比特币隐私提案通过零知识证明避免软分叉

Alloc Init 团队提出基于零知识证明的私有比特币转账方案

2024年9月24日，Alloc Init 的研究人员发布了一篇论文，提出了一种无需进行软分叉即可实现私有比特币转账的方案。该方案被称为“Shielded Bitcoin”（屏蔽比特币），旨在隐藏发送者、接收者及交易金额，同时不改变比特币的共识规则或代码。在该架构中，索引器负责验证零知识证明和空值符（nullifiers），而比特币网络仅负责发布和排序交易数据。研究人员表示，关于比特币存入和提取功能的详细设计将在随后的论文中公布。

Misha Komarov 估计，初期屏蔽转账的费用可能约为普通比特币交易费用的四倍。尽管批评者对早期的匿名性和抗量子能力提出质疑，但研究人员承认，隐私保护的效果在很大程度上取决于用户的使用情况。

作为元协议运行的 Shielded Bitcoin

Alloc Init 的研究人员 Clara Shikhelman、Mikhail Komarov 和 Aleksei Moskvin 将 Shielded Bitcoin 描述为一种元协议，利用比特币来发布和排序加密的交易数据。比特币节点无需理解或强制执行隐私系统的规则。该系统借鉴了 Zcash 的核心思想，包括加密票据、空值符和零知识证明，从而在保持比特币现有共识规则不变的情况下，遮蔽屏蔽交易的发送方、接收方、转移金额以及与早期票据的链接。

目前，该提案仍处于研究阶段，并非已部署的比特币软件。Alloc Init 尚未宣布主网上线日期，且用于将 BTC 进出屏蔽系统的独立机制仍在开发中。创始人 Misha Komarov 在9月24日发布的采访中称，其底层技术具有实验性质。

将隐私检查移至共识之外

在提议的架构下，比特币充当研究人员所述的“中性发布和排序层”。一笔屏蔽交易会将加密票据、空值符和零知识证明嵌入到普通比特币交易携带的数据中。名为“索引器”的独立程序会按照比特币既定的交易顺序读取这些数据。索引器会验证零知识证明，检查每个空值符是否曾出现过，并在交易通过检查时更新其对屏蔽系统的视图。无效的屏蔽数据仍可能进入比特币区块链，因为比特币本身不会强制执行该元协议；索引器只需将其从 Shielded Bitcoin 的状态中拒绝即可。

发送方会消耗代表先前接收价值的加密票据，并为接收方创建新票据。证明过程将确立发送方拥有有效票据、未凭空创造价值以及交易输入输出平衡的事实，同时不暴露底层金额或票据信息。

正如近期指南所述，零知识证明系统可以在不揭示计算所用私密信息的情况下，证明计算遵循了特定规则。Shielded Bitcoin 将此模型应用于比特币转账，而其索引器则在比特币共识之外处理验证工作。研究人员指出，不诚实的索引器可能会提供过时信息、遗漏转账或延迟钱包更新，但此类索引器无法控制用户的支出密钥。用户可以切换索引器，或独立重放来自比特币的屏蔽交易历史。

Zcash 风格设计如何隐藏交易链接

Shielded Bitcoin 紧密遵循 Zcash 使用的票据模型。空值符标识票据已被花费，而不公开揭示产生空值符的具体加密票据，从而使索引器能够拒绝双重支付，同时隐藏交易链接。Komarov 在9月的采访中将这一概念简单概括为：“本质上就是 Zcash。”他表示，用户会将比特币放入私人池，获得加密票据，随后在取款时使用、拆分或花费这些票据。Alloc Init 计划通过其 PIPEs 研究将该系统与比特币连接。

隐私性并不意味着所有活动都不可见。公共观察者仍能看到 Shielded Bitcoin 交易发生的时间、时机、交易费用、数据大小、消耗的票据数量以及创建的票据数量，以及承载加密信息的比特币交易。用于发布这些交易的知名比特币钱包可能会泄露更多关于发布者的信息。

