加密技术中的公钥是什么？密钥、地址和签名详解

公钥是私钥在密码学上的对应物。它们结合起来，可以让你在不泄露控制加密货币的秘密信息的情况下，证明你对该加密货币的所有权。

要点

• 公钥是一个很大的数字，它是通过椭圆曲线乘法从私钥数学推导出来的。椭圆曲线乘法是一种单向函数，正向计算速度很快，但实际上不可能逆向计算。

• 比特币和以太坊都使用 secp256k1 椭圆曲线，该曲线生成 256 位私钥和 512 位未压缩公钥（或 257 位压缩公钥）。

• 钱包地址与公钥不同；该地址是公钥的较短哈希版本，旨在更易于共享并更能抵抗某些理论上的攻击。

• 私钥用于签署交易，公钥用于验证这些签名，资金则通过指定的地址接收。丢失私钥意味着永久失去访问权限；共享公钥或地址不会对资金安全造成任何风险。

• 2026 年 7 月 Coldcard 固件漏洞暴露了私钥生成方面的缺陷，导致价值 1.16 亿美元的比特币损失，这凸显了正确的密钥生成和存储仍然是自我保管中最关键的方面。

公钥加密是所有加密货币交易的基础，但大多数用户从未直接接触过自己的公钥。他们只是看到钱包地址、扫描二维码并确认转账，却并不了解实现无需信任所有权的数学原理。

这一层至关重要，因为理解它能改变你对安全的固有认知。公钥不是密码，也不是秘密。它是一个你可以与任何人分享的数字，但任何人都无法从中推导出控制你资金的私钥。这种不对称性——单向传输容易，反向传输却不可能——使得互联网上的陌生人无需信任银行、政府或彼此，就能互相转账。

密钥对的工作原理

每个加密货币钱包都基于一对密钥：一个私钥和一个公钥。私钥是一个随机生成的数字，通常为 256 位，这意味着它大约有 10 的 77 次方个可能值。作为参考，可观测宇宙中原子的估计数量约为 10 的 80 次方。密钥空间如此之大，以至于以当前或可预见的技术而言，通过暴力破解来猜测特定的私钥几乎是不可能的。

公钥是通过椭圆曲线乘法从私钥生成的。比特币和以太坊都使用一种名为secp256k1的特定曲线。私钥乘以该曲线上的一个固定点（称为生成点），结果也是曲线上的另一个点。这个结果就是公钥。

关键在于，这种乘法运算是单向的。给定私钥，计算公钥只需不到一秒。而仅凭公钥计算私钥则需要求解椭圆曲线离散对数问题，目前尚无已知的有效解法。这种不对称性正是加密货币安全性的根本所在。

公钥与钱包地址

人们常常误以为钱包地址和公钥是一回事。其实不然。地址是通过对公钥进行一轮或多轮哈希运算生成的，这个过程可以缩短输出结果的长度，并增加一层额外的安全保障。

在比特币中，这个过程如下：首先，将 512 位未压缩的公钥（或 257 位压缩的公钥）通过 SHA-256 算法进行哈希运算，然后再通过 RIPEMD-160 算法进行哈希运算，生成一个 160 位的哈希值。之后，在哈希值前添加一个版本字节，并在末尾添加一个校验和，最后将结果编码为 Base58Check 格式。最终输出就是我们熟悉的比特币地址，以 1、3 或 bc1 开头。

在以太坊中，这个过程更简单。512 位公钥通过 Keccak-256 算法（SHA-3 的一种变体）进行哈希运算，哈希值的最后 20 个字节（160 位）即为地址。加上“0x”前缀和可选的 EIP-55 校验和，即可生成我们熟悉的以太坊地址。

将公钥哈希成地址的原因部分出于实用性考虑（较短的字符串更容易共享），部分出于防御性考虑。如果量子计算机未来能够破解椭圆曲线密码，它们需要的是公钥，而不是地址，才能推导出私钥。从未用于发送交易的地址，其公钥从未在链上暴露，这在理论上增加了一层量子防御能力。

