用清晰的例子了解：同一个钱包如何生成多个收款与找零地址，以及恢复钱包时需要保留哪些信息。

引言

你连续两次打开比特币钱包，可能会看到两个不同的收款地址。它们都可以属于同一个钱包。钱包不需要为每个地址重新生成一组助记词，而是按照固定规则，从同一份根数据推导出相关的密钥与地址。

这种方式称为分层确定性钱包，英文是 Hierarchical Deterministic Wallet，简称 HD 钱包。它让钱包能够整理大量地址、在收款时提供新地址、识别自己的找零，并在备份资料齐全时重新找回交易记录。

更换设备时，细节就变得重要。两款钱包即使输入同一组恢复词，也可能因附加口令、派生路径、账户或地址规则不同而显示不同地址。本文会解释这个过程，不要求读者手动计算密码学公式。

简短回答

HD 比特币钱包从种子出发，派生出一棵相关的私钥和公钥树。钱包按照派生路径选定某个账户与地址序号，再依据输出脚本规则生成比特币地址。只要起始数据和规则相同，钱包就能重新推导出相同地址，这也是兼容钱包能够恢复地址历史的原因。

以常见的原生隔离见证账户为例，一个收款密钥的路径可以写作 m/84’/0’/0’/0/5。最后的数字是地址序号。如果把倒数第二层的 0 改为 1，通常就会进入同一账户的找零分支。路径说明密钥位于哪里；钱包还必须知道如何把该密钥转换为输出脚本和地址。

什么是 HD 钱包？

HD 钱包可以从一个根节点派生出一棵密钥树。BIP 32 定义了这套密钥派生方法。钱包无需为每一个新地址保存互不相关的秘密备份，而是能够从相同根数据重新生成相关密钥。

可以把这棵树想成有层级的文件夹。一个账户可以有收款分支和找零分支；每个分支又可以按 0、1、2 等序号派生地址。钱包会记录已经展示或使用过的序号，方便继续生成新地址，也避免不必要的重复使用。

不少钱包采用 BIP 39 助记词。BIP 39 把助记词及可选的附加口令转换为二进制种子，这个种子可以交给 BIP 32 钱包使用。BIP 39 与 BIP 32 有关联，但并不是同一项标准；并非所有 HD 钱包都使用 BIP 39 助记词。

钱包如何从种子生成地址？

钱包界面通常会隐藏以下步骤。这个流程描述的是常见单签名 HD 钱包，不能代表所有钱包设计。

第一步 获得种子数据

钱包先通过安全的随机过程生成秘密种子数据。采用 BIP 39 的钱包可能会显示一组助记词供用户备份。如果用户设置了 BIP 39 附加口令，生成的种子也会随之改变。输入另一组附加口令，可能会打开一个看起来正常、但地址完全不同的钱包。

助记词和附加口令都属于能够影响资产控制权的秘密。不要把它们输入网站、客服聊天窗口或在线地址计算器。本文中的路径示例不包含真实秘密。

第二步 BIP 32 生成主密钥

BIP 32 从二进制种子生成主扩展私钥和链码。链码是派生子密钥时使用的额外数据。主扩展私钥可以继续派生私钥与公钥；对应的扩展公钥则能够在不泄露私钥的情况下，派生特定的公钥后代。

因此，钱包可以把地址监控与交易签名分开。只读设备可以根据公钥资料显示并监控地址，而硬件钱包保留真正用于签名的私钥材料。

第三步 选择派生路径

派生路径告诉钱包应该沿密钥树走到哪个子密钥。常见路径会区分地址类型、币种、账户、收款或找零分支以及地址序号。日常使用时，钱包可能不显示路径；迁移和恢复时，它却非常关键。

第四步 派生公钥

生成收款地址时，钱包沿选定路径派生对应的子公钥。如果获得合适的账户级扩展公钥，只读钱包可以继续派生非硬化路径上的公钥；仅凭这些公钥资料，无法生成有效的支出签名。

第五步 应用输出脚本规则

单独一个公钥并不能指定所有可能的比特币地址。钱包还需要决定输出方式，例如传统公钥哈希地址、原生隔离见证或单密钥 Taproot。该选择决定付款锁定到什么脚本或见证程序，也决定付款人看到的地址编码。

