密码学基础：哈希、公私钥与地址

哈希函数（Hash Function）是把任意长度的输入（一段文字、一个文件、一整本小说）映射成固定长度输出的数学函数，输出称为哈希值或摘要。区块链里最常听到两个名字：SHA-256（输出 256 位，比特币用它做区块哈希与工作量证明）和 Keccak-256（以太坊用它计算地址与交易哈希，注意它并非 NIST 标准的 SHA3-256，两者填充方式不同，结果不一样）。

真正要记住的是哈希的三个性质： - 单向性（Preimage Resistance）：从输入算输出很容易，从输出反推输入在计算上不可能。 - 抗碰撞性（Collision Resistance）：找不到两个不同输入产生同一个输出。

256 位输出的取值空间约为 2²⁵⁶，暴力碰撞远远超出任何算力。 - 雪崩效应（Avalanche Effect）：输入改动一个字符，输出约有一半比特翻转，看起来毫无关联。

正因为这三点，哈希才能充当数据的「指纹」。

哈希不是装饰性的技术名词，它支撑起区块链最核心的三个机制： 1. 区块链接——每个区块头里存着父区块的哈希（哈希指针），把区块串成链条；改一块，后面全部失效。 2. Merkle 树——区块内几千笔交易两两哈希、层层向上，最终压缩成一个 Merkle 根写进区块头，让轻节点能做 SPV 验证。

3. 地址生成与数据完整性——以太坊地址由公钥哈希后截取得到；交易哈希用来唯一标识一笔交易；钱包校验和、合约字节码校验、文件存证也都依赖哈希。

除此之外，工作量证明（Proof of Work, PoW）本质上就是「不断变换 Nonce，直到区块头的哈希小于难度目标」的哈希竞赛，质押证明（Proof of Stake, PoS）里也用哈希来随机选取出块验证者。可以说，哈希是整个行业的底层齿轮。

非对称加密（Asymmetric Cryptography）使用一对数学上关联的密钥：私钥（Private Key）是一个 256 位随机数，公钥（Public Key）由私钥通过椭圆曲线乘法计算得到。关系是单向的：私钥 → 公钥计算很快，公钥 → 私钥在数学上不可行。

区块链（比特币、以太坊）使用的是 secp256k1 椭圆曲线。可以这样类比理解：私钥是一把钥匙，公钥是钥匙对应的锁孔形状；别人看到锁孔（公钥）也无法复制出钥匙（私钥）。这把钥匙的取值空间是 2²⁵⁶ 量级，比宇宙中的原子总数还大，因此「随机猜中别人私钥」在实践中不可能发生。

真正危险的不是算法被破解，而是你的私钥被泄露、被诈骗或被恶意软件窃取——现实中的丢币事件，99% 都不是密码学被攻破，而是人出了问题。

数字签名（Digital Signature）解决两个问题：一是身份认证（证明交易由私钥持有者发起），二是完整性（证明交易内容没被篡改）。以太坊使用的是 ECDSA（Elliptic Curve Digital Signature Algorithm，椭圆曲线数字签名算法）。

完整流程分两步： - 签名：你对一笔交易内容（收款地址、金额、Nonce、Gas 等字段）做哈希，得到消息摘要，再用自己的私钥对这个摘要做椭圆曲线运算，得到签名值。

以太坊的签名会拆成 v、r、s 三个参数，公开附在交易里。 - 验签：任何节点拿到交易原文与签名，用「从签名和消息摘要反推出公钥」的方式恢复出签名者公钥，再换算成地址，确认它与交易里的 From 一致。

整个过程不需要任何人的私钥，也无法从签名反推出私钥。

这就是为什么别人可以替你把交易广播上链，却无法伪造你签名的新交易。

以太坊地址不是随机分配的，而是从私钥一步步推导出来的，链路共五步： 1. 生成私钥：一个 256 位随机数（钱包用安全随机源生成）。 2. 计算公钥：在 secp256k1 曲线上做椭圆曲线乘法，私钥乘以基点 G，得到 64 字节公钥（去掉 04 前缀后为 64 字节）。

3. 哈希公钥：对公钥做 Keccak-256 哈希，得到 32 字节哈希值。 4. 取后 20 字节：截取哈希结果的最后 20 字节，这就是地址主体。

4. 加校验和：把这 20 字节写成 40 位十六进制并加上 0x 前缀；再对地址字符串做一次 Keccak-256，用哈希结果的十六进制数值决定某些字母换算成大写，从而得到 EIP-55 校验和地址，能自动发现地址输入错误。

关键的不可逆性在于：地址只保留了公钥的后 20 字节哈希，从地址既推不出公钥，更推不出私钥。

BIP-39 规定了助记词（Mnemonic）标准：把 128 到 256 位的随机熵映射成 12 到 24 个英文单词，并带有最后一位校验词。它并不是「密码」，而是私钥种子的人类可读编码——助记词可以完整推导出整个钱包里所有账户的私钥，反之则不行。

BIP-32 定义了分层确定性钱包（HD Wallet）：一个主种子可以按树状结构派生出无穷多个子私钥，每个子私钥再生成地址。BIP-44 则规范了派生的路径格式，例如以太坊常用路径是 m/44'/60'/0'/0/0：44 代表 BIP-44，60 是以太坊的币种编号，第三个数字是账户序号，第四个 0 表示外部链（收款用），最后一位是地址序号。

这解释了两件事：为什么备份一次助记词就能恢复所有地址；以及为什么在不同钱包里导入同一组助记词，若派生路径不一致，可能看不到资产。

初学者最容易在这里踩坑，务必一一记牢：

再补一条：导入助记词 ≠ 登录。任何时候你在某个网页「用助记词登录」，本质都是把钱包控制权交给了那个网页，这是最高危的行为。

误区一：公钥就是地址。 地址是公钥先做 Keccak-256 哈希、再截取后 20 字节并加校验和得到的，是公钥的「压缩摘要」，二者不等价，也不能互相替代使用。

误区二：哈希就是加密。 加密可以解密（有密钥就能还原）；哈希是单向的，无法还原。链上存储的哈希值不是密文，只是指纹，任何人都能计算和比对。

误区三：助记词截图存云盘很安全。 云盘、相册、聊天记录都会被同步、被索引、可能被拖库或撞库；一旦账号被攻破，助记词随之泄露，资产当场清零。

误区四：改一个字符的地址无所谓。 哈希的雪崩效应决定了地址差一个字符就是完全不同的账户，转账到错误地址的资产无法找回。请务必使用地址簿或二维码，避免手工输入。

打开 Etherscan，在主页面搜索最新区块里任意一笔交易，进入详情页做三个观察： 1. From 与 To——分别对应发送方与接收方地址，注意它们都是 0x 开头的 42 位长字符串，对应本节第 5 步推导出的地址格式。

2. Signature / v、r、s（在部分浏览器里需要展开「More Details」或「Input Data」区域）——这就是 ECDSA 签名值，它是公开数据，任何人都可查看并独立验证，且无法从中反推私钥。

3. Nonce 与 Transaction Fee——Nonce 是发送方地址发起的第几笔交易，可用来防止重放；手续费则体现为执行所消耗的 Gas 成本。

进阶练习：点击 From 地址，进入地址页查看它的交易历史与余额。你会发现余额并非写在地址里，而是由全网状态统一维护——这正好对应上一章「状态机」的心智模型。