@jayLink 额……并没有专门学过这方面……但是可以读精通比特币这本书、还可以搜 bitcoin wiki 、维基百科、bitcoin stackexchange 之类的……

从 2048 个单词表里抽取 12 个单词，2048^12=2^132 ，可以编码表示 132bit 的数据； BIP39 是把这 132bit 的最后 4bit 拿去做 checksum ，前 128bit 才是随机生成的 raw entropy 。（后 4bit 是前 128bit 推算出来的）
128bit 的强度其实已经和比特币用的 ECDSA secp256k1 数字签名等同。没错，虽然比特币私钥确实是 256bit 这么长，但毕竟这是非对称加密，只相当于 128bit 对称密钥的强度（我记得内在的原理还是生日攻击，但具体咋回事就不懂了）

所以说 12 单词的 BIP39 助记词已经足够安全了……（当然前提是生成助记词的随机数源靠谱，以及自己没有泄漏被骗什么的）

还有，老款的 trezor （ trezor one ，没有触屏）我记得就是为了防止键盘记录木马而打乱单词输入顺序，才用了 24 单词的 BIP39 。后来 trezor model t 有触屏了，不依赖电脑输入助记词了，于是就改成（默认） 12 单词了。（而且对于 trezor one ，后来也新加了远比打乱单词顺序更靠谱的“高级恢复”，也就是打乱键盘。打乱单词顺序能提供的熵我记得是差一点到 80bit ，比 128bit 还是减弱了不少，打乱键盘就不会像这样减弱强度了）。