例如，BIP 84 定义了原生隔离见证 P2WPKH 账户的一种常见路径方案；BIP 86 定义了单密钥 Taproot P2TR 输出的路径方案。同一份底层种子可以配合两种方案使用，但路径和最终地址并不相同。

第六步 显示并监控地址

钱包把地址展示给用户，并在区块链上监控支付到相应输出脚本的交易。比特币网络不会额外存储“这个地址属于某钱包”的标签。钱包之所以认得自己的收款，是因为它能够按照原来的密钥路径和脚本规则重新生成该输出。

如何读懂比特币派生路径？

BIP 44 及相关方案常采用五层结构：

m / purpose’ / coin_type’ / account’ / change / address_index

以示例路径 m/84’/0’/0’/0/5 为例：

• m 代表密钥树的主根节点。
• 84′ 是 BIP 84 的用途层，常用于原生隔离见证 P2WPKH 账户。
• 0′ 在这套约定中表示比特币主网的币种编号。
• 0′ 选择第一个账户，也就是账户零。
• 0 选择对外收款分支。
• 5 选择第六个子序号，因为计数从零开始。

数字后的撇号 ‘ 表示硬化派生。有些钱包界面会用 h 表达同样意思，例如 84h。路径 m/84’/0’/0’/1/5 属于同一个账户，但使用内部找零分支。

这些是常见约定，不保证每款钱包都采用完全相同的结构。请保存原钱包提供的实际路径或钱包描述符。

为什么有收款地址和找零地址？

常见的 BIP 44 式布局把分支 0 留给对外收款地址，把分支 1 留给内部找零地址。收款地址可以提供给付款人；找零地址则接收钱包花费一个或多个 UTXO 后剩余的金额。

假设钱包控制一笔 0.10 BTC 的 UTXO，准备支付 0.03 BTC。扣除手续费后，剩余金额通常会进入仍由自己控制的新输出。这个输出可能使用找零分支的地址。数值仅用于说明，实际手续费与选币方式取决于具体交易。

找零很容易在恢复钱包时被忽略。如果新钱包只扫描收款分支，它可能显示不完整的余额，即使那些找零输出仍由同一组密钥控制。完整恢复需要知道两个分支及相应的脚本规则。

钱包为什么不断显示新收款地址？

HD 钱包只需把地址序号向后推进，就能生成下一个收款地址。每笔收款尽量使用新地址，可以减少同一地址上的活动被直接关联；商家也更容易按地址核对订单。

钱包显示新地址，并不意味着旧地址自动失效。钱包仍应监控自己先前生成的地址。重复使用地址主要影响隐私，而不是地址能否收款；如果你长期使用固定地址接收款项，应先确认钱包的具体行为。

新地址也不能保证付款匿名。交易公开记录仍可能通过其他线索产生关联，尤其是以后把多个输出一起花费时。轮换地址是一项隐私措施，不是匿名承诺。

什么是 xpub 和 xprv？

扩展私钥通常写作 xprv。它包含密钥树中某个节点的私钥与链码，可以派生该节点下的私钥后代，并最终用于授权支出。因此必须严格保密。

扩展公钥通常写作 xpub。它包含相应节点的公钥与链码，能够派生非硬化的公钥后代。兼容的只读钱包可以用账户级 xpub 生成并监控收款及找零地址，而无需持有签名私钥。

xpub 不是私钥，却也不是可以随意公开的无害资料。分享一个账户的 xpub，可能暴露该账户大量现有及未来地址和交易历史。单独的 xpub 也未必告诉另一款钱包该用什么脚本类型、来源路径或其他策略；钱包描述符可以补上这些背景信息。

有些钱包标准使用 ypub、zpub 等前缀来表示特定约定。不要仅凭前缀推断完整钱包策略。跨应用迁移时，应导出原钱包官方建议保存的完整资料。

硬化派生与非硬化派生有何区别？

BIP 32 支持两种子密钥派生。非硬化派生允许钱包从合适的父级扩展公钥推导子公钥，因此只读钱包或收款设备不必接触私钥，也能创建收款地址。

硬化派生则不能只靠父级 xpub 完成，该步骤需要父级扩展私钥。在常见的 BIP 44 布局中，用途、币种和账户层是硬化的；收款或找零分支以及地址序号是非硬化的。

