比特幣(BTC) BIP138草案公開：同時取得xpub與加密備份恐暴露錢包結構

一份旨在加密保存比特幣(BTC)多重簽名錢包復原資訊的BIP138草案已公開。該方案可補足僅靠種子短語難以復原的錢包配置資訊，但若伺服器同時取得用於備份的xpub與加密檔案，仍可確認錢包結構。

BIP138已於2026年9月21日被納入比特幣改進提案儲存庫的草案。BIP138文件將該提案狀態標示為「Draft」，目前尚未改變比特幣網路規則，也不是會自動套用至既有錢包的標準。

核心問題在於，多重簽名錢包的復原資訊並不僅由一組種子構成。種子可以重新生成其中一位簽署者的私鑰，但若遺失descriptor，可能無法復原錢包由哪些公鑰、腳本與花費條件組成。

Descriptor是記錄錢包監控哪些公鑰與腳本，以及在何種條件下使用資產的配置資訊。由於其內容比種子更長，難以記錄在紙張或金屬上；若以明文上傳至線上儲存空間，公鑰與腳本結構也可能曝光。

BIP138設計上將descriptor、錢包政策與標籤等公開資訊列為加密對象，但不納入私鑰資料。文件提出ChaCha20-Poly1305作為加密方式。

解密權限源自descriptor中包含的特定公鑰。持有各簽署者xpub的人，即使沒有種子短語或私鑰，也能復原備份檔案中的descriptor與錢包政策。

僅憑xpub無法花費比特幣。xpub只是用於衍生子公鑰與地址的擴展公鑰，不會提供交易簽名所需的私鑰。

問題在於，xpub未必只有錢包使用者知悉。部分單簽名錢包可能為了生成地址而將帳戶xpub傳送至伺服器；如果該xpub被重複用作多重簽名descriptor的金鑰，且伺服器同時取得加密備份檔案，就可能解密備份。

此時曝光的資訊包括公鑰、腳本結構與參與者數量等錢包中繼資料。伺服器不會因此取得可直接轉移資產的簽名權限，但可能掌握錢包配置與地址流向。

BIP138限制將已直接暴露在區塊鏈上的公鑰用作解密金鑰。若xpub的根公鑰直接用於實際花費，觀察交易的第三方可能計算出解密值。

因此，草案僅允許帶有衍生路徑或萬用字元的xpub，並排除bare xpub或直接公鑰形式，以區分可用於解密的金鑰。這項設計旨在減少解密金鑰暴露在鏈上的途徑。

公開技術討論中，也有人認為解密權限應與多重簽名的簽署條件保持一致。Delving Bitcoin討論提出，在k-of-n多重簽名中，可利用Shamir秘密分享將秘密值拆分成多個部分，並要求取得k個xpub後才能解密。

這種方式的優點是，即使單一xpub外洩，也無法開啟整份備份；但復原流程會變得更加複雜。BIP138設計者則反駁稱，若要支援複雜錢包政策與時間鎖定，單一xpub解密方式可能更具普遍性。

目前BIP138已連結公開的Rust實作，但Liana錢包使用的初期備份格式與現行BIP138格式不相容。在錢包軟體支援該格式前，既有備份不會自動轉換或復原為這項規格。

目前尚未確認BIP138對比特幣價格或交易所資金流入流出的影響。這份草案與其說是立即生效的網路變化，不如說是試圖將多重簽名使用者分開管理種子與錢包配置資訊的安全設計規範化。

加密貨幣自主管理的範圍，正從持有私鑰延伸至管理錢包結構與復原資訊，這也與先前報導的自主管理討論相呼應。多重簽名使用者除了種子外，也應個別確認descriptor與錢包政策是否妥善保存、各xpub的對外傳送紀錄，以及所使用錢包是否支援BIP138。