觀點 | 關于錯誤性證明（Fault Proof）的沉思（一）_比特幣

編者注：一般而言，我們會將FaultProof認為是與Layer-2相關的概念，是Layer-2將自己的狀態報告給Layer-1時采取的模式。但在本文中，作者使用的是廣義的錯誤性證明概念，考慮的是如何設計一種錯誤性證明模式，使SPV節點獲得更高的安全性。

錯誤性證明是個極為復雜且煩人的概念，但如果你想知道我的一些心得，請耐著性子跟我一起思考吧。

-BenihimeMorgan?的河流藝術作品-

簡而言之，言而簡之

SPV節點非常易于運行及擴展；借助錯誤性證明，SPV節點可以具備和全節點相同的安全性。

我要在此引入“SPV+”模式；常規的SPV節點只需要保存區塊頭，而SPV+節點還需要保存每個區塊中的第一筆及最后一筆交易。

“SPV+”節點必須與一個全節點建立支付通道，或是建立一個LN連接。

每驗證一個區塊的正確性，SPV+節點都必須向這些全節點支付小額費用；我估計這筆費用不會超過50刀/月。

后續就是添幾個新操作碼的事：我們需要一個鏈下的rangeproof，搭配類似“SegWit”的witness-commitment技術，就能方便且低成本地使用SPV+節點了。

1.背景

A.如何讓比特幣更像實體黃金

比特幣在設計上對標的是黃金；雖然在很多方面，比特幣已遠勝于黃金，但是一談到收款，問題就來了——你怎么知道錢到賬了？如果以黃金等實物手段支付，有沒有到帳是很簡單的——就跟所有一手交錢一手交貨的情形一樣；但如果使用比特幣支付，保障資產所有權就會變成一件很抽象的事。

對于這個問題，中本聰提出了一個完美的軟件解決方案，讓你能夠知道錢到賬沒有——它就是“比特幣”軟件。

等會！這不又兜回原點了嗎？究竟這個軟件是如何運作的

謎底揭曉，比特幣軟件使用一種特殊的機制與其它運行軟件的計算機進行同步；這個機制有點類似Dropbox，但不同之處在于，由每個文件自身保證同步性，因此不會有版本控制的問題。換言之，“得知錢已到賬”和“得知你已實現同步”是一碼事。

觀點：比特幣遠不是一個快速致富的計劃，它維護了財產權:在邁阿密Bitcoin2021大會上，由Robert Breedlove（ Parallax Digital CEO ）、Jimmy Song（開發者）和Guy Hirsch（eToro董事）組成的小組的圓桌會議的核心內容可以概括為：比特幣的成功是一種道德上的需要。

“比特幣遠不是一個快速致富的計劃，它維護了財產權。”

作為哲學上的證明，這個由開發者和首席執行官組成的小組引用了自由主義哲學的一個分支，強調 \"自我所有權\"。根據這一邏輯，你的身體是你的財產；從它延伸出來的一切，包括你的比特幣，都屬于這一產權。

比特幣開發者Jimmy Song表示，目前的貨幣系統是非常不道德的。它是盜竊、腐敗和裙帶關系的糞坑。 “美元是世界的儲備貨幣。每次美聯儲印制美元，他們都在從擁有美元的每個人那里偷竊，美國正在偷竊世界上最脆弱一群人。”

投資公司Parallax Digital的首席執行官Robert Breedlove同樣認為，世界上最重要的游戲，也就是金錢，是腐敗的。這個游戲的規則被扭曲，有利于少數人而不利于數百萬人。通貨膨脹的法定貨幣隨著時間的推移從其持有者身上減去價值，這是一種財產盜竊的形式。他認為，“比特幣作為我們有史以來第一個人造的廉潔的貨幣和社會機構，有可能是人類歷史上最重要的發明。”

eToro的美國董事Guy Hirsch則表示，“法幣和現行制度的核心是一種有罪推定，比特幣是金錢，但它也是一種意識形態運動。” （Decrypt）[2021/6/7 23:18:31]

中本聰在白皮書中提出了兩種“確認錢已到賬”的方法：

運行軟件，等待實現完全同步。

首先，運行一個“輕客戶端”——只會策略性地對某些簡單部分進行同步；然后注意是否出現“alert”。

第一種方法就是所謂的“全節點”，依靠的是?

positiveproof——你理應看到X，一旦你看到X，就知道自己已經收到錢了；第二種方法稱為“SPV模式”?

