加密资产继承：谁能真正取回你的币

备份和继承，写在纸上长得一模一样：几十个词，抄下来，放在别处。它们回答的不是同一个问题。备份回答「我的手机掉河里了」；继承回答「我本人不在了」。前者只需要同一个秘密有冗余，后者需要几个人之间有阈值，还需要有人知道这东西存在。大多数自托管建议把这两件事混成一件，于是很多被认真备份过的钱包，在主人无法行动的那一天变成永久无法取回。差别可以用词本身的算术量出来。我们对每个 BIP-39 长度各跑了 20,000 次：在 12 词助记词里随机换掉一个词，6.07%（20,000 次里 1,213 次）的结果仍然通过校验和；24 词的比率降到 0.33%（66/20,000）。这些「通过」恢复出来的，都是一个余额为零的合法钱包。对你自己，这只是五分钟的麻烦；对一个从没恢复过钱包的继承人，这就是「钱没了，而且是我操作错了」的确证。

继承需要四样备份不需要的东西。发现：必须有一个你之外的人知道资产存在、指引在哪里。授权：方案要写明谁可以行动，且形式能被银行、律师或法院接受。阈值：任何一个持有人、任何一次泄漏都不足以动钱。时间：方案要在没人赶时间的情况下也走得通——遗产程序常常要几个月，继承人可能一年后才开始。同一个助记词的第二份拷贝只满足「冗余」这一条：它离全损仍然只差一个人；而如果没人知道它在哪，离零只差一次寻找。

先看算术，因为它决定了方案怎么坏。BIP-39 每词 11 比特：12 词共 132 比特，其中 128 比特熵、4 比特 SHA-256 校验和；24 词共 264 比特，256 加 8。这是有意做弱的检测器，上面的替换实验给了数字：12 词有 6.07% 的单字错误能活下来，24 词是 0.33%。SLIP-39 把这些比特花在别处：1,024 词表，每词 10 比特，每份 share 带一个覆盖其余部分的 30 比特里德-所罗门校验和（RS1024）。规范保证能检出「影响不超过三个词」的任何错误。我们拿 45 组官方测试向量核对这句话：89 份 share 里 87 份通过，失败的 2 份正是标注为「invalid checksum」的那两条——检测器在工作。再随机变异：445/445 的单字替换被拒、445/445 的双字、445/445 的三字，以及 783/783 的相邻换位（向量里有 5 对相邻词本身相同，没有错误可抓）。128 比特的 share 是 20 词，256 比特是 33 词。前两个词编码 15 比特标识符加迭代指数，合并工具靠它在动手前判断这些 share 是不是同一套备份。

最简单的方案是一个助记词、两个地点、一封信。成本为零，对所有链都成立，但在继承这件事上有一个明确的错：阈值是一。谁找到任何一份拷贝——小偷、好奇的亲戚、云备份、聊天记录里的截图——就无条件、永久地拥有全部资金，不需要第二个签名。让它能扛住你死亡的同一个属性，也让它在别人的好奇心面前脆弱。如果第二个地点是银行保险箱，书面问清：你去世后谁可以开、要什么文件。如果是律所，问清律所解散怎么办。也不要把助记词写进遗嘱：遗嘱会被归档、常常成为公开记录，读它的人职责是分配财产，不是保守秘密。非写不可就只写位置，把词放在遗嘱指向的地方。

比特币可以把阈值写进链上。2-of-3 多签钱包有三把钥匙——你的、继承人的、以及一个中立方（律师或另一位继承人）——任意两把可花。是二不是三：3-of-3 会在丢掉第一把钥匙时整体死掉，而那正是你要保的险；1-of-3 只是加了步骤的备份。Schnorr 聚合解决不了这件事：BIP-327 用一句话写明，MuSig2 是 n-of-n、不是 t-of-n 阈值方案，聚合后的公钥仍然需要每一个签名人。「多签太贵」经不起实测：2-of-3 的 P2WSH 输入是 41 字节非 witness 数据加 254 字节 witness，418 权重单位、104.5 vB；单签 P2WPKH 是 68 vB。按今天 14:04 UTC 的内存池（45,462 笔、11.16 MvB，四档推荐费率全是 1 sat/vB），这个差约 36 聪，按 78,307 美元/BTC 算三美分；一进两出的整笔约 177 vB，约 0.14 美元。阈值方案真正的成本是协调：三个人各自知道手里是什么，以及一份写好的、某天其中两人必须行动的流程。

