助记词的词数跟着随机数位数走，最后一个词里带着校验位

12 个词和 24 个词各对应多少位随机数

12 个词的助记词背后是 128 位随机数，外加 4 位校验；24 个词是 256 位随机数，外加 8 位校验。词数翻一倍，随机数的位数翻一倍，校验位也从 4 位变成 8 位。

这套规则写在 BIP-39 的“Generating the mnemonic”一节里，过程分四步：

1. 钱包生成一串随机数，长度在 128 到 256 位之间，必须是 32 的倍数。
2. 对这串随机数算一次 SHA-256（一种公开的固定算法），取结果最前面的几位当校验位：随机数每 32 位配 1 位校验，128 位配 4 位，256 位配 8 位。
3. 校验位接在随机数后面，整串按每 11 位切成一段。每段是 0 到 2047 之间的一个编号。
4. 拿编号到一份 2048 个词的词表里取词，取出来的词按顺序排好，就是助记词。

每一行都能自己验算：合计位数除以 11 正好等于词数，132 ÷ 11 = 12，264 ÷ 11 = 24。中间三行说明 15、18、21 个词同样是这套标准里的合法长度，钱包给出这几个数不用紧张。

助记词最后一个单词为什么不能随便换

最后一个词的 11 位里有一部分是校验位，是钱包拿整串随机数算出来的；换成别的词，算出来的结果多半对不上。

到底有多少个词能通过，照上面那张表可以算出来。拿 12 个词来说：总共 132 位，前 11 个词用掉 11 × 11 = 121 位，全是随机数；128 位随机数还剩 7 位，落在最后一个词里，后面再接 4 位校验，凑满 11 位。前 11 个词定下来以后，这 7 位有 2 的 7 次方、也就是 128 种写法，每一种只配得上一个校验值。所以能通过校验的末词是 128 个，词表一共 2048 个词，128 ÷ 2048 = 1/16。

24 个词卡得更紧。总共 264 位，前 23 个词用掉 253 位，256 位随机数只剩 3 位留给最后一个词，其余 8 位全是校验。3 位只有 8 种写法，2048 个词里能通过的只有 8 个，比例是 1/256。

钱包这一侧，BIP-39 的要求是：软件必须对输入的助记词算一遍校验，结果不对就发出警告。于是在 12 个词的钱包里随手换掉末词，十六次里大约有十五次会看到“助记词无效”一类的提示。

剩下那一次更麻烦。校验通过了，钱包不报错，可是那 7 位随机数已经变了，恢复出来的是另一个钱包，里面没有你的资产。

同一个道理也适用于整组词：从词表里自己挑 12 个词拼在一起，能通过校验的机会同样只有十六分之一。BIP-39 在动机部分交代过，这套办法是把电脑生成的随机数转写成人能抄的词，和用户自己编一句话当钱包是两回事。

助记词校验能拦住哪些抄写错误，哪些拦不住

校验位是从你那串随机数算出来的，它检查的只有一件事：这组词自己前后对不对得上。下面几种抄写错误大多会被拦下：

• 把一个词抄成了词表里的另一个词。随机数变了，校验位多半跟着对不上。12 个词时校验位只有 4 位、16 种取值，碰巧还能通过的机会大约十六分之一；24 个词时大约二百五十六分之一。
• 抄成了词表里没有的词。这一种轮不到校验位出场：词表里查不到，就换算不出编号。
• 漏了一个词或多了一个词。11 个词、13 个词都不在对照表的任何一行里，词数这一步就过不去。
• 顺序抄乱了。词的先后决定了那串位的排列，顺序一变，等于换了一串数，结果和抄错词一样。

拦不住的有三种。第一种是上面说的碰巧通过，抄错了一个词却没有任何提示。第二种是拿错了纸：任何钱包生成的助记词都能通过校验，把旧钱包的备份当成新钱包的输进去，钱包照常恢复，打开的是另一个钱包。第三种和抄写无关，纸被别人看到、被拍下来，校验位管不着。

所以“校验通过”只能读成“这是一组合法的助记词”，读不出“这是我那一组”。确认是不是自己那一组，看恢复后的收款地址和余额对不对得上。

12 个词和 24 个词的助记词，安全上差多少

BIP-39 对长度只有一句话：随机数位数越多，安全性越高，句子也越长。128 位和 256 位各算什么水平，Trezor 学习中心讲 12、20、24 个词的那一页说得更直接：12 个词是 128 位安全强度，和比特币私钥的强度相当；24 个词是 256 位，页面给的评语是远超实际需要。它的结论是各种长度的备份都足够安全，靠猜是猜不出来的。

这一页还解释了旧款 Trezor Model One 为什么默认 24 个词：这款设备恢复时要在电脑上输入单词，多出来的词是给这个过程加的一层保护。

词数用钱包默认给的就行，不必为了 24 个词专门换一个钱包。更值得花心思的是这张纸放在哪、有没有被拍过照、有没有被输进过钱包以外的地方。24 个词的抄写量是 12 个词的两倍，好在校验位也从 4 位加到了 8 位，抄错后碰巧通过的机会小得多。

要是你想绕开抄写和保管这件事，另一类钱包干脆不向你展示助记词，换来的是另一组取舍，无助记词钱包与自托管那篇把两边各自交出去什么列了出来。

钱包给了 20 个词，是不是出错了

没出错，那是另一套标准。20 这个数不在 BIP-39 的对照表里，Trezor 那一页把它归在 SLIP39 名下，也叫 Shamir 备份，并把它列为 Trezor Safe 5 等较新机型的默认格式。

按该页的说明，20 个词的备份同样是 128 位安全强度，和 12 个词的 BIP-39 备份持平。多出来的词装的是别的东西：分组与门限信息（分成几份、凑齐几份才能恢复），外加一段用来发现错误的校验。

两套标准的词不能混着用。按 BIP-39 的规则去读一组 20 个词的备份，词数这一步就对不上；恢复时要选支持 SLIP39 的钱包，并在恢复界面里选对备份类型。抄写这类备份时，在纸上顺手写明“SLIP39，20 个词”，以后换设备省得猜。

抄写和核对助记词时的六条建议

1. 只从钱包自己的屏幕上抄，手写在纸上。不截图、不拍照，不存进备忘录、邮箱草稿或云盘。
2. 每个词前面写序号。抄完数一遍，是不是钱包告诉你的那个数：12、24，或者表里的 15、18、21。少一个多一个，都停下来重抄。
3. 逐词对前四个字母。BIP-39 对词表的要求里有一条：打出前四个字母就足以确定是哪个词。字迹潦草的地方，把前四个字母描清楚。
4. 生成助记词时语言选英文。以后换一个钱包恢复，对方不一定认别的语言的词表。
5. 钱包让你重新选一遍或输一遍来确认备份时，别跳过。这时钱包手里还有原来那一组，能直接对出你抄下的词对不对；原钱包还在，发现抄错也来得及重抄。
6. 恢复时提示助记词无效，拿着纸逐词对序号、拼写和词数。不要靠换词去试：试到“通过”的那一组，也可能是一个不属于你的空钱包。

助记词抄好之后，下一个要核对的是收款地址。电脑上显示的地址和设备屏幕上的不一样时信哪一边，看硬件钱包屏幕和电脑显示的地址以哪个为准。