1，依靠的是?

negativeproof——你本不應看到Y，一旦你看到Y，就知道自己沒有收到錢。這里的Y就是白皮書中提到的“alert”，現在大家可能更常聽到另一種叫法——“錯誤性證明”。

觀點：我相信它、相信這項技術，不認為是一時的狂熱。:據Cryptoglobe消息，近日美國說唱歌手和媒體名人史努比·道格（Snoop Dogg）最近在接受《名利場》采訪時分享了他對比特幣和NFT的看法。認為NFT改變著藝術家開展業務并與粉絲建立聯系的方式。并表示相信比特幣和這項技術所創造的全球性的連接，不認為這只是一種暫時性的流行。[2021/4/4 19:45:04]

B.“alert”的理論支撐

我個人覺得最有意思的，反向證明機制與實際生活中的很多行為方式類似。

試想以下例子：

我們不會試圖100%杜絕兇案發生，而是在兇案發生后盡全力抓捕犯人。

我們不會試圖100%杜絕奸商存在，但如果真的出現奸商，我們會期待他被市場淘汰，然后由良商取而代之；如果有太多利益糾葛，我們會通過侵權法或規章制度淘汰我們不想要的商人。

我們不會試圖保證每一項發布的科研成果是100%零錯誤的，而是最大程度地公開它們，并期待能收到批評或指正。

我們不會試圖100％防止司法腐敗。但是我們確實要求所有法律訴訟環節都必須記錄下來，保證庭審的公正性可由公眾及法律學者在事后追查。

我們不會試圖變得“全知全能”。但是我們希望能夠在書籍、網站中找到所需的知識技能，并希望未來會有專家讓這些信息變得更準確。

通常我們會假設一切事情都沒什么問題，直到出現足夠嚴重的錯誤，我們再去修正。如果不這么做，現實生活中我們其實很難驗證每一件事情都是100%正確的。

C.“alert”面臨的理論挑戰

“alert”的問題在于，Satoshi實際上并未實現這個想法。上個月，EricLombrozo也在

推文中也提到這一點。

-EricLombrozo：“許多我聊過的頂尖技術專家都說，錯誤性證明實在是太難實現了，而且在最糟糕的情況下甚至是不可能的。中本聰似乎認識到了其中的難度，因此從未提出過解決方案。”-

觀點：閃電網絡漏洞繼續阻礙比特幣擴展解決方案:雖然比特幣價格在2020年創下一些高點，大量加密支持者一直在抱怨內存池（mempool）的積壓和發送交易所需的高昂費用。與此同時，閃電網絡還遠未被廣泛采用，今年還發現了一些攻擊媒介。

截至發稿時，比特幣mempool（積壓交易）顯示有11.3萬筆未確認交易，自2017年以來，未確認交易數量從未如此之高。三年前牛市出現時，交易費用和未經確認的交易猛增。根據bitcoinfees.cash 10月31日的數據，下一筆BTC區塊費為10.77美元，目前的中間值為6.43美元。

即使費用高昂、mempool也積壓，比特幣社區的交易仍主要集中在網絡上。建立在比特幣上的第二層協議閃電網絡（LN）旨在緩解這些問題，并假設人們會轉向LN解決方案。然而這從未實現，因為LN軟件對普通用戶來說太難了，許多應用程序都是托管的，并且今年已經有很多漏洞被披露。（Bitcoin.com）[2020/11/1 11:22:11]

若要實現錯誤性證明，主要有以下兩個難點：

抗DoS攻擊：比特幣全節點之所以對DoS攻擊有很強的抵御能力，是因為工作量證明機制所具備的不對稱性——每隔10分鐘才能產出一個新區塊，驗證這個區塊卻只要很短的時間。不過這是否適用于“alert”？“alert”實行PoW機制嗎？誰來為服務買單？如果沒有人買單，如何阻止惡意節點濫發假的“alert”來掩蓋真的“alert”？

反向證明：惡意的/粗心的礦工可能會丟棄區塊內的一部分數據，更極端地說，礦工可能會在根本不知曉區塊里有什么的情況下，創建出一個區塊！如果區塊里包含錯誤交易，我們怎么發現呢？如果沒人發現得了，又如何提醒他人呢？