这样，账户级 xpub 可以在本账户内派生地址，却不会因此暴露主秘密或其他硬化账户。安全上还有一项重要限制：BIP 32 提醒，如果父级 xpub 与某个非硬化子私钥同时泄露，相关分支可能被攻破。子私钥与相关扩展公钥都应妥善管理。

常见的比特币地址路径

以下标准的路径形状相近，但用途编号与输出类型不同：

• BIP 44，m/44’/0’/0’/0/i： 常见的传统 P2PKH 账户形式。相应主网地址通常以 1 开头。
• BIP 49，m/49’/0’/0’/0/i： 常见的 P2SH 封装隔离见证 P2WPKH 形式。相应主网地址通常以 3 开头，但这个前缀并非该类型独有。
• BIP 84，m/84’/0’/0’/0/i： 原生隔离见证 P2WPKH。相应主网地址通常以 bc1q 开头。
• BIP 86，m/86’/0’/0’/0/i： 单密钥 Taproot P2TR。相应主网地址通常以 bc1p 开头。

这里的 i 代表不断变化的地址序号。这些例子主要描述单密钥账户。多重签名、自定义脚本和部分钱包产品会采用其他路径及额外策略资料。不要把熟悉的路径强加给记录了不同设置的钱包。

为什么同一组助记词会显示不同地址？

常见的恢复困惑是：输入了自认为正确的助记词，新钱包却没有显示熟悉的地址。单凭这个界面，无法判断比特币已经转走。新软件可能只是在错误的位置寻找。

应对照原钱包记录检查以下因素：

• 助记词与附加口令： 错一个词，或使用另一组 BIP 39 附加口令，都会得到不同密钥。
• 网络： 比特币主网与测试网络的设置和地址编码不同。
• 用途与脚本类型： 传统地址、封装隔离见证、原生隔离见证及 Taproot 使用不同规则。
• 账户编号与路径： 账户零和账户一属于不同分支。
• 收款及找零分支： 资产可能位于其中任一分支。
• 扫描范围： 钱包可能在大量连续未使用地址之后停止，未扫描到更远处已经使用的地址。
• 多重签名策略： 其他签名人的公钥、签名门槛、排序和脚本资料也必须一致。

不要用真实助记词去试探随机找到的在线恢复工具。排查时应参考原钱包官方文档，并使用可信的离线或硬件钱包流程。

什么是地址间隔上限？

恢复钱包无法无限扫描尚未使用的地址。BIP 44 的账户发现算法规定，外部收款链上出现连续 20 个未使用地址后停止搜索。这个数字属于该规范的发现规则；具体钱包可能采用不同扫描方法，也可能允许调整范围。

如果用户连续生成许多地址却一直不用，后来又收到付款到序号很远的地址，常规恢复起初可能漏掉它。扫描上限不会销毁资产；钱包需要在可信软件中，按正确分支与足够宽的范围继续搜索。

钱包描述符和 PSBT 有什么关系？

输出描述符把密钥信息、脚本规则和路径规则放在一起，用于识别一组比特币输出。它比单独一串 xpub 更适合描述钱包恢复条件，因为软件既要知道派生哪些密钥，也要知道监控什么脚本。

PSBT 是进行中的交易协调格式，可以携带密钥来源路径及其他资料，帮助硬件钱包或多签设备认出自己控制的密钥。描述符说明钱包的地址与策略；PSBT 协调某一笔具体支出。两者都依赖正确的派生资料。

对于多重签名钱包，还应把完整策略和所有共同签名人的信息纳入恢复计划。某一位参与者的助记词，不足以单独重建全部地址或满足签名门槛。

实用备份与恢复清单

• 把恢复词及可选的 BIP 39 附加口令存放在符合自己风险需求的安全位置。
• 记录钱包软件或硬件设备型号、网络以及使用的账户或派生路径。
• 如果钱包提供描述符或多签策略导出，应一并保存。
• 记录钱包采用传统地址、封装隔离见证、原生隔离见证、Taproot 还是其他输出类型。
• 保留收款与找零分支信息，不要只记下最近一次显示的收款地址。
• 在投入较大金额前，用少量可控金额测试恢复或只读钱包重建流程。
• 迁移钱包时，先在可信签名设备上核对新收款地址，再转入重要资金。

