我读了很多关于钱包安全的文章，这似乎被普遍认为是一个坏主意（比如看这个视频或这个答案），但我很难理解为什么在某些情况下它不是一个好的选择。
假设我有三个中等安全的位置可以存储信息-我自己的家和一些亲密家庭的家，也许。我想安排一些事情，以便在其中任何两个地点访问信息，使我能够访问我的比特币，以防其中一个地点遭受自然灾害或被盗，但我不希望任何人能够访问我的硬币仅仅通过访问其中一个地点。
我创造了一个24字种子的钱包。我不使用Shamir的秘密共享算法，因为我认为这是被广泛反对的（例如，请参阅本文），并且是我不完全理解的密码学的潜在风险源。相反，我使用了一个我完全可以手动执行的简单方案，对于种子中的每一组三个单词，我将它们按如下方式分开：
位置A位置B位置C
单词1单词1
单词2单词2
单词3单词3
因此，三个位置中的每一个都有2/3的单词，即16个单词。很容易确认（通过实验，如果必要的话）我可以从三个位置中的任意两个重建完整的种子。
如果攻击者能够在单个位置访问这些单词，他们只需猜8个单词就可以访问这些资金。这表面上是8*11=88位的熵，但由于种子包含一些校验和位，我将在实践中手动将其降低到80位。
我的理解是，80位并不被认为是难以置信的安全，但它也不是微不足道的破坏。如果我认为我的存储位置相当安全，并且不期望有目标的盗窃行为（“我们知道他有很多比特币，我们将破门而入窃取一个位置的话，我们有一组机器随时待命，以暴力破解丢失的单词），但我只是想保护自己免受机会主义盗窃（“我们破门而入，窃取家用电子产品和任何现金，但我们也发现了这些比特币种子单词！”），认为这是可以接受的荒谬吗？
显而易见的替代方案似乎是三取二的多西格方案。如果每个钱包都使用12个单词的种子，那么访问单个位置的攻击者必须猜测12个单词或128位的熵，这显然更强。另一方面，对于3个multsig中的2个：
访问单个位置的攻击者将获得我必须存储在每个位置的主公钥的副本，因此可以看到钱包余额和交易，这可能会激发目标攻击或以其他方式损害我的隐私。
在每个位置存储主公钥的需要增加了备份的复杂性和风险。我可能更容易因为一个错误而失去我的比特币，而不是攻击者的行为，无论我选择什么方案。如果在任何一个地方的文件遭受轻微损坏，我可能仍然能够找出一个种子词-它毕竟是英语，我知道它来自某个单词列表-而作为主公钥的乱码字符串没有这种额外的冗余。
感觉这种种子分割方案有自己的一套折衷方案，但我并不清楚它是完全不好的。我错过了什么？
多重签名
记忆种子
钱包安全
分享
改进这个问题
跟随
13小时前问的
史蒂夫
1322枚青铜徽章
添加评论
我们的分析是正确的。这个方案的缺点是，如果一个位置被破坏，只剩下80位的安全性。但是80位对于实际用途来说已经足够了，如果一个资源丰富的攻击者愿意投入大量资源来破解它，那么破解它可能至少需要10年时间。
这假设原始种子是以一种公正的方式选择的。如果用于生成原始种子的方案中存在任何缺陷，那么如果密钥的2/3被泄露，则可能没有足够的安全性。
显然，用12个字的种子来做这件事将是一场彻底的灾难。
分享
改进这个答案
跟随
