Vitalik 新作：隱身地址不完全指南_BOB

當前以太坊生態系統中最大挑戰之一是隱私。默認情況下，進入公共區塊鏈的任何內容都是公開的，這不僅意味著資產和交易活動，還意味著ENS域名、POAP、NFT和靈魂綁定代幣等。使用一系列以太坊應用就意味著你的很多活動會公開給其他任何人查看和分析。

我們需要改善這種狀況。然而，到目前為止，關于改善隱私的討論主要圍繞一個特定的用例，即：ETH和主流ERC20代幣的隱私保護轉移。這篇文章將描述一種不同類別工具的機制和用例，可以在許多其他情況下改善以太坊的隱私狀態，也就是「隱身地址」概念。

隱身地址系統是什么？

假設Alice想要給Bob轉移資產，可能是一定數量的加密貨幣，也可能是一個NFT。當Bob收到資產時，他不想讓其他人知道該筆資產的接收人是他。隱藏已經轉移發生的事實是不可能的，特別是如果轉移的是一個在鏈上僅存在一個副本的NFT，不過隱藏誰是接收者可能更可行。

Alice和Bob更想要的應該是這樣一個支付流程系統，即，Bob向Alice發送某種能接收付款的「地址」編碼，僅此信息就足以讓Alice向他發送資產，而且這與目前的支付工作流程幾乎完全相同。

需要注意的是，這種隱私性與TornadoCash提供的隱私完全不同。TornadoCash可以隱藏ETH或主要ERC-20等主流可替代資產的轉賬，但在為鮮為人知的ERC20轉賬添加隱私方面非常薄弱，并且根本無法為NFT轉賬添加隱私。

如上提到的使用加密貨幣進行支付的普通工作流程，增加了隱私性，即，沒有人能知道資產接收人是Bob，而且工作流程未發生改變。

FTX關聯地址11小時前將1580枚WBTC存入Bitfinex:金色財經報道，據Spot On Chain監測顯示，地址0x0f1于11小時前存入1,580枚WBTC至Bitfinex。

值得一提的是，該地址與濫用客戶資金的FTX地址（0xd27開頭）存在關聯。在過去28天里，該地址可能在WBTC上損失了160萬美元（價格下跌1.7%），但仍持有285枚WBTC（837萬美元）。[2023/8/13 16:23:00]

隱身地址是可以由Alice或Bob生成的地址，但只能由Bob控制。Bob生成一個支出密鑰并對此進行保密，然后使用該密鑰生成一個隱藏元地址。他將這個元地址傳遞給Alice。Alice可以對該元地址執行計算以生成屬于Bob的隱身地址。然后Alice可以將她想發送的任何資產發送到這個地址，Bob將完全控制這些資產。轉移過程中，Alice在鏈上發布了一些額外的加密數據，來幫助Bob發現這個地址屬于他。

另一種看待它的方式是：隱身地址提供與Bob相同的隱私屬性，為每筆交易生成一個新地址，但不需要Bob的任何交互。

隱身地址方案的完整工作流程如下所示：

Bob生成他的根支出密鑰和隱身元地址。Bob添加了一條ENS記錄來注冊為bob.eth的隱身元地址bob.eth。我們假設Alice知道Bob的地址為bob.eth。Alice在ENS上查找Bob的隱身元地址。Alice生成一個只有她知道的臨時密鑰，并且她僅能使用一次。Alice使用一種算法，將她的臨時密鑰和Bob的元地址結合起來生成一個隱身地址。她現在可以將資產發送到這個地址。Alice還生成她的臨時公鑰，并將其發布到臨時公鑰注冊表。為了讓Bob發現屬于他的隱身地址，Bob需要掃描臨時公鑰注冊表，以查找自其上次掃描以來任何人發布的整個臨時公鑰列表。對于每個臨時公鑰，Bob嘗試將其與他的根支出密鑰結合起來生成一個隱身地址，并檢查該地址中是否有任何資產。如果有，Bob計算該地址的支出密鑰并記住它。這一切都依賴于密碼欺騙的兩種用途。首先，我們需要一對算法來生成共享密鑰：一個算法使用Alice臨時密鑰和Bob的元地址，另一個算法使用Bob的根支出密鑰和Alice的臨時公鑰。這可以通過多種方式完成；Diffie-Hellman密鑰交換是建立現代密碼學領域的成果之一，它恰好實現了這一點。

