BTC:捍衛隱私：匿名技術的興起——區塊鏈技術引卷之十_healthfoodcoin

通證通研究院×FENBUSHIDIGITAL聯合出品

文：宋雙杰，CFA；田志遠；金佳豪

特別顧問：沈波；Rin

導讀

針對BTC在隱私性方面的問題，各種各樣的匿名通證應運而生，并迅速在數字通證市場占據了一席之地。

摘要

作為數字通證的先行者，BTC已歷經十年起伏，具備良好魯棒性的同時也逐漸顯露出隱私保護的局限性。近年來，隨著區塊鏈技術、隱私計算技術、密碼學技術等方面的發展，基于各種新興技術為保護交易隱私而創立的匿名通證相繼出現。

2012年12月，第一個針對數字通證隱私問題的協議——CryptoNote問世。該協議介紹了兩種技術：隱私地址技術和環簽名技術，分別提供對數據接收方和發送方的隱私保護。

2013年1月，BTC開發商GregoryMaxwell為提高BTC的隱私性提出了Coinjoin技術，Coinjoin使用多重簽名技術，交易者需各自獨立分散完成簽名，只有提供了所有簽名的交易才能被判定合法，并被網絡接收。

2013年5月，約翰霍普金斯大學教授MatthewD.Green等人提出了Zerocoin協議。此協議提議允許銷毀并重新生成數字通證，以保證通證交易匿名化且無需可信第三方參與。次年5月MatthewD.Green等人在Zerocoin的基礎上創建了Zerocash，并提出了一種經典的零知識證明法——zk-SNARKs。

2015年10月，Monero研究實驗室的Shen-Noether提出RING-CT，該技術基于CryptoNote協議發展而來，是一種隱匿交易金額的技術，同時可加快交易速度。

2016年7月，TomElvisJedusorand提出Mimblewimble，該技術保留了BTC基于PoW共識的優越特性，同時針對UTXO集合進行了優化，在大幅提升匿名性的同時，能夠極大地節省區塊鏈存儲空間。

風險提示：監管不確定性，匿名性或影響性能

目錄

1匿名伊始——BTC的“提爾鋒”

1.1BTC的隱私策略

1.2BTC的“提爾鋒”

2.3“匿名通證”應運而生

多個巨鯨在8月18日市場下跌后共計買入逾9萬枚ETH，約合1.48億美元:9月8日消息，據鏈上分析師余燼監測，在8月18日市場下跌后買入ETH的巨鯨地址的情況如下：

0x3ce....9c79買入32,101枚ETH（約合5308萬美元），均價為1654美元。

0xb15....8b2e（波段ETH高勝率巨鯨）買入19,507枚ETH（約合3187萬美元），均價為1634美元。

0x362....6ec7、0x8b9....8564買入12,165枚ETH（約合2000萬美元），均價為1644美元。

smartestmoney.eth買入11,242枚ETH（約合1862萬美元），均價為1657美元。

0x225....086e（1inch: Team Investment Fund Collection地址）買入9,132枚ETH（約合1500萬美元），均價為1644美元。

0x55c....cdaf買入6,127枚ETH（約合1000萬美元），均價為1648美元。[2023/9/8 13:27:11]

2常見的匿名技術

2.1CryptoNote協議——首個數字通證隱私協議

2.1.1隱私地址技術

2.1.2環簽名技術

2.2Coinjoin——非中心化的“混幣”方案

2.3Zerocoin、Zerocash——巧用密碼學領域的高級證明法

2.4RING-CT——CryptoNote的繼任者

2.5Mimblewimble——優化BTC的神奇咒語

正文

1

匿名伊始——BTC的“提爾鋒”

2008年，中本聰發表了聞名遐邇的《Bitcoin:APeer-to-PeerElectronicCashSystem》并于次年挖掘出第一枚BTC，數字通證第一次從設想成為現實。彼時正值金融危機爆發，人們對于法定貨幣的信心大幅削減，而BTC的非中心化、抗通脹、公開透明、不可逆性和匿名性等特征似乎符合人們對于理想貨幣的設想。