比特币还提供唯一一种「继承人不需要任何人」的机制：绝对时间锁。BIP-65 让一笔输出在到达某个区块高度或 UNIX 时间之前不可花费，之后脚本里的某个分支才生效。10 分钟一个块，一年是 52,560 个块；今天链尖 974,532，一年后的分支大约落在 1,027,092。陷阱是这条分支不会过期：高度一过，继承人的钥匙就永久有效，而你还活着、还在用这个钱包。这样做的「死人开关」因此有维护成本：每次到期前，必须把币挪到一个带新期限的新输出，而每一次挪动都是一笔链上交易，把新旧输出连起来。手续费几美分，纪律是一年一次、且不容错过。 (门罗费用机制)

门罗把这一整层拿掉了。它没有脚本语言，没有任何分支能说「高度 H 之后，另一把钥匙可以花」。交易级的 unlock_time 只是延迟你自己的输出何时可花，不授予任何人任何权利。门罗确实有 M-of-N 多签钱包，但签名是参与钱包之间多轮的交互协议；项目自己在 2021 年 12 月的公告（今天仍在线）里警告：多签创建与签名代码可能让签名方之一拿走资金。bug 会被修好，要点在于这是一条你必须用「亏得起」的金额彩排过的路径，而不是在最糟的时刻才发现。对大多数人，门罗继承的可操作原语是「对 32 字节种子做 SLIP-39」。标准门罗种子是 1,626 词表里的 25 个词，最后一个词是校验词；SLIP-39 切的不是这串词，而是它背后的 32 字节，产出的是 20 词的 share。2-of-3 意味着继承人要往 SLIP-39 工具里敲 40 个词（不是 25 个），再从恢复出的秘密重建门罗钱包——在每个钱包里，这和「从助记词恢复」都是两个不同的菜单。我们也量了一份 share 值多少：在 2-of-3 里，单独一份 share 与秘密每个字节的全部 256 种取值都相容，也就是说它泄漏零比特。这正是你要的、对窃贼的性质；也正是「一份在律所、一份在抽屉」不算方案的原因。

真正会发生的失败是「发现」，而它不是密码学问题。写一页纸：钱包类型与版本、share 数量、阈值、谁持有什么、放在哪、用哪个工具恢复。这一页上永远不要写词。然后彩排：建一个空钱包、切分它的种子、销毁原件，让你的继承人在你看着、且你不说话的情况下把它恢复出来。做不到，方案就只是一个假设。最后一步是出口。今天实测：10 XMR 换 USDT-TRC20 得 6,345.93（634.59 美元/XMR，现货 641.20）；1 XMR 得 634.289；0.1 XMR 得 63.125——折 631.25 美元/XMR，因为固定扣减在小额端最咬人。不管用哪个数字，那笔订单的退款地址必须是继承人自己控制、且在同一网络上的钱包：兑换失败只退到 refundAddress、只退原资产。以上都是 2026 年 11 月 4 日的快照，实时以页面报价为准。 (转错网络如何找回)

四句话收尾。备份防的是丢设备，继承防的是丢人，后者要的是阈值，不是第二份拷贝。校验和不是细节，尤其当恢复的人不是你：12 词有 6.07%、24 词有 0.33% 的单字错误能通过，而 SLIP-39 在我们扔进去的 445 次替换和 783 次换位里一次没漏。比特币能用约十四美分把阈值、甚至期限写进链上；门罗不能，所以它的方案活在「种子怎么切」里。唯一算数的测试，是别人在你不在场时完成了恢复。