億萬富翁Paul Tudor Jones：總是在投資組合中保留少量的比特幣:金色財經報道，億萬富翁、傳奇基金經理Paul Tudor Jones表示，總是要在投資組合中保留少量的比特幣。[2023/5/15 15:04:25]

但是僅共享秘密遠遠不夠：如果我們只是從共享秘密生成一個私鑰，那么Alice和Bob都可以從這個地址消費。我們還添加了一個密鑰盲化機制：在一對算法中，其中Bob可以將共享密鑰與他的根花費密鑰結合起來，而Alice可以將共享密鑰與Bob的元地址結合起來，這樣Alice就可以生成隱身地址，并且Bob可以為該隱身地址生成支出密鑰，所有這些都無需在隱身地址和Bob的元地址之間創建公共鏈接。

使用橢圓曲線密碼學隱藏地址

使用橢圓曲線密碼學隱藏地址最初是由PeterTodd于2014年在比特幣背景下引入的。該技術的工作原理如下：

Bob生成一個密鑰，并計算M=G*m，其中G是橢圓曲線的公認生成點。隱身元地址是。Alice生成一個臨時密鑰，并發布臨時公鑰R=G*r。Alice可以計算出一個共享密鑰S=M*r，Bob也可以計算出相同的共享密鑰S=m*R。一般來說，在比特幣和以太坊中，地址是包含用于驗證來自該地址的交易的公鑰的哈希。因此，如果你計算公鑰，就可以計算地址。為了計算公鑰，Alice或Bob可以計算P=M+G*hash(S)要計算該地址的私鑰，Bob可以計算p=m+hash(S)這滿足了我們上面的所有要求，而且非常簡單。

甚至有一個EIP試圖為以太坊定義一個隱身地址標準，它既支持這種方法，又為用戶提供了開發其他方法的空間。現在你可能會想：隱身地址并不是很難，理論知識已經扎實，采用僅是一個實施細節。然而，問題在于，真正有效的實現還需要通過一些重要的實施細節。

馬耳他金融服務管理局：FTX在馬耳他有兩家公司，SBF為唯一董事:11月16日消息，馬耳他金融服務管理局披露FTX于2022年4月在當地注冊了兩家公司，分別是：FTX Malta Gaming Services Limited和FTX Malta Holdings Limited，SBF是這兩家公司的唯一董事。

不過這兩家公司均未獲準在馬耳他境內外開展與虛擬金融資產或加密貨幣相關的任何活動。該機構補充稱，他們將繼續監測國際形勢以密切關注FTX破產可能對當地加密牌照持有方產生的潛在影響。[2022/11/16 13:12:24]

隱身地址和支付交易費用

假設有人給你發了一個NFT。如果你想要確保隱私，他們會將其發送到您控制的隱身地址。掃描鏈上的臨時公鑰后，你的錢包會自動發現該地址。你現在可以自由證明NFT的所有權或將其轉讓給其他人。但有一個問題是，該帳戶中的ETH余額為0，因此也無法支付交易費用。即使是ERC-4337代幣付款人也不會奏效，因為它們只適用于可替代的ERC20代幣。而且你不能從你的主錢包向它發送ETH，因為那樣你就創建了一個公開可見的鏈接，也就是說沒了隱私性。

有一種簡單的方法可以解決這個問題：只需使用ZK-SNARKs轉移資金來支付費用。但這樣會消耗大量的Gas，僅單次轉賬就會額外消耗數幾十萬Gas。

另一種比較聰明的方法涉及信任專門的交易聚合器。這些聚合器將允許用戶支付一次以購買一組可用于支付鏈上交易的“tickets”。當用戶需要在一個不包含任何其他內容的隱身地址中花費NFT時，他們會向聚合器提供其中一張ticket，使用Chaumian盲法進行編碼。這是在1980年代和1990年代提出的集中式隱私保護電子現金方案中使用的原始協議。搜索者接受ticket，并重復將交易免費包含在他們的捆綁包中，直到交易在一個區塊中被成功接受。

