xiyu(@ohxiyu):每隔一段时间就有人问:助记词用的人越来越多,会不会两个人抽到同一套? 不会。但这个担心放错了地方。 12 词助记词的有效组合是 2^128,大概 3.4×10^38。按生日悖论,要让"任意两套撞上"的概率爬到 50%,需要约 2^64 套独立生成的种子——1800 亿亿套。现在全球加密持有者大概 6-7 亿(a16z 口径),真正活跃的只有几千万。就算往死里放大,地球 100 亿人每人生成 1000 套,也才 10^13,离那个门槛还差六个数量级。何况实际在用的独立种子远比这少:一套种子经 BIP32 能派生出成千上万个地址,交易所更是几套种子管全部资产。真正丢币的从来不是撞词,是生成那一刻的随机数塌了。 2023 年 7 月的 Milk Sad(CVE-2023-39910),Libbitcoin Explorer 的 bx seed 用 Mersenne Twister 生成熵,拿系统时间当种子,内部熵只剩 32 位。2^128 的空间瞬间缩成 43 亿个候选,一张消费级显卡就能撸完。研究者确认 22.7 万个地址受影响,链上被卷走 90 多万美元。Trust Wallet 浏览器插件 2022 年栽在同一类坑(CVE-2023-31290),同一批研究者顺藤摸出来的。所以别再数组合数了。该问的是:生成这 12 个词的那台设备,当时手里有多少真熵?

2026.08.06 13:14

每隔一段时间就有人问:助记词用的人越来越多,会不会两个人抽到同一套? 不会。但这个担心放错了地方。 12 词助记词的有效组合是 2^128,大概 3.4×10^38。按生日悖论,要让"任意两套撞上"的概率爬到 50%,需要约 2^64 套独立生成的种子——1800 亿亿套。现在全球加密持有者大概 6-7 亿(a16z 口径),真正活跃的只有几千万。就算往死里放大,地球 100 亿人每人生成 1000 套,也才 10^13,离那个门槛还差六个数量级。何况实际在用的独立种子远比这少:一套种子经 BIP32 能派生出成千上万个地址,交易所更是几套种子管全部资产。真正丢币的从来不是撞词,是生成那一刻的随机数塌了。 2023 年 7 月的 Milk Sad(CVE-2023-39910),Libbitcoin Explorer 的 bx seed 用 Mersenne Twister 生成熵,拿系统时间当种子,内部熵只剩 32 位。2^128 的空间瞬间缩成 43 亿个候选,一张消费级显卡就能撸完。研究者确认 22.7 万个地址受影响,链上被卷走 90 多万美元。Trust Wallet 浏览器插件 2022 年栽在同一类坑(CVE-2023-31290),同一批研究者顺藤摸出来的。所以别再数组合数了。该问的是:生成这 12 个词的那台设备,当时手里有多少真熵?