不同钱包的备份格式可能不同。硬件钱包或多重签名方案尤其应遵照该产品的官方恢复说明。

常见误解

一组助记词只能对应一个比特币地址

HD 种子可以派生许多密钥与地址。地址只是钱包密钥树和输出规则中的一个收款目标。只备份地址，并不能备份支出能力。

拿到 xpub 就能花费比特币

xpub 可以用于公钥派生和监控，交易签名仍需要相应私钥。不过 xpub 会暴露账户地址历史，因此仍应注意隐私。

新钱包显示零余额就代表资产丢失

附加口令、路径、账户、脚本类型、策略或扫描范围不一致，都可能导致零余额界面。应先核对这些资料，不要把助记词交给声称可以代为排查的人。

每次换新地址就能完全匿名

新地址可以减少重复使用同一地址，但不会抹去公开的交易关系。钱包行为和日后如何合并花费输出，也会影响隐私。

XTS 观点

在 XTS Insights 看来，理解地址派生是掌握比特币钱包的实用基础。它解释了为什么钱包能够每次显示新收款地址，也解释了为什么恢复钱包不能只靠认得一组助记词。

更可靠的习惯，是同时保存钱包的秘密备份和公开配置资料。前者关系到签名能力，后者帮助兼容软件找到正确地址与支出规则。理解这两部分，才能更从容地处理钱包迁移、只读监控、硬件钱包使用与多重签名恢复。

常见问题

一个比特币钱包可以拥有很多地址吗？

可以。HD 钱包能够从相关密钥分支派生许多收款和找零地址，并追踪符合其账户与脚本配置的地址。

派生路径就是比特币地址吗？

不是。路径标明密钥在 HD 树中的位置。钱包还要派生公钥并应用脚本规则，最后才会显示地址。

所有比特币钱包都使用 BIP 39 助记词吗？

不是。BIP 39 是常见的助记词转种子方法；BIP 32 定义的是 HD 密钥派生。钱包可以使用其他备份或密钥生成方式。

路径数字后的撇号是什么意思？

它表示硬化派生。单独的父级 xpub 无法派生该子节点。有些界面用字母 h 代替撇号。

只有 xpub 能恢复钱包吗？

xpub 可能让兼容应用监控非硬化公钥后代，却不包含支出私钥。应用可能还需要正确的脚本规则、来源路径及扫描范围。

为什么钱包每次显示不同地址？

钱包可以推进收款地址序号，派生新的密钥和地址。这有助于减少地址重复使用，也方便整理收款。

恢复的钱包为什么显示零余额？

附加口令、网络、派生路径、账户、地址类型、多签策略或扫描范围可能与原钱包不同。应先核对原设置，再判断资产状况。

找零地址仍然由我控制吗？

如果交易由钱包正确构造，找零会进入仍由同一钱包控制的输出。钱包通常从内部找零分支派生该地址，并应在恢复时继续追踪它。

总结

比特币钱包之所以能够显示许多地址，是因为 HD 派生可以从同一个根节点生成相关密钥。派生路径决定选用哪一个密钥，输出规则决定钱包最终显示什么地址。收款与找零分支则把日常交易中不同用途的地址组织起来。

平时，这些细节由钱包软件处理；迁移和恢复时，它们就不可缺少。除了正确的助记词与附加口令，还要保留路径、账户、脚本规则，以及适用时的描述符和多签资料。提前做一次可控的恢复测试，才能确认备份真正对应你正在使用的钱包。

重点整理

• BIP 32 定义 HD 密钥树；BIP 39 是用恢复词生成其种子的一种常见方式。
• m/84’/0’/0’/0/5 这类路径，标识常见原生隔离见证账户中的一个密钥位置。
• 按常见 BIP 44 布局，分支 0 用于收款，分支 1 用于找零。
• xpub 能派生并监控公钥后代，不能签名，却可能暴露账户交易历史。
• 地址还取决于脚本规则；换钱包后，路径或策略不同，同一种子也可能显示不同地址。
• 可靠恢复需要同时保存签名秘密与重新找回钱包输出所需的配置信息。