Zcash计划保护支付历史免受量子攻击

核心提要：Zcash 计划通过独立查看密钥抵御量子攻击，保护支付历史隐私Zakura 发布了一项实验性实现方案，该方案在保留账户支出权限的同时，为兑换地址分配了独立的“入站查看密钥”。其 10 月 15 日的候选版本说明指出，在正式发行地址之前，需要对密钥派生过程进行审查。核心要点不同的兑换地址可以共享相同的入站支付历史记录访问

Zcash 计划通过独立查看密钥抵御量子攻击，保护支付历史隐私

Zakura 发布了一项实验性实现方案，该方案在保留账户支出权限的同时，为兑换地址分配了独立的“入站查看密钥”。其 10 月 15 日的候选版本说明指出，在正式发行地址之前，需要对密钥派生过程进行审查。

核心要点

不同的兑换地址可以共享相同的入站支付历史记录访问权。

该提案分离了查看密钥，但未创建单独的支出账户。

私有查找机制有助于恢复后的钱包定位支付记录，同时不暴露地址的所有权归属。

退款地址可能暴露多个兑换信息

通过 NEAR Intents 兑换 ZEC（Zcash）时，需要一个地址用于退回未使用的资金。根据 Zakura 工程师 Adam Tucker 的解释，当存款注册时，这个隔离的退款地址会被记录在 NEAR 的公共区块链上，即使最终没有发生退款，这一记录依然存在。同样，兑换进入 ZEC 的交易也会公布接收地址。

这些地址看似互不相关，但实际上共享同一个入站查看密钥。因此，恢复该密钥可能会揭示超出单次兑换本身的收款记录。所描述的潜在攻击需要未来具备足够能力的量子计算机从暴露的地址中恢复密钥，进而识别与该密钥关联的入站支付（包括金额和备注信息）。该提案旨在应对未来的机密性风险，而非报告正在发生的攻击。

分离查看密钥以维持支出账户完整

Zcash 严格区分查看权限与支出权限。其钱包密钥派生标准支持从单个种子衍生出密钥和地址，允许钱包管理多个地址，而无需为每个地址单独备份。

仅仅生成另一个地址并不必然产生独立的入站查看密钥。Zakura 提出的变更在地址背后运作：它为每次兑换退款或入站兑换派生一个单独的查看密钥。该实现保留了账户的支出权限，用户可以从同一账户中花费通过不同兑换密钥收到的资金，避免了将余额分散到众多账户中的操作负担。

地址背后的变化

共享查看密钥：恢复一个密钥可能会暴露多个地址的入站支付记录。独立兑换密钥：恢复某个兑换的查看密钥仅会暴露与该密钥相关的收据，不会自动打开其他无关的入站支付。

查看密钥本身并不授权支出。预期的保护范围更窄：限制单一受损密钥所能揭示的支付历史记录。

恢复过程需在不妨碍所有权的前提下查找支付

当钱包恢复时，分离的密钥带来了发现难题。从种子重新生成密钥并不能告诉钱包哪些密钥收到了支付。如果尝试对每一个兑换密钥遍历整个交易历史，随着兑换次数增加，恢复工作量将显著上升。

出站兑换：提供了留下恢复记录的途径。提议的实现方式是在属于用户资金交易的便签中包含一个加密备忘录，记录用于派生退款密钥的索引。在恢复过程中，钱包可以找回该索引并重建相应的密钥和地址。

入站兑换：由于 Zcash 钱包并未为此类交易创建可留下备忘录的资金交易，因此采用了另一种方法。设计思路是顺序检查确定性派生的地址，利用已支付给兑换提供商或已披露的地址记录来确定搜索范围。

为了定位支付，接收者发现系统使用钱包本地检查的公共过滤器。可能的匹配结果会触发私有信息检索（PIR）请求，从而在不向服务器发送包含可读地址名称的查询的情况下，识别相关交易。随后，钱包可以使用对应的查看密钥解密支付。这避免了让每个恢复的密钥在整个链上进行单独搜索。此外，私有查询还防止了一系列可读的查找请求暴露多个地址属于同一钱包的事实，否则服务器可以通过接收针对地址 A、B、C 的请求将它们关联起来，从而削弱新密钥带来的隔离效果。

审查与钱包支持尚未完工

实验性代码尚未确立普通用户已启用该功能的钱包环境。密码学审查仍在进行中，且实现方案明确指出，硬件签名设备需要先经过固件资格认证，才能为硬件账户启用一次性密钥。

Zakura 的工程文章预计该功能将在未来几周内集成到兼容的软件钱包（包括 Vizor）中。这只是一个开发估算，并非确认的发布日期。

此项工作与今年 1 月计划的透明 Zcash 支付保护措施不同，后者关注的是支付授权，而本提案关注的是隔离入站支付历史的隐私性。

新的派生机制无法移除已公开记录的地址。隔离未来的兑换密钥并不能抹去与现有共享查看密钥相关的早期披露。剩余的交付工作具体包括：审查派生逻辑、集成支付发现与恢复功能，以及认证支持的签名设备。只有在完成这些步骤后，用户才能在发布的钱包中信赖所提议的隔离机制。