1.1BTC的隱私策略

在BTC初露鋒芒之際，媒體和投資者對于數字通證褒貶不一。一部分人的關注點在于數字通證是否為一種新型的“龐氏騙局”；而另一部分人則聚焦于BTC的各種優越特性，包括非中心化、匿名性、不可逆性等。隨著對數字通證的認識越來越深入，公眾對于前者漸漸形成了共識——開源共享、自由查看的BTC不具備龐氏騙局的典型特征。但BTC在運行過程中也逐漸暴露出一些問題，其中之一便是隱私問題。

ApeCoin質押系統Ape Staking暫定于10月31日上線:9月23日消息，Web3工具開發商Horizen Labs宣布，ApeCoin質押系統Ape Staking上線日期暫定10月31日，或將前后移動一周。

此前7月23日消息，ApeCoin發布公告稱，根據已通過的AIPs-21和22提案，ApeCoin已選擇Horizen Labs作為合作伙伴，為ApeCoin建立和管理質押系統。[2022/9/23 7:16:05]

進行BTC交易無需提供真實信息，只需提供與真實信息無關的虛擬信息，但由于區塊鏈記載了每一筆交易的相關地址和金額，因此追蹤者可以在多次交易中匹配到相同的地址并將它們相關聯。正因如此，BTC的隱私策略被稱為“假名”。

2017年9月，美聯邦當局通過BTC地址在亞特蘭大機場抓捕了法國梟GalVallerius，這在當時引起了廣泛關注。調查人員發現暗網大梟OxyMonster多次使用同一BTC地址收款，并且該地址的17次轉出交易中有15次關聯到法國公民GalVallerius。執法部門注意到這條線索，進一步分析開源數據后定位到了Vallerius的Instagram和Twitter賬號，對OxyMonster和Vallerius的寫作風格進行對比后，最終確定其身份。

除了存在隱私方面的問題，“假名”策略還損害了BTC的可替換性。

1.2BTC的“提爾鋒”

可替換性是指某種物品的獨立單位本質上可以互換，黃金和法幣都具有可替換性，相同重量的黃金之間、相等面額的法幣之間都是等價的，不因黃金是否經手海盜或者鈔票是否曾在黑市流通而改變其價值。

BTC的“假名”策略導致其喪失了“可替換性”這一特性。交易記錄的公開透明、可追溯和不可篡改是BTC作為數字通證深受贊譽的特點，區塊鏈上保存了從“創世塊”至今所有的交易記錄。

但是這些特點如今成為了BTC的“提爾鋒”。持有者絕不希望陷入被相關部門凍結通證之類的麻煩，因此交易接收方通常會拒絕收入“被污染的”的BTC，更傾向于持有干凈的BTC，其中價值最高的就是第一次從礦工手上流出的BTC。

注：提爾鋒：北歐神話中的魔劍，無堅不摧百發百中，但同時也詛咒所有者步向滅亡。

為加強數字通證交易的隱私性，ByteCoin，一種基于BTC發展而來的加密通證應運而生。

CME BTC期貨今晨跳空高開，形成266美元缺口:9月15日消息，CME BTC期貨15分鐘周期跳空高開報20130美元，上一交易K線最高報19864美元，形成一個266美元缺口，缺口范圍：19864-20130美元。[2022/9/15 6:56:56]

1.3“匿名通證”應運而生

作為第一個基于CryptoNote協議的匿名通證，Bytecoin使用隱私地址技術和環簽名技術應對BTC在隱私保護方面的缺陷。自Bytecoin之后，各種匿名通證如雨后春筍般涌現，并且吸引了眾多投資者，其中Monero、Dash等匿名通證的市值在所有數字通證中穩居前列。

目前市場上比較有代表性的匿名通證包括已經過幾年時間驗證的Monero、Dash、Zcash等，由匿名通證硬分叉而來的Zencash等，以及Grin、Beam、Dero等數字通證圈的新寵。這些匿名通證在信息技術、匿名技術、密碼學等方面各有突破，下文將對目前市場上常見的匿名技術進行介紹。

2

常見的匿名技術

針對BTC的隱私性問題，世界各地的學者們展開了研究，迄今為止已經提出了許多比較完善的解決方案且已在實際區塊鏈項目中得到應用。

目前比較常見的匿名技術包括CryptoNote、Coinjoin、Zerocoin、RING-CT、Mimblewimble等。

2.1CryptoNote協議——首個數字通證隱私協議

2012年12月，第一個針對數字通證隱私問題的協議——CryptoNote問世。該協議介紹了兩種技術：隱私地址技術和環簽名技術，分別提供對數據接收方和發送方的隱私保護。2013年10月名義撰寫人NicolasvanSaberhagen更新了CryptoNote第2版。基于CryptoNote協議的匿名數字通證有很多，包括Bytecoin、Monero和Particl。