針對第一個問題，我們可以采用區塊鏈以外的方法來抵御DoS攻擊，也就是支付通道。

針對第二個問題，我們可以將“審核資源”放在驗證區塊的特定部分——簡單來說，我們可以讓節點聲明自己確實知道整個區塊所包含的內容，然后讓驗證者驗證該聲明并為其背書。

2.問題

A.SPV模式

中本聰的SPV模式（

白皮書第8章處）：

比特幣的區塊頭非常小，且易于驗證，不受區塊所含交易數量的影響。

現場 | 觀點：安全是一個相對的問題:金色財經現場報道，10月15日，華山論劍2020網絡安全大會于西安召開，在大會的區塊鏈安全與應用創新分論壇圓桌討論環節，

陜西省區塊鏈產業聯盟執行理事長楊若松分享表示，區塊鏈領域的業務仍分為中心化和去中心化，在中心化考慮傳統思路，在鏈上的需要考慮去中心化思路。此外，安全是一個相對的問題，要在場景里細節討論，例如私鑰的使用，黑客攻擊，金融監管等等。

西安靈動CEO晏梓桐分享表示，目前，區塊鏈安全問題分為：鏈上、節點、交易平臺，重點在于個人存儲私鑰以及交易平臺的私鑰安全，其實我們不需要過于擔心區塊鏈透明性帶來的安全問題，用于后續的一些事項，不用擔心公鏈的透明性問題。

小得書院院長陳曉璞分享表示，當區塊鏈的透明性和隱私需求出現對立的時候，需要利用技術方案在透明化和安全性找到平衡。[2020/10/15]

可以很容易地證明，區塊中包含了某個東西“X”——只要有“X”本身、區塊頭，以及包含兩者的有效?MerkleBranch?即可。

還不太明白的人，可以參考下面的例子：

假設我們有三個區塊頭：headerA、headerB、headerC；每個區塊頭都分別包含一個hashMerkleRoot：hA、hB、hC。

交易Tx是否存在于這些區塊的任意一個之中？

是的，因為h()=ht，且

h(ht,hs1)=hi1

h(hi1,hs2)=hi2

h(hi2,hs3)=hA

其中：

ht是交易Tx的哈希值；

hs1、hs2、hs3是由全節點提供的哈希值。

hi1、hi2是SPV節點計算得出的中間哈希值。

上述證明的實際含義是，有一棵以hA為根哈希值的默克爾樹，它有兩個分支hi2和hs3，哈希值為證，別無其它可能；hi2也只有hi1和hs2兩個分支……層層遞推，最終可證，ht必定存在于這棵默克爾樹中，

MerkleBranch非常小，僅以log(n)的速率增長。付款者可以輕松獲得/生成MerkleBranch，并伴隨著交易一起發送給收款者；這種成本是可以忽略不計的。

觀點：比特幣投資者或將從特朗普提議的減免資本利得稅中受益:特朗普承諾要降低資本利得稅，前提是他要確保連任總統。這是一個很長的機會，但如果這真的發生，比特幣的前景可能是重大的。會計公司Lukka的稅收和監管事務主管Roger Brown表示，削減資本利得稅可以刺激加密貨幣的交易活動。如果利率的降低是短暫的，長期持有加密資產的納稅人可能會試圖通過出售加密資產來彌補資本利得的減少。換句話說，降低資本利得稅（出售股票、房地產或加密貨幣投資所得的應稅利潤）可以讓加密投資者在短期內獲利。但Roger Brown警告說，這可能會給價格帶來下行壓力，因為投資者會在減稅窗口關閉前爭相拋售資產。（Decrypt）[2020/8/14]

也就是說，只要有比特幣區塊頭，你就能知道“錢是否已經到賬了”。區塊頭又很容易獲得，因此SPV模式似乎很容易就能實現無限吞吐量。

B.SPV模式的問題

問題在于，我們永遠無法確定一個80字節的區塊頭是否真的是“比特幣區塊頭”。

唯一的方法是檢查對應區塊的全部信息。如果存在一筆無效交易或雙花交易”），整個區塊就會被視為無效區塊。

C.好消息

雖然我們無法驗證一個80字節的區塊頭是否是比特幣區塊頭，但是好在我們能對照當前出塊難度，通過計算區塊頭的哈希值來驗證區塊頭的工作量證明。

如此一來，我們就能檢驗礦工是否真的進行了哈希運算；可惜的是，我們還是無法確定這個區塊頭是否有價值。這就好比你托礦工Matthew幫你買一盒巧克力，你很容易就能驗證“Matthew是否真的花了300多刀買了一盒巧克力”，但是你無法確定這些巧克力是否好吃，也無法確定它們是否真的含有巧克力成分。