美聯儲埃文斯：對9月份加息50個或75個基點均持開放態度:9月9日消息，美聯儲埃文斯表示，對9月份加息50個基點或75個基點均持開放態度。即將發布的8月CPI數據可能為美聯儲在加息幅度的考量上提供線索。[2022/9/9 13:18:27]

隱身地址和分離支出和查看密鑰

假設Bob不是只有一個可以做所有事情的主「根支出密鑰」，而是想要一個單獨的根支出密鑰和查看密鑰。該查看密鑰可以看到Bob的所有隱身地址，但不能進行支出。

在橢圓曲線世界中，這可以使用一個非常簡單的密碼技巧來解決：

Bob的元地址現在的形式為(K,V)，編碼G*k和G*v，其中k是支出密鑰，v是查看密鑰。共享密鑰現在為S=V*r=v*R，其中r仍然是Alice的臨時密鑰，R仍然是Alice發布的臨時公鑰。隱身地址的公鑰是P=K+G*hash(S)，私鑰是p=k+hash(S)。第一個步驟使用查看密鑰，第二個步驟使用根支出密鑰。

這有很多用例。例如，如果Bob想要接收POAP，那么Bob可以給他的POAP錢包查看密鑰來掃描鏈并查看他的所有POAP，而不需要給這個界面花費那些POAP的權力。

隱身地址和易掃描

為了更容易地掃描整個臨時公鑰集，一種技術是向每個臨時公鑰添加一個視圖標簽。在上述機制中執行此操作的一種方法是使視圖標簽成為共享密鑰的一個字節（例如，S?modulo256的x坐標，或hash(S)的第一個字節。

這樣，Bob只需要為每個臨時公鑰執行一次橢圓曲線乘法來計算共享密鑰，由于有了視圖標簽，也更容易進行掃描。

隱身地址和抗量子安全

1inch基金會將再分配1000萬枚1INCH代幣延長Gas補償計劃:5月27日消息，1inch基金會宣布向通過1inch dApp質押1INCH的以太坊用戶延長Gas補償計劃，決定再分配1000萬枚1INCH代幣來繼續該計劃。

具體補償要求為，質押100枚1INCH的用戶可獲得25%的Gas返還；質押1000個1INCH的用戶可獲得50%的Gas返還；質押1萬枚1INCH的用戶可獲得75%的Gas返還；質押10萬枚1INCH的用戶可獲得100%的Gas返還。每個人每月最多可退還1萬美元的1INCH代幣。[2022/5/27 3:46:09]

上面的方案依賴于橢圓曲線，不過盡管這種方案效果很好，但不幸的是，容易受到量子計算機的攻擊。我們將需要切換到抗量子算法。有兩個自然的候選者：橢圓曲線同源和格。

橢圓曲線同源是一種非常不同的基于橢圓曲線的數學構造，具有線性特性，可以讓我們使用與上面所做的類似的密碼技巧，但巧妙地避免了構造可能容易受到量子計算機離散對數攻擊的循環群。

基于同源密碼學的主要弱點是其高度復雜的底層數學，以及在這種復雜性下隱藏可能的攻擊的風險。一些基于同源的協議去年被攻擊，但其他協議仍然安全。同源的主要優勢是相對較小的密鑰大小，以及直接移植多種基于橢圓曲線的方法的能力。

A3-isogenyinCSIDH

格是一種非常不同的密碼結構，依賴于比橢圓曲線同構簡單的數學，并且能夠做一些非常強大的事情。隱身地址方案可以建立在格上，盡管設計最好的方案是一個懸而未決的問題。然而，基于格的結構往往具有更大的密鑰大小。