数字签名如何证明所有权

当你发送加密货币时，你并非将币从一个地方转移到另一个地方。你创建了一条消息，内容是“我授权将 X 金额从我的地址转账给此收款人”，并使用你的私钥对该消息进行签名。签名证明消息创建者控制着与发送地址关联的私钥，但不会泄露私钥本身。

验证过程使用公钥。网络上的任何节点都可以获取交易消息、数字签名和发送方的公钥，并运行数学验证来确认签名是否由相应的私钥生成。如果验证通过，则交易有效；如果验证失败，则交易被拒绝。

这就是为什么丢失私钥会造成灾难性后果。没有私钥就无法生成有效的签名，也就无法授权来自该地址的交易。资金仍然留在区块链上，对所有人可见，但永久无法访问。由于没有中央机构持有备份，因此不存在“忘记密码”的恢复机制。

关键生成链

在现代钱包中，个人私钥并非独立生成。相反，钱包中的所有密钥都由一个主种子通过 BIP-32（分层确定性钱包）和 BIP-39（助记词短语）定义的确定性过程生成。

该过程始于熵，即随机性的来源。钱包软件或硬件设备生成一个随机数，通常为 128 或 256 位。该熵被编码为一个助记词，该助记词由 12 或 24 个单词组成，这些单词选自一个包含 2048 个单词的标准列表。该助记词与可选的密码短语结合，通过密钥派生函数 (PBKDF2) 生成一个 512 位的主种子。

从主种子开始，可以生成一个密钥对的层级树。树的每个分支都可以生成数十亿个唯一的私钥及其对应的公钥和地址。这就是为什么一个助记词就能恢复整个钱包及其所有地址的原因：助记词确定性地重新生成层级结构中的每个密钥对。

安全隐患在于，助记词是所有密钥的根。任何获得助记词的人都可以重新生成钱包曾经使用或将来会使用的所有私钥、公钥和地址。保护助记词等同于同时保护钱包中的所有密钥对。

压缩公钥与未压缩公钥

早期的比特币软件使用未压缩的公钥，其中包含椭圆曲线上点的 x 和 y 坐标。未压缩的公钥为 65 字节：一个 1 字节的前缀 (0x04)，后跟 32 字节的 x 坐标和 32 字节的 y 坐标。

由于椭圆曲线方程表明，对于任何给定的 x 坐标，只有两个可能的 y 值（一个偶数，一个奇数），因此只需存储 x 坐标和一个指示 y 是偶数还是奇数的比特即可。这样就生成了一个 33 字节的压缩公钥：一个 1 字节的前缀（y 为偶数时为 0x02，y 为奇数时为 0x03），后跟 32 字节的 x 坐标。

压缩密钥可以节省交易空间，从而降低手续费。自 2012 年以来，大多数比特币软件默认使用压缩公钥。以太坊内部使用未压缩的公钥，但在地址派生过程中会去除前缀字节，仅使用 64 字节的 x 和 y 值。

区分压缩和未压缩的公钥对于兼容性至关重要。由同一私钥生成的压缩公钥和未压缩公钥在比特币中会生成不同的地址。将私钥导入使用与原钱包不同压缩格式的钱包会生成不同的地址，如果资金被发送到另一种格式的地址，则可能会造成混淆。

现实世界中的关键安全漏洞

公钥密码技术的理论基础是合理的，但实施上的失败造成了重大损失。

2026年7月，研究人员发现Coldcard硬件钱包五年来一直在生成弱私钥。固件中的一个构建标志指示设备跳过其专用的硬件随机数芯片，导致熵值可预测。攻击者利用这一漏洞进行逆向工程，并于7月30日开始盗取钱包中的比特币，在漏洞公开披露之前，已盗取了价值约1.16亿美元的比特币。

由此可见，密钥对的安全性完全取决于用于生成私钥的随机数的质量。即使理论上无法破解的 256 位密钥，如果随机数生成器存在缺陷、偏差或可预测性，也毫无价值。因此，信誉良好的硬件钱包会使用专用的真随机数生成器，并允许用户添加自定义熵（例如掷骰子）作为额外的安全保障。