D.正向/反向證明回顧

你可以吃掉盒子中的每一顆巧克力，證實每一塊巧克力都很好吃，這就是“正向證明”。

或者你可以順著以下思路進行反向證明：這盒巧克力是被包裝好了的，看起來沒有被動過手腳；再加上這盒巧克力有品牌背書，我國又嚴格執行品牌法/商標法；已經有很多人買過這個牌子的巧克力，如果質量有問題，我只要隨手搜一下就能看到相關新聞/差評。

另一個采用反向證明的例子是退款承諾。假設你要買輛車，現在有三款車子，目前你對CarC最感興趣。

若想獲得正向證明，你就要把CarC開上個數千英里，隨行配有一支龐大的機械工程師團隊一路檢查這輛汽車每個零部件，并匯報問題給你。

如果是反向證明的話：假設CarA和CarB都提供一個具有法律效力的聲明“里程數不到40000英里的車子發生故障，即可退款”；但是CarC?沒有這種承諾，那就反向證明了CarC的質量不行。

要實現比特幣上的錯誤性證明，我們需要一樣東西——在區塊合法的情況下出現；在區塊不合法的情況下絕不出現。

在博弈論中，這被稱為“信號博弈””）中的“分離均衡”。其中，錯誤性證明的發送者分為“誠實”和“不誠實”兩類，我們正試圖通過低成本的手段淘選掉不誠實的那一類。

E.我們的需求

我們需要找到一種方法能提醒我們注意?

“區塊錯誤”。理想情況下，這種警示要來的又快又準確要在“20~30分鐘內”做出響應）。

舉個具體的例子，理想情形應該如下：

“Sally”因為某些原因收到了一筆比特幣，對方向她展示這筆交易的信息，Sally也看到這筆交易是合法的。

Sally想要在不運行全節點的情況下知道這筆交易是否經過6個區塊的確認。因此，她先是下載了所有比特幣區塊頭，接著向全節點要了MerkleBranch。她得到了一個?MerkleBranch?，然而不幸的是（她根本不知道)：里面的區塊頭因為某些原因是無效的……

就在此時，“Fred“必須意識到出現問題了——有一個區塊存在一到多個“缺陷”。

必須通過某種激勵措施促使Fred向Sally發起某種警告。

在其他正常情況下，不能讓Fred有動力發起警告。

F.區塊錯誤的類別

區塊可能會出現很多種缺陷（詳見?

validation.ccp,特別是“CheckBlock”）。我將它們分為四類：

“第一類”——不良交易。

“第二類”——區塊數據缺失上，與Sally交易所在位置相鄰的節點數據處于未知或不可見狀態——這可能是人為或無意導致的）。

“第三類”——不良區塊。

“第四類”——不當累加。

第一類錯誤

第一級錯誤非常好對付。Sally可以直接通過驗證交易并reversingtheoutcome(sothat"false"validationreturens"true")來檢驗該交易的有效性，詳見下文。在SPV模式下，甚至能檢驗nLockTime和CSV，因為Sally掌握了MerkleBranch和所有區塊頭。只要觀察到兩筆交易有相同輸入，就能輕松檢查出雙花交易。重復的交易必然無法通過測試，因為它們必然屬于雙花交易。

第二類缺陷

第二類缺陷與SPV用戶的相關性最強——SPV用戶必須假設區塊的剩余部分是完整的，但是無法檢查是否真是如此。更糟糕的是，礦工可以在不核實區塊內容的情況下，創建一個新的區塊，他們也確實會這么做。因此，新創建出的區塊內可能存在無人知曉的內容，上述假設明顯是不合理的。

我將證明，從理論上來說，只要能向Sally提供有效的“區塊頭+MerkleBranch”，就應該存在一個完整的MerkleTree。因此，所有與區塊鏈數據缺失有關的缺陷，本質上就是“MerkleTree相關數據缺失”的問題。可以說，這種缺陷就是未知哈希值原像的問題，又或者說的具體點，可以通過對未知哈希原像進行采樣來解決這個問題。

我提出的解決方案是要求Sally除了區塊頭，還需要下載每一個區塊的最后一條交易?2。

第三類缺陷

ClassIII第三類缺陷

第三類缺陷非常普遍，但我相信這種小毛病可以通過一種特定的簡單方法解決。舉例來說，區塊版本如果出錯，SPV節點可以直接從自己維護的區塊頭中獲得正確的區塊版本。

其他大多數的信息缺失，可以從?coinbase交易中找到；因此除了所有的區塊頭，SVP節點還需要保存每個區塊的coinbase交易。有了這些信息，SPV節點就能知道：coinbase交易是否只出現一次且出現在正確的位置；“見證數據”是否存在及見證的內容；確定所有Withdrawal_DB和大多數Escrow_DB的正確性。