2.1.1隱私地址技術

隱私地址技術是隱藏實際交易地址的技術，該技術主要提供對數據接收方的隱私保護。

用戶進行BTC交易時將在公共區塊鏈上生成一份標準的BTC交易記錄，交易記錄包含接收方的地址，BTC使用假名技術保護接收方的地址隱私，但是區塊鏈的公開透明性使追蹤者能夠將特定假名的所有交易相關聯，進而結合其他信息和方法可能追蹤到實際交易者。

Solana漏洞事件受影響獨立錢包數量已超9000個:金色財經報道，據Dune Analytics數據顯示， Solana漏洞事件受影響的獨立錢包數量已超9000個，截至本文撰寫達到9214個，包含SOL、USD、BTC、ETH和mSOL在內的受影響資產總規模達到4,088,068美元。據此前消息，Solana因漏洞導致惡意行為者從 Solana 的多個錢包中盜取資金。[2022/8/3 2:57:00]

CryptoNote的隱私地址技術使用一次性隱匿地址降低不同交易之間的關聯性，發送方和接收方可通過密鑰確認交易是否有效。

相較于其他的隱私策略，隱私地址技術具有多重密鑰的特性。接收方具有私鑰b和公鑰B，G為橢圓曲線上的一個點。發送方在交易時取得接收方的公鑰B，生成混淆地址P。該地址由兩部分構成，一部分由接收方的公鑰B經過哈希生成，這一過程加入了只有發送方擁有的隨機數r；一部分為接收方的公鑰B。

在交易的開始階段，支付方Alice獲得接收方Bob的公鑰B，結合隨機數r經過哈希和橢圓算法獲得混淆地址。混淆地址P生成后被礦工記錄上鏈。接收方可以在鏈上獲取隨機數r經橢圓算法運算后的R，且bR=brG=rbG=rB，根據此等式接收方可使用R、私鑰b和公鑰B生成相同的混淆地址：

接收方通過R、私鑰b和公鑰B檢驗區塊鏈上的所有交易地址以確認是否存在自己的交易。檢查等式如下：

隱私地址技術使用一次性的隱匿地址，極大地增強了交易接收方的安全性，保證通信接收方的信息隱私。

2.1.2環簽名技術

相比于隱私地址技術，環簽名技術能夠提供對數據發送方的隱私保護。環簽名技術借用無法追溯來源的共同簽名實現數字通證交易簽名混淆化。共同簽名混合一群信息發送方的簽名，其中之一是信息真正的發起者，其余來自于區塊鏈網絡。后者從區塊鏈曾記錄的無數簽名中提取而來，被稱為誘餌。

環簽名技術涉及密碼學中的單向陷門函數，該函數首先是一個單向函數，通過不對稱算法保證不可逆性。其次具有一個特定陷門，若知道陷門m可以很容易地計算出x=f^-1(x)。在基于單向陷門函數的公開密鑰密碼體制中，公鑰是公開可查的，可用于加密信息，且僅有擁有私鑰的接收方可以使用私鑰對加密信息進行解密。

生成簽名。利用發送方私鑰與一組區塊鏈上的隨機公鑰進行運算形成環簽名。首先，發送方從區塊鏈上獲得r個混淆公鑰Pi，生成隨機數xi并通過r個公鑰加密生成yi。然后選取隨機數v，并通過特定算法生成ys。作為私鑰的擁有者，發送者可以很容易地利用私鑰和ys計算得到xs。最終的環簽名P由以下參數組成：

Meta宣布Quest 2售價將上調100美元:7月27日消息，Meta日前宣布，從2022年8月1日起，Quest 2的128GB版本將從原來的299美元漲價至399.99美元，而256GB版本則從原來的399美元漲價至499.99美元。Meta表示，產品的制造和運輸成本一直在上升。通過調整Quest 2的價格，可以繼續增加在突破性研究和新產品開發方面的投資，將虛擬現實行業推向新的高度。（金十）[2022/7/27 2:40:31]

