助記詞是由錢包使用BIP-39中定義的標準化過程自動生成的。錢包從一個熵源開始，添加校驗碼，將熵映射到單詞列表：

Generating entropy and encoding as mnemonic words 展示瞭如何使用熵來生成助記詞。

Mnemonic codes: entropy and word length 顯示了熵數據的大小與助記詞的長度之間的關係。

助記詞表示長度為128到256位的熵。然後使用熵通過使用密鑰擴展函數PBKDF2來匯出更長的（512位）種子。之後使用生成的種子構建確定性錢包並匯出其密鑰。

密鑰擴展函數需要兩個參數：助記詞和 鹽 salt 。在密鑰擴展函數中使用鹽的目的是使構建一個查找表並暴力破解難以實現。在BIP-39標準中，鹽有另一個目的 - 它允許引入密碼，作為保護種子的附加安全因素，我們將在 BIP-39中可選的密碼中詳細描述。

步驟7到9中描述的過程從 [generated_mnemonic_words] 中的過程繼續：

From mnemonic to seed 展示瞭如何使用助記詞來生成種子。

表格 #mnemonic_128_no_pass, #mnemonic_128_w_pass, and #mnemonic_256_no_pass 顯示一些助記詞和他們產生的種子（沒有任何密碼）的例子。

BIP-39標準允許在派生種子中使用可選的密碼。如果沒有使用密碼，助記詞將被一個常量字串 mnemonic 的鹽擴展，產生一個特定的512位種子。如果使用密碼短語，則擴展函數會從同一助記符中生成一個 不同的 種子。對於一個助記詞，每一個可能的密碼都會導致不同的種子。本質上，沒有 ＂錯誤的＂ 密碼。所有密碼都是有效的，會生成不同的種子，形成一大批未初始化的錢包。可能的錢包的集合非常大（2⁵¹²），因此沒有可能暴力破解或意外猜測出正在使用的錢包。

可選的密碼引入了兩個重要功能：

但是，要注意使用密碼也會導致丟失的風險：

雖然密碼非常有用，但應該結合精心策劃的備份和恢復過程，需要考慮主人是否存活，要允許其家人恢復密碼貨幣資產。

BIP-39有許多不同的程式語言庫實現：

還有一個在網頁中實現的BIP-39生成器，這對於測試非常有用。 A BIP-39 generator as a standalone web page 展示了生成助記詞，種子和擴展私鑰的網頁。

這個頁面 (https://iancoleman.github.io/bip39/) 可以離線或在線訪問

HD錢包使用 子密鑰派生 child key derivation (CKD) 方法從父密鑰派生子密鑰。

子密鑰派生方法基於單向雜湊函數，該函數結合：

鏈碼用於向過程中引入確定性隨機數據，所以只知道索引和子密鑰不足以派生其他子密鑰。除非有鏈碼，否則知道一個子鑰匙不能找到它的兄弟姐妹。初始鏈碼種子（樹的根部）由種子製成，而後續子鏈碼則從每個父鏈碼中匯出。

這三項（父密鑰，鏈碼和索引）被組合並雜湊以生成子鍵，如下所示。

使用HMAC-SHA512演算法將父公鑰，鏈碼和索引組合並雜湊，以產生512位雜湊。這個512位雜湊平分為兩部分。右半部分256位作為後代的鏈碼，左半部分256位被添加到父私鑰以生成子私鑰。在 Extending a parent private key to create a child private key 中，我們看到這個例子中的索引設置為0，以產生父項的＂零＂級（第一個索引）孩子。

更改索引允許我們擴展父項並創建序列中的其他子項，例如Child 0，Child 1，Child 2等。每個父項可以有 2,147,483,647（2 ³¹）個子項（2³² 範圍的一半 2³¹是可用的，另一半保留用於特殊類型的推導，我們將在本章後面討論）。

在樹的下一層重複這個過程，每個孩子都可以成為父項並在無限的世代中創造自己的孩子。

子私鑰與非確定性（隨機）密鑰沒有區別。因為派生函數是單向函數，不能使用子項來尋找父項和尋找任何兄弟姐妹。不能通過第n個子項找到它的兄弟姐妹，如第 n-1 個子項或者第 n+1 個子項，或者任何這個序列上的子項。只能通過父密鑰和鏈碼派生所有的孩子。如果沒有子鏈碼，子密鑰也不能派生任何孫項。你需要子私鑰和子鏈碼來啟動一個新分支並派生孫項。