至于drivechain的Escrow_DB，主鏈?3上的SPV節點必須注意區塊中鏈間交易的累加影響；解決的方法放在第四類缺陷介紹。

所以我們要增加一些開銷——引入“SPV+”模式。“SPV+”節點除了要同步比特幣區塊頭，還要同步每個區塊的第一筆和最末尾交易，外加與這兩筆交易相關的MerkleBranch。

舊式：同步區塊鏈中每個區塊的區塊頭；每收到一筆新交易就進行一次匯總。

新式：80byte/區塊+/區塊+兩個MerkleBranch/區塊；每收到一筆新交易就進行一次匯總；與其他幾個節點建立支付通道。

SPV+模式會增加多少存儲開銷？我不確定，但假如coinbase交易約1000bytes，“最末尾交易”約280bytes，每個區塊約裝有5000筆交易，那么同步一個區塊的開銷就會提升為2192bytes/區塊?

4，而不僅僅是80bytes，而且開銷的增速不只是O(1)，會大幅提高到O(log(n))。

按照一年約產出52596個區塊，因此存儲花銷會變為約115MB/年，不只是4MB/年。這看似大幅增加開銷，但從全局的角度來看，SPV+仍然是非常節省的方案。如果Sally想要完整的檢查交易有效性，她只需要對每個區塊多下載這些數據：最近六個月產出的區塊，或是那些記錄她收到比特幣的區塊，以及一些隨機的檢查信息。

第四類缺陷

第四類缺陷非常有意思。本文第7章會介紹如何將第四類缺陷轉換成第一類缺陷，不過簡單講，要解決第四類缺陷，我要求交易哈希值不僅僅作為交易自身的保證，還要說明自己對累加指標造成的影響。舉例來說，交易不僅要保證自己是“277bytes”，還要說明“加上自己之后，宿主區塊大小從500809bytes增加為501086bytes”。這樣一來，所有的“假交易”就能被孤立且識別出來了。也就是說，最末尾交易會提供很重要的信息。

在我深入更多技術細節之前，為了避免有人因為聽不懂而掉隊，我將以故事的形式再次說明“整個邏輯”。

(未完）

注1：“全節點”與“SPV節點”的區別也許并不像人們認為的那么清楚。簡言之，當一個全節點在下載一個新區塊時，相對于再下一個塊，它自身是處于SPV模式中的。另外，再假設51%的算力在秘密運行一個新軟件，該新軟件默認增設區塊延展數據。那么，即便別的節點想成為“全節點”，也不得不變成部分全節點、部分SPV節點的混合模式。如果那些礦工后面又把協議改回去了，去除掉了延展數據要求，那么我們就又成為了100%的全節點。但是，在這個過程中可能你都沒有意識到節點形態轉變了，實際上你也沒辦法知道。所以，只有假設協議本身固定不變的情況下，使用這些數據才有意義，當然，本文也就是這么假設的。不過，實際上，協議可能變更，也確實會變更，礦工永遠可以選擇運行定制化的軟件。

注2：準確點說，是對所有她想用SPV模式來“完全驗證”的區塊都要這么做。

注3：對于自身是側鏈的那些區塊鏈，鏈間交易出錯可以被歸類為第一類錯誤。要得到錯誤警示，側鏈的SPV節點需要找出兩筆交易，一筆在主鏈上提供存款的交易，另一筆是在側鏈上記錄存入金額的交易。因此，側鏈上的Sally必須檢查主鏈和側鏈兩條鏈才能發現錯誤。

注4：單塊的全部存儲成本是：“區塊頭+第一筆交易+第二筆交易+2×(32×log2(n))”，這里的“log2(n)”指的是“根據區塊中交易的數量可得的空間占用上限”。因此，在本例中，單塊的存儲成本是“80+1000+280+2×(32×log2(5000))”，大概是2192bytes。注意，我們不需要coinbase交易的位掩碼，因為我們已經知道其確切結構，但我們可能需要知道最后一筆交易的。

原文鏈接:?http://www.truthcoin.info/blog/fraud-proofs/作者:?PaulSztorc翻譯&校對:?IANLIU&阿劍

Tags：比特幣SPVALLMER如何把泰達幣換成比特幣的錢SPV價格UP WalletINMER幣

BTC