驗證簽名。驗證者使用環簽名中的參數xi，xs經過各自對應的單向陷門函數，求得相對應的輸出值yi，ys，最后將yi，ys經過上述特定算法的逆運算得到v'，對比驗證環簽名中v=v'，若等式成立則環簽名有效。

環簽名技術在信息發送環節加入了不可分辨的無效信息，從而能夠保護發送方的信息隱私。在簽名驗證環節通過驗證整體的簽名即可確認交易信息的有效性。

2.2Coinjoin——非中心化的“混幣”方案

2013年1月28日，BTC開發商GregoryMaxwell為提高BTC的隱私性提出了Coinjoin技術，其基礎為“混幣”技術。

“混幣”是一種較樸素的通證匿名技術，指將多個交易者的輸入進行混合后輸出。觀察者無法根據混幣后的輸出關聯到交易輸入，從而混淆數字通證流向。然而，早期的“混幣”需要可信第三方的參與，存在中心化風險和信任問題。在此基礎上發展起來的Coinjoin則是非中心化的混幣方案。

Coinjoin使用多重簽名技術，交易者需各自獨立分散完成簽名，只有提供了所有簽名的交易才能被判定合法，并被網絡接收，否則，便會悉數分別退回個體的資產。

相比早期的混幣服務，Coinjoin能夠有效化解第三方信任風險，避免了第三方盜竊與泄露混幣信息的可能。CoinJoin是非中心化混幣機制的基礎，主流匿名通證中的Dash便應用了此協議。

但是，即便Coinjoin在設計上不需要可信第三方參與，但為保證混幣的效果，需要有充足數量的數字通證。這依然導致對數字通證集中持有者的依賴性。Zerocoin協議針對此問題提出了改進方案。

2.3Zerocoin、Zerocash——巧用密碼學領域的高級證明法

2013年5月，為了改進Coinjoin需要第三方參與的缺陷，約翰霍普金斯大學教授MatthewD.Green等提出了Zerocoin協議。此協議提議允許銷毀并重新生成數字通證，以保證通證交易匿名化且無需第三方參與。

2014年5月，MatthewD.Green等人基于Zerocoin創建了Zerocash協議。該協議利用密碼學領域的高級證明——零知識證明方法對Zerocoin進行了完善和改進。Zerocash提出了一種經典的零知識證明方法——zk-SNARKs。

本系列前文已經提到，零知識證明是密碼學的高級證明。證明者在不透露隱私數據的情況下，可以向任意第三方證明自己確實擁有特定數據。零知識證明具有完備性、穩定性、零知識性的特點。理論上，零知識證明是匿名程度最好的隱私計算技術，其學術資本較強。

zk-snark是一種經典的零知識證明法，發送方可以在不泄露交易的金額、地址等細節的前提下向驗證者證明交易的合法性。

zk-SNARKs的驗證過程主要包含三部分。

第一：抽象編碼。證明者需要向驗證者證明他知道某一事實，這一邏輯在第一步被抽象為證明者需要向驗證者證明一個多項式成立。例如：

第二：簡單隨機抽樣。驗證者雖無法直接確認多項式成立，但可使用評估點進行評估。驗證者選取隨機的評估點s，若在評估點上等式成立，則說明含參多項式具有一定可信度。通過多次選取評估點能不斷提升可信度。

第三：零知識證明。為了確保證明者不會因為透露f(s)、g(s)、h(s)、w(s)的值而泄露安全信息，證明者使用同態加密技術將上述值加密。例如使用同態加密函數E將上述值加密為E(f(s))、E(w(s))、E(h(s))、E(w(s))，驗證者被授權驗證加密后的值，如果加密后的值符合下式，則驗證成功。

但是，zk-SNARKs有兩個明顯的缺陷。第一，依賴于可信的初始設置。基于此方法的數字通證交易要求每一對證明者和驗證者都提供一組公共參數以進行零知識證明，而這組公共參數是由協議開發者共同設置的，擁有這些公共參數意味著擁有了造假權。換言之，zk-SNARKs無法避免開發者風險，開發者可能由于不同的原因泄露公共參數。第二，zk-SNARKs的加密技術基于橢圓曲線密碼，目前的計算機無法暴力破解。但隨著計算機性能的提高，尤其是量子計算機的進步，這種不具備量子抵抗能力的方法可能會在將來被暴力破解。

zk-stark，一種零知識、可擴展、透明的知識論證正在研究當中。該方法能夠保證生成證明的所有參數都是公開并隨機生成的，同時還具備量子抗性。

2.4RING-CT——CryptoNote的繼任者

RING-CT是一項隱匿交易金額的技術。這項技術于2015年10月由Monero研究實驗室的Shen-Noether提出。在最初的Monero交易中，為了保證環簽名有充足的數據來源，交易往往需要被拆分為特定面額，以保證環簽名技術的混淆能力。