那麼，子私鑰能用來幹什麼呢？它可以用來製作公鑰和比特幣地址。然後，它可以用來簽署交易，並花費任何支付給該地址的費用。

如我們所見，基於三個輸入：密鑰，鏈碼和所需子項的索引，可以使用密鑰派生函數在樹的任何級別創建子項。這兩個基本要素是密鑰和鏈式程式碼，它們的組合稱為 擴展密鑰 extended key 。也可以認為＂擴展密鑰＂是＂可擴展的密鑰＂，因為這樣的密鑰可以用來派生孩子。

擴展密鑰簡單地表示為由256位的密鑰和256位的鏈碼串聯成的512位序列。有兩種類型的擴展密鑰：擴展私鑰是私鑰和鏈碼的組合，可用於派生子私鑰（從它們產生子公鑰）；擴展公鑰是公鑰和鏈碼，可用於創建子公鑰（ 只有子公鑰 ），如 [public_key_derivation] 中所述。

將擴展密鑰視為HD錢包樹形結構中分支的根。可以通過分支的根，派生出其他分支。擴展私鑰可以創建一個完整的分支，而擴展公鑰只能創建一個公鑰分支。

擴展密鑰使用Base58Check編碼，可以輕鬆匯出匯入BIP-32兼容的錢包。擴展密鑰的Base58Check編碼使用特殊的版本號，當使用Base58字符進行編碼時，其前綴為＂xprv＂和＂xpub＂，以使其易於識別。因為擴展的密鑰是512或513位，所以它比我們以前見過的其他Base58Check編碼的字串要長得多。

這是一個Base58Check編碼的擴展私鑰：

這是對應的Base58Check編碼的擴展公鑰：

如前所述，HD錢包的一個非常有用的特性是能夠從父公鑰中獲得子公鑰，而沒有私鑰。這為我們提供了兩種派生子公鑰的方法：從子私鑰或直接從父公鑰獲取子公鑰。

因此，可以使用擴展公鑰，匯出HD錢包該分支中的所有 公鑰（注意只有公鑰）。

此快捷方式可用於創建非常安全的公鑰 - 只有部署伺服器或應用程式具有擴展公鑰的副本，並且沒有任何私鑰。這種部署可以產生無限數量的公鑰和比特幣地址，但無法花費發送到這些地址的任何資金。與此同時，在另一個更安全的伺服器上，擴展私鑰可以匯出所有相應的私鑰來簽署交易並花費金錢。

這個解決方案的一個常見應用是在提供電子商務應用程式的Web伺服器上安裝擴展公鑰。網路伺服器可以使用公鑰匯出函數來為每個交易（例如，為顧客購物車）創建新的比特幣地址。 Web伺服器上不會有任何易被盜的私鑰。沒有HD錢包，唯一的方法就是在單獨的安全伺服器上生成數千個比特幣地址，然後將其預先加載到電子商務伺服器上。這種方法很麻煩，需要不斷的維護以確保電子商務伺服器不會＂用完＂密鑰。

另一個常見應用是用於冷儲存或硬體錢包。在這種情況下，擴展私鑰可以儲存在紙錢包或硬體設備（如Trezor硬體錢包）上，而擴展公鑰可以保持在線。用戶可以隨意創建＂接收＂地址，而私鑰可以安全地在離線狀態下儲存。為了花費資金，用戶可以在離線簽名比特幣客戶端使用擴展私鑰簽名，或在硬體錢包設備上簽名交易（例如Trezor）。 Extending a parent public key to create a child public key 演示了用擴展父公鑰派生子公鑰的機制。

從 xpub 派生公鑰的分支是非常有用的，但有潛在的風險。訪問 xpub 不會訪問子私鑰。但是，因為 xpub 包含鏈碼，所以如果某個子私鑰已知，或者以某種方式洩漏，則可以與鏈式程式碼一起使用，派生所有其他子私鑰。一個洩露的子私鑰和一個父鏈碼可以生成所有其他的子私鑰。更糟的是，可以使用子私鑰和父鏈碼來推導父私鑰。

為了應對這種風險，HD錢包使用一種稱為 hardened derivation 的替代派生函數，該函數＂破壞＂父公鑰和子鏈碼之間的關係。強化派生函數使用父私鑰來派生子鏈碼，而不是父公鑰。這會在父/子序列中創建一個＂防火牆＂，鏈碼不能危害父級或同級的私鑰。父私鑰替代父公鑰作為雜湊函數的輸入，強化後的派生函數看起來與正常的子私鑰派生幾乎相同，如 Hardened derivation of a child key; omits the parent public key 中的圖所示。

