如果全部用硬化派生，HD 钱包就失去了"只凭公钥就能生成收款地址"的能力，而这恰好是现代钱包最常用的工作方式。硬化派生的设计目的是隔离风险，不是取代非硬化派生。两者在 BIP32 里各管一段：账户层及以上用硬化，账户内部（找零链和地址索引）用非硬化，这是 Trezor 等主流钱包遵循的标准结构。
非硬化派生解决了什么问题
BIP32 的层级确定性钱包有一个核心卖点：你只需要备份一次种子，之后所有密钥都能从它推导出来。但推导分两种方式，公钥和私钥的参与程度不同。
非硬化派生允许只用父扩展公钥（xpub）就计算出子公钥，不需要私钥参与。这意味着一个只持有 xpub 的设备或服务器，可以生成无限多个收款地址，用于监控余额、展示地址列表，而私钥始终留在离线设备里。硬件钱包的"观察模式"、交易所的地址生成服务、以及 Casa 这类多签托管服务，都依赖这个特性。
如果全部硬化，每一次地址生成都需要私钥在场。对于硬件钱包，这意味着每次你要看一个新地址，都得把设备插上并确认。对于需要批量生成地址的服务端，硬化派生会让架构变得笨重，因为私钥不能离开安全环境，而公钥派生可以安全地外包给联网服务器。
硬化派生防的是什么
非硬化派生有一个明确的安全代价：知道父 xpub 和任意一个子私钥，就能反推出父私钥，进而危及该 xpub 下的所有兄弟密钥。这个风险不是理论上的，BIP32 的数学结构决定了它成立。
硬化派生切断了这条反推路径。因为硬化派生用父私钥参与哈希计算，而不是父公钥，所以从子私钥无法倒推出父私钥，从父公钥也无法正向派生硬化子公钥。代价就是上面说的：没有私钥，连子公钥都算不出来。
BIP44 等标准之所以在路径的账户层（如 m/44'/0'/0'）使用硬化，而在账户以下的找零和地址索引层使用非硬化，正是为了在安全与可用性之间取平衡。账户之间互相隔离：泄露某个账户的子私钥，不会危及主种子或其他账户。但同一个账户内部，可以用 xpub 自由生成地址，方便收款和监控。Ledger 推动硬化路径迁移的理由也在这里：如果用户用同一个种子管理多种币，非硬化路径下单个私钥泄露可能波及其他资产，硬化隔离能降低这种跨账户的连带风险。
一个具体的判断例子
假设你有一个硬件钱包，路径是 m/84'/0'/0'/0/0（BIP84，原生隔离见证）。前三个层级 84'/0'/0' 是硬化的，最后一个 0/0 是非硬化的。
如果你把硬件钱包连接到观察模式软件，软件拿到的是账户层的 xpub（m/84'/0'/0' 对应的扩展公钥）。软件可以自行派生 0/0、0/1、0/2 等所有地址，用于展示收款地址和监控余额。私钥始终在硬件设备里，软件无法签名，也无法反推账户私钥。
如果账户层也改成非硬化，那么一旦你的某个找零地址私钥在联网设备上泄露（比如软件被攻破），攻击者可以用那个子私钥和账户 xpub 反推出账户私钥，进而控制该账户下的所有资金。硬化在账户层截断了这条链。
什么时候该在意这个区别
你不需要手动选择派生方式。钱包软件在生成密钥时已经按标准配好了。但有两类情况需要你留意。
恢复钱包时，如果你用的软件问"派生路径"或"地址类型"，它实际上在问用哪套硬化/非硬化组合来推导你的密钥。选错路径，你会看到余额为零，因为软件推导出的地址和你当初收款用的地址不是同一批。这不是币丢了，是推导路线不对。用同一套种子在不同钱包间恢复时，确认双方支持的路径标准一致（比如都认 BIP84 的 m/84'/0'/0' 结构），比事后排查要省事。
使用观察模式或连接第三方服务时，你提供的 xpub 对应哪个层级的路径，决定了对方能看到多少、能生成什么。提供账户层 xpub 是常见做法，因为它只暴露该账户的地址树；提供更上层的 xpub 则暴露更多。硬化层级的位置决定了你的 xpub 能走多远，也决定了泄露时的风险范围。
参考资料
- Trezor·What are BIPs and SLIPs?，2026-10-26
- Casa·Ledger and Hardened Derivation Paths: what's changing and what It means for your vault，2026-10-26
- IACR ePrint·Hierarchical Deterministic wallets (BIP32 安全分析)，2026-10-26
- IACR ePrint·Lattice HD Wallets: Post-Quantum BIP32 Hierarchical Deterministic Wallets，2026-10-26
- GitHub·Chaincode (BIP32 非硬化泄露机制)，2026-10-26
