挑选单词时往往带有固有模式（如常用词、习惯用语、顺序偏好等），这会大幅压缩搜索空间，使助记词极易被推测出来。
此前曾发生多起「伪随机钱包」安全事故。部分钱包在生成助记词时采用了伪随机算法，导致熵值严重不足，遭到黑客通过暴力遍历直接穷举破解——2015 年黑客组织 Blockchain Bandit 便利用故障的随机数生成器及程序漏洞，系统性地搜寻弱安全私钥，成功扫出 70 余万个脆弱钱包地址，并盗走了其中超过 5 万枚 ETH。
当然，极客们有时会使用骰子（需确保骰子均匀）摇出随机数，再映射至 BIP39 单词库，以此实现手工层面的安全，但这过程繁琐且易出错，对大众而言并非最佳选择。
三、能否暴力撞出 V 神或其他巨鲸的钱包？
这个问题我也曾深思，幻想某日随机生成的钱包地址中竟存有数百万枚 ETH，瞬间实现财富自由，甚至取代某位巨鲸的地位。
光想想便令人心动。但残酷的现实是：这种概率几乎为零。
原因在于助记词的组合数量庞大到超出人类认知：
- 12 个单词：有效组合数约 2¹²⁸ ≈ 3.4 × 10³⁸
- 24 个单词：有效组合数约 2²⁵⁶ ≈ 1.16 × 10⁷⁷
这一数量级意味着什么？
世人皆知地球沙子数量浩瀚，科学家估算地球上所有沙滩和沙漠的沙粒总数约为 7.5×10¹⁸ 粒。相比之下：
- 12 个单词的有效组合数，相当于地球沙粒总数的 4.5 × 10¹⁹ 倍
- 24 个单词的有效组合数，更是地球沙粒总数的 1.5 × 10⁵⁸ 倍
换言之，这好比将地球上每一粒沙子化作一颗「新地球」，每个新地球上又有沙滩和沙子，而你需在所有这些沙粒中，一次性精准找到事先标记的那一粒。
这已远超人类的想象极限。
因此，暴力破解钱包的概率并非仅仅是「极低」，而是在现有物理学和计算能力下等同于零，指望靠「撞库」暴富，其成功率远低于买彩票。
回到电影设定：若真有人仅差一个助记词单词，确实存在通过暴力遍历尝试的可能性。
最后，关于钱包、助记词及私钥的安全防护要点如下：
- 优先选用经过市场和时间考验、代码开源且经过审计的非托管钱包，如 MetaMask、Trust Wallet、SafePal 等，条件允许时首选硬件钱包；
- 助记词和私钥严禁截图、存储于网盘、复制粘贴或分享给任何人；
- 建议使用纸笔抄写（推荐不锈钢助记词板以防潮防火防腐蚀），置于安全处并进行 2~3 处异地备份；
- 公钥/地址可放心公开，视其为门牌号，但务必警惕钓鱼链接；
- 建议在洁净设备上管理钱包，避免安装来源不明的插件或 App；
- 牢记铁律：任何索要助记词的行为，100% 均为诈骗。
以上即为对助记词、私钥、公钥关系的深度解析，更多关于加密资产安全的资讯请关注后续文章！