其他历史事件包括2013年的Android SecureRandom漏洞，该漏洞导致多个比特币钱包生成重复的随机数，攻击者可以利用这些随机数从交易签名中计算出私钥。2022年9月，研究人员发现Profanity个性化地址生成器使用32位种子生成密钥，导致有效密钥空间从2的256次方缩减到2的32次方，这意味着大约40亿种可能性可以在几分钟内被暴力破解。

公钥和智能合约

在以太坊等智能合约平台上，公钥加密技术具有双重用途。它既能保护外部账户（EOA，即由私钥控制的标准用户钱包），又能验证这些账户在与智能合约交互时签署的消息。

当用户调用智能合约中的函数时，交易会包含由用户私钥生成的数字签名。以太坊虚拟机在执行函数之前，会将此签名与发送者的公钥进行验证。这样，智能合约就能确定调用“向地址 X 转账 100 USDC”的用户确实是这些代币的所有者。

智能合约钱包（ERC-4337 引入的账户抽象钱包）可以改变这种模型。智能合约钱包不再仅仅依赖单个私钥，而是可以要求多重签名、生物识别认证、社交账号恢复或通过代码强制执行消费限额。公钥仍然是系统的一部分，但决定有效授权的规则变得可编程。

托管式钥匙管理与自保式钥匙管理

在中心化交易所中，交易所持有私钥，用户通过传统的身份验证方式（用户名、密码、双因素认证码）访问资金。用户永远不会看到公钥或私钥。交易所代表用户签署交易。

在用户自行保管密钥的情况下，用户持有私钥（或生成私钥的助记词），并全权负责其安全。公钥和地址均由用户本地生成，任何第三方均无权访问签名功能。

权衡取舍显而易见。托管方案虽然便捷，但引入了交易对手风险：如果交易所遭到黑客攻击、破产或冻结提款，用户的资金将面临风险。自保方案虽然消除了交易对手风险，但引入了操作风险：如果用户丢失助记词、错误保存助记词或成为网络钓鱼的受害者，资金将永久丢失。

多重签名方案通过将密钥管理分散到多个参与方或设备来兼顾两者。例如，2/3 多重签名方案要求使用三个私钥中的任意两个来签署交易，因此丢失一个密钥不会导致永久丢失，而泄露一个密钥也不会让攻击者获得控制权。

本文未涵盖的内容

本文不涉及后量子密码方案，例如基于格的签名，这些方案正在研究中，旨在替代椭圆曲线密码学，以应对大规模量子计算机可能实现的未来。本文也不涉及椭圆曲线的数学原理，仅停留在概念层面。此外，本文也不提供具体的钱包设置指南，因为不同产品的设置指南各不相同，且更新频繁。

保护钥匙的实用检查方法

切勿泄露您的私钥或助记词。任何合法的服务、客服人员或空投活动都不会索要这些信息。任何索要这些凭证的行为都是诈骗，绝无例外。

发送前请核对地址格式。剪贴板恶意软件可以将复制的地址替换为攻击者的地址。粘贴地址后，务必仔细核对地址的开头和结尾几个字符。

对于大额资产，请使用硬件钱包。硬件钱包会在专用芯片上生成和存储私钥，该芯片永远不会将私钥暴露给联网设备。购买前，请务必研究制造商在熵生成方面的过往记录。

尽可能添加您自己的熵。一些硬件钱包允许用户通过手动输入随机数（例如抛硬币或掷骰子）来补充设备的随机数生成器。这可以降低硬件随机数生成器存在缺陷的风险。

将助记词备份保存在多个安全地点。仅将一份备份保存在一个地点容易受到火灾、洪水或盗窃的影响。金属材质的助记词备份比纸质备份更能抵抗环境损害。

本文仅供信息分享，非商业用途，版权归原作者所有。如有侵权请联系删除。内容不构成投资建议。