全同態加密，格的應用。FHE還可以用于以不同的方式幫助隱身地址協議：幫助Bob外包檢查整個鏈中是否包含資產的隱身地址的計算，而無需透露他的視圖密鑰。

第三種方法是從通用黑盒原語構建隱身地址的方案。該方案的共享密鑰生成部分直接映射到密鑰交換，這是公鑰加密系統中的重要組成部分。更難的部分是讓Alice只生成隱身地址并讓Bob生成支出密鑰的并行算法。

不幸的是，你無法使用比構建公鑰加密系統所需的更簡單的成分來構建隱身地址。有一個簡單的證明是，可以用一個隱身地址方案構建一個公鑰加密系統。如果Alice想給Bob加密一條消息，她可以發送N筆交易，每筆交易要么發往Bob的一個隱身地址，要么發往一個屬于她自己的隱身地址，Bob可以看到他收到了哪些交易來讀取消息。這很重要，在數學證明中你不能只用哈希來做公鑰加密，而你可以只用哈希來做零知識證明，因此，隱身地址不能只用哈希來完成。

這確實是一種使用相對簡單成分的方法：零知識證明，可以由哈希和公鑰加密組成。Bob的元地址是一個公開的加密密鑰加上一個哈希h=hash(x)，他的支出密鑰是對應的解密密鑰加上x。要創建一個隱身地址，Alice生成一個值c，并將Bob可讀的c加密作為她的臨時公鑰發布。該地址本身是一個ERC-4337帳戶，其代碼通過要求交易提供零知識證明來驗證交易，證明值x和c的所有權，使得k=hash(hash(x),c)。知道x和c，Bob就可以自己重建地址及代碼。

(c)的加密不會告訴除Bob之外的其他任何人任何信息，并且(k)是一個哈希，它幾乎不會透露有關c?的任何事情。錢包代碼本身只包含(k)，(c)私有意味著(k)無法追溯到(h)。

然而，這需要一個STARK。最終，我認為后量子以太坊世界很可能會涉及使用許多STARK的應用，因此我提倡像此處描述的聚合協議將所有這些STARK組合成一個遞歸STARK以節省空間。

隱身地址和社交恢復以及多L2錢包

很長一段時間以來，我一直很感興趣社交恢復錢包，社交恢復錢包具有多重簽名機制，其密鑰能在機構、你的其他設備和朋友的某種組合之間共享。如若你丟失主要密鑰，絕大多數密鑰允許恢復賬戶訪問。

然而，社交恢復錢包不能很好地與隱身地址結合：如果你必須恢復你的賬戶，你還必須執行一些步驟來改變你的N個隱身錢包的賬戶驗證邏輯，這將需要N筆交易，以高昂的費用、便利性和隱私成本為代價。

社交恢復和多個L2協議的相互作用也存在類似的擔憂：如果你在Optimism、Arbitrum、StarkNet、Scroll、Polygon上有賬戶，出于擴展原因有十幾個并行實例，并且您在每個實例上都有一個帳戶，那么更改密鑰可能是一個非常復雜的操作。

更改多條鏈中多個帳戶的密鑰是一項巨大的工作。

也許你可以使用一些自動化軟件在兩周的時間跨度內以隨機間隔將資產轉移到新的隱身地址，以降低基于時間的關聯的有效性。但這遠非完美。另一種方法是在監護人之間秘密共享根密鑰，而不是使用智能合約恢復。但是，這會消除停用監護人幫助恢復您帳戶的權力的能力，因此存在長期風險。

一種更復雜的方法涉及零知識證明。這允許許多帳戶，甚至跨越許多L2協議，在某處由單個k值控制，其中更改該值足以更改所有帳戶的所有權，所有這些都不會泄你的多個帳戶之間的聯系。

結論

當前基本的隱身地址可以快速實施，并且可以顯著提高以太坊上用戶的隱私。我認為出于其他與隱私相關的原因，錢包應該開始轉向更原生的多地址模型。

然而，隱身地址確實會帶來一些長期的可用性問題，例如社交恢復的困難。從長遠來看，這些問題是可以解決的，不過隱身地址生態系統看起來確實嚴重依賴于零知識證明。

Tags：BOBICELICALIBoba Networkice幣總量alice幣還有長期價值嗎Decentralink

BTC