簡而言之，如果你想使用 xpub 的便利性來派生分支公鑰，而不想面臨洩漏鏈碼的風險，應該從強化的父項派生。作為最佳實踐，主密鑰的1級子密鑰始終使用強化派生，以防止主密鑰受到破壞。

在派生函數中使用的索引號是一個32位整數。為了便於區分通過常規推導函數派生的密鑰與通過強化派生派生的密鑰，該索引號分為兩個範圍。 0到2³¹ - 1（0x0到0x7FFFFFFF）之間的索引號僅用於常規推導。 2³¹ 和 2³² - 1（0x80000000到0xFFFFFFFF）之間的索引號僅用於硬化派生。因此，如果索引號小於2³¹，則子密鑰是常規的，而如果索引號等於或大於 2³¹，則子密鑰是強化派生的。

為了使索引號碼更容易閱讀和顯示，強化子密鑰的索引號從零開始顯示，但帶有一個符號。第一個常規子密鑰表示成0，第一個強化子祕鑰（ 索引號是 0x80000000 ）表示成0'。以此類推，第二個強化子密鑰（ 0x80000001 ) 表示成1'。當你看到HD錢包索引i'時，它表示2³¹+i.

HD錢包中的密鑰使用＂路徑(path)＂命名約定來標識，樹的每個級別都用斜槓（/）字符分隔（請參見 HD wallet path examples）。從主密鑰派生的私鑰以＂m＂開頭。從主公鑰派生的公鑰以＂M＂開始。因此，主私鑰的第一個子私鑰為 m/0。第一個子公鑰是 M/0。第一個子私鑰的第二個子私鑰是 m/0/1，依此類推。

從右向左讀取一個密鑰的＂祖先＂，直到到達派生出它的主密鑰。例如，標識符 m/x/y/z 描述了私鑰 m/x/y 的第z個子私鑰，m/x/y 是私鑰 m/x 的第y個子私鑰，m/x 是 m 的第x個子私鑰。

HD錢包的樹狀結構提供了巨大的靈活性。每個父級擴展密鑰的可以有40億個子密鑰：20個常規子密鑰和20億強化子密鑰。這些子密鑰中的每一個又可以有另外40億子密鑰。這棵樹像你想要的一樣深，有無限的世代。然而，這些靈活性，導致在這個無限樹中導航變得非常困難。在不同實現之間轉移HD錢包尤其困難，因為內部分支和子分支的可能性是無窮無盡的。

有兩個BIP為HD錢包的樹狀結構提出了一些建議的標準，為這種複雜性提供解決方案。BIP-43建議使用第一個強化子索引作為表示樹狀結構＂用途＂的特殊標識符。基於BIP-43，HD錢包應該只使用樹的一個1級分支，索引號通過定義其用途來標識樹的其餘部分的結構和名稱空間。例如，僅使用分支 m/i'/ 的HD錢包表示特定用途，用途由索引號＂i＂標識。

BIP-44在BIP-43下提出了一個多帳戶結構作為＂用途＂號碼 44' 。所有遵守BIP-44的HD錢包通過僅使用樹的一個分支來體現：m/44'/。

BIP-44定義了包含五個預定義樹級的結構：

第一級 ＂用途＂ 始終設置為 44'，第二級 ＂coin_type＂ 表示密碼貨幣的類型，以支援多貨幣HD錢包，其中每種貨幣在第二級下具有其自己的子樹。現在定義了三種貨幣：比特幣是 m/44'/0'，比特幣測試網是m/44'/1'，萊特幣（Litecoin）是 m/44'/2'。

樹的第三層是＂帳戶＂，允許用戶將他們的錢包細分為單獨的邏輯子帳戶，以用於會計或組織目的。例如，一個HD錢包可能包含兩個比特幣＂賬戶＂：m/44'/0'/0' 和 m/44'/0'/1'。每個帳戶都是自己的子樹的根。

在第四層，＂零錢＂，HD錢包有兩個子樹，一個用於創建接收地址，另一個用於創建零錢地址。請注意，雖然以前的層級使用強化派生，但此層級使用常規派生。這是為了允許樹的這個級別匯出擴展的公鑰以供在不安全的環境中使用。＂地址_索引＂由HD錢包的第四級派生，也就是第五級。例如，主賬戶中比特幣支付的第三個接收地址為 M/44'/0'/0'/0/2。 BIP-44 HD wallet structure examples 顯示了幾個例子。