[[alloc] init] 的 Shielded Bitcoin 提案實現私密比特幣交易

本文最初由 Bitcoin Magazine 發表。

來自 [[alloc] init]] 的研究人員 Clara Shikhelman、Misha Komarov 和 Aleksei Moskvin 推出了 Shielded Bitcoin，這是一個專為比特幣底層設計的隱私元協議。它能夠實現屏蔽交易，無需運營商、軟分叉或其他共識變更。白皮書可於此連結取得，部落格公告則在此連結。

該協議定義了一個交易結構和一個索引協議，以實現強大的隱私保護交易。它利用比特幣的 PIPEs 將資金掛鉤進出系統。有關 PIPEs 機制的更多細節將在本文後面介紹。

該系統的設計與比特幣非常相似：它有一個類似 UTXO 的等價物，稱為 note，交易像標準比特幣交易一樣將 note 作為輸入消耗，見證者驗證輸入是否經過正確授權，節點（作為此元協議的索引器）解析交易歷史以建立已花費和未花費幣的當前狀態。

然而，具體細節則有顯著不同。

Shielded Bitcoin 交易是一個資料區塊，帶有前綴（例如“shbtc:”），通過 OP_RETURN、見證欄位或其他資料載入方式嵌入比特幣交易中。比特幣網路不會驗證或強制執行這些交易的任何規則。無效的 Shielded Bitcoin 交易可能會出現在鏈上；Shielded Bitcoin 索引器（一個被動的區塊鏈觀察者）會忽略那些驗證失敗的交易，並且不將它們應用於網路餘額狀態。

索引器不會像比特幣處理 UTXO 那樣從未花費 note 集合中刪除 note；而是使用 nullifier 集合。這允許用戶公開張貼一個加密證明和 nullifier，表明某個 note 已被花費，而無需透露是哪個 note。系統不是檢查未花費 note 集合，而是檢查 nullifier 是否已被使用過。索引器建立一個不斷增長的梅克爾樹（僅追加），包含所有創建的 note 輸出，以及 nullifier 集合。

使用該協議只需要一個比特幣節點和一個 Shielded Bitcoin 索引器。資金恢復不需要服務提供商、協調者或鏈下狀態。它的運作方式類似於鏈上比特幣，只需要節點/索引器和用戶的密鑰。

用戶的錢包推導出一個主密鑰，所有其他密鑰集皆由此生成。

這類似於比特幣中的 HD 錢包，能夠生成多個地址集。sk_spend 是私鑰，sk_nf 用於無效化 note 輸出，vk_in 用於解密和查看傳入的 note，vk_out 用於查看傳出交易，sk_view 則用於生成接收地址。

為了提供接收資金的地址，用戶生成一個多樣化值 d（類似於派生值），並將其與他們的 sk_view 密鑰相乘。由此產生的公鑰 pk_d，連同 d，構成用戶的地址。

發送方生成一個隨機的 r_seed 值，這是 note 輸出加密和無效化所需的。交易輸出僅包含三個加密組件：輸出值、接收方的 d 值以及發送方的 r_seed。發送方使用一個秘密的臨時密鑰對和接收方的公鑰來推導出一個共享秘密。雙方可以通過將自己的私鑰乘以對方的公鑰來計算出相同的秘密。note 輸出使用此共享秘密進行加密，而臨時的 sk_eph 則以未加密的形式包含在內，以便接收方重新生成共享秘密。

對於輸入端的有效交易，需要兩個元素：一個用於已消耗 note 輸出的公開 nullifier，以及一個零知識證明，證明 (1) note 輸出是 note 梅克爾樹的一部分，(2) 交易由正確的 sk_spend 密鑰授權，(3) nullifier 被正確推導，以及 (4) 沒有發生通膨。

nullifier 使用 sk_nf 密鑰、從 r_seed 推導出的 ρ 值，以及 note 在輸出梅克爾樹中的位置。零知識證明涵蓋了所有這些元素，這就是為什麼計算重複的 nullifier 可以取代刪除已花費 note。儘管與 nullifier 關聯的特定 note 輸出仍然未知，但每筆交易中的證明確保每個新增的 nullifier 都來自有效的 note 輸出。只要沒有重複，系統就能提供相同的雙花保障。

本質上，該協議允許將加密的元協議交易嵌入比特幣區塊鏈，同時確保不會發生雙花並防止通膨。

該系統的隱私設計良好，可與 Zcash 的屏蔽池相媲美。在進入和退出元協議時存在隱私考量，這將在即將發表的論文中詳細說明。與 coinjoin 不同，無需定期重新混合或衡量隱私。

掛鉤機制計劃使用 PIPEs v2 構建，這是一種見證加密方案。PIPEs 能夠使用一種機制加密私鑰，該機制僅在提供證明條件已滿足（例如 UTXO 狀態或交易確認）的零知識證明時才會揭示密鑰。這將允許掛鉤在無需運營商、聯邦或第三方託管的情況下運作。

該系統無需軟分叉或更改比特幣協議，並且完全在鏈下運作。

Shielded Bitcoin 的下一步是建立一個掛鉤機制，讓用戶通過 PIPEs 加密控制的密鑰存入資金。這些資金將通過產生合法鏈上掛鉤交易（peg-out）的零知識證明來「解鎖」。

關於此方面的詳細論文正在撰寫中，預計很快會發布。