12 個助憶詞夠安全嗎？為什麼不像 Bitcoin 錢包用 24 個？

夠，12 個單字就夠了。12 個單字的 BIP-39 助憶詞承載 128 位元的熵。暴力破解 128 位元不是「電腦要更大台」的問題，而是「需要的能量超過全人類產出」的問題。現實中不存在能攻破 128 位元、卻拿 256 位元沒辦法的攻擊。

拿 Bitcoin 來比反而說明了 24 個單字大多是行銷話術：Bitcoin 金鑰建立在 secp256k1 曲線上，而這條曲線本身只提供約 128 位元的安全性。24 個單字等於把 256 位元的熵灌進一道只需約 128 位元工作量就能打開的鎖。這也是許多主流錢包至今預設 12 個單字的原因。

PrivacyNotes 全程鎖定同樣的 128 位元安全等級：你的助憶詞會經過金鑰衍生函數，而它所保護的加密（XChaCha20-Poly1305）金鑰強度也與之相配。改成 24 個單字只會讓你要抄寫和輸入的份量翻倍，卻不會增加任何實質安全性，所以我們沒有提供的打算。

說實話，任何復原助憶詞的弱點都在釣魚攻擊和那張紙收在哪裡，而不是長度。顧好助憶詞本身，12 個單字撐得比我們所有人都久。