研究人员提供了独立的只读密钥，用于查看流入或流出活动。用户可以向会计师或交易对手披露选定的交易信息，而无需交出支出权限，尽管 Alloc Init 警告称，共享完整的查看密钥将揭示该密钥涵盖的所有内容。

相关报道显示，本周 crypto.news 报道了对隐私导向加密货币系统的需求正在扩大。报告引用 ZecStats 数据显示，Zcash 屏蔽池中有 491 万枚 ZEC，占当时发行供应量的 29%。

匿名性与抗量子能力仍存争议

该提案引发了关于新屏蔽池在启动时能提供多少隐私的疑问。开发者 Vadim Zavodil 认为，Zcash 已经拥有多年的屏蔽活动背景，形成了较大的匿名集，而新的比特币元协议将从少数参与者开始起步。“隐私是人群规模的函数，”Zavodil 写道，他认为早期使用 Shielded Bitcoin 的用户可能只有极少数可混合的可比交易。他的批评侧重于用户行为和池规模带来的实际匿名性问题，而非密码学证明本身是否隐藏了其私密输入。

Alloc Init 自身的解释也承认了这一普遍局限性。如果只有少数行为体生成大多数票据，或者单个钱包遵循可识别的存款、取款或时间模式，那么大量比特币进入屏蔽系统本身并不能形成强大的匿名集。针对 Zcash 的研究记录了类似的行为问题。一项经过同行评审的 2018 年研究发现，即使底层屏蔽密码学保持完整，交易模式也会缩小有效的匿名集。该研究考察了较旧的 Zcash 实现，早于后来的几次升级。

后量子研究员 Pierre-Luc Dallaire-Demers 提出了另一项密码学担忧。他形容该构建方式有趣，但“完全不具备抗量子能力”。在后续评论中，他表示正在审查如果比特币最终采用后量子签名，完全的后量子版本需要什么样的条件。Komarov 给出了更具条件性的回应。他在 Unchained 的采访中表示，屏蔽池最终走向抗量子能力的部分途径将取决于比特币自身的签名系统。Alloc Init 并未将 Shielded Bitcoin 呈现为已完成的后量子实现。

Zerocash 合著者兼 StarkWare CEO Eli Ben-Sasson 对该项目的方向给予了更积极的回应，但他表示尚未审阅完整论文。因此，他的支持仅代表初步反应，而非对该构建技术的正式背书。

Shielded Bitcoin 仍需其比特币存取系统

一个主要的未完成组件是实际 BTC 进出屏蔽元协议的移动方式。Alloc Init 在9月24日的说明中指出，当前论文规定了资金进入系统后的屏蔽转账，而 forthcoming paper（即将发表的论文）将描述使用 PIPEs 进行的 peg-ins（锚定存入）和 peg-outs（锚定提取）。PIPEs 依赖见证加密，使得访问比特币签名密钥的条件取决于证明指定规则已得到遵循。Komarov 在2月份向比特币开发邮件列表解释称，PIPEs v2 可以在不需要比特币软分叉的情况下模拟某些契约和零知识验证功能。

密码学机器仍然计算量大。Komarov 在2月份的披露中指出，一个 PIPEs v2 密文大约需要 330 TB 的存储空间，同时表示研究人员知道一条最终可将数字降低至 100 GB 的路径。在该出版物中，较小的目标尚未实现。此外，屏蔽转账也将消耗更多的比特币区块空间。Komarov 告诉 Unchained，加密的屏蔽负载大约为 700 虚拟字节，而典型的比特币交易约为 100 至 200 虚拟字节。他估计由此产生的矿工费用可能高出约四倍。

目前尚未设定发布日期。Komarov 表示，团队正在收集技术反馈，同时继续致力于实验性构建工作，包括公开尝试发现设计中的缺陷，并与见证加密研究者 Sanjam Garg 合作。下一次公开 scheduled 演示定于 2026 年 9 月 28 日。Bitcoin Treasuries Conference 议程列出了 Alloc Init 研究员 Clara Shikhelman 将在纽约举行的题为“Shielded Bitcoin: Private Transfers on Bitcoin L1”的五分钟会议。