然而，通證的交易數額也屬于交易雙方的隱私。基于這一理念，RING-CT技術被提出并得到了廣泛應用。應用RING-CT協議之后，數字通證只有從區塊鏈中獎勵給礦工時會顯示數額，其后的所有交易將遮罩交易面額，轉為在交易中提供一個數字RCXXX作為交易金額輸出。

交易輸出由兩部分組成，一是隨機數，用來遮罩真實金額，由錢包自動產生；另一部分為真實交易金額。礦工不能從RCXXX中得到交易具體數額，但可根據RCXXX驗證交易輸入是否等于交易輸出，以確認沒有偽造產生通證。在整個環節中，不論礦工還是其余觀察者都無從得知確切的交易金額信息。

RING-CT同時解決了環簽名技術需要分割交易的問題。公開交易金額削弱了環簽名的混淆能力，而隱匿交易金額能彌補這一缺陷，同時由于交易金額隱匿后無需分割交易，因此在提升了交易隱匿性的同時，也能夠加快數字通證交易速度。

2.5Mimblewimble——優化BTC的神奇咒語

Mimblewimble取名于哈利波特中的魔法咒語，于2016年7月被匿名撰稿人TomElvisJedusorand提議并于2016年10月由AndrewPoelstra進一步擴展。其研究之初的目的是為了改進BTC的隱私性，同時節省存儲空間。Mimblewimble基于BTC去粗存精，保留了PoW的優越特性的同時，針對UTXO集合進行了優化。目前基于Mimblewimble的數字通證代表是Grin和Beam——兩位數字通證界的新寵。

機密交易是Mimblewimble的一項核心技術，其主要原理基于以下公式：

其中C是經過橢圓算法ECDSA得到的加密交易金額，礦工透過PedersenCommitment的同態加密特性，即使不知道具體的輸入和輸出金額，但依然可以利用加密后的值確認輸入值等于輸出值，確認交易有效性。

其次，礦工利用RangeProof來驗證交易值沒有溢出，即交易雙方沒有憑空創造額外的通證。比如Alice持有5枚BTC，Bob持有0枚BTC，則交易后Bob不可能擁有超過5枚BTC。

最后，Mimblewimble針對優化礦工存儲空間設計了Cut-through特性，能夠降低區塊鏈的大小。隨著時間的推移，區塊鏈會不可避免地擴增、臃腫，但Mimblewimble通過Cut-through能夠刪除無用信息從而有效壓縮區塊鏈大小。例如，BTC的區塊鏈上記錄了兩條信息：

1.Alice支付1BTC給Bob

2.Bob支付1BTC給Charlotte

在這個例子中，BTC區塊鏈記錄了兩筆交易，第一筆交易記錄了來自Alice的輸入信息和發送向Bob的輸出信息，第二筆交易記錄了來自Bob的輸入信息和發送向Charlotte的輸出信息。但在交易完成后，Bob的輸出和輸入信息是過期的無效信息。Cut-through技術允許刪除中間無效信息，從而能夠大幅壓縮區塊鏈體積，此外中間信息的丟棄也提高了交易的隱私性。

但需要指出的是，目前基于Mimblewimble的實際項目Grin、Beam雖然實現了Cut-through，但礦工能夠根據需要剔除相應代碼，因此Cut-through通過刪除中間信息加強數字通證交易隱私性的設想并沒有完全實現。

本文詳細介紹了主要的隱私交易技術，在后續專題中，我們將對各種隱私通證技術進行對比，并對使用各種隱私交易技術的匿名通證的生存環境和未來發展作出分析。

附注：

因一些原因，本文中的一些名詞標注并不是十分精準，主要如：通證、數字通證、數字currency、貨幣、token、Crowdsale等，讀者如有疑問，可來電來函共同探討。

Tags：BTCOINCOICOINtBTC幣A1 Coinbitcoinmoneyhealthfoodcoin

Bitcoin