Zero-knowledge pada Bitcoin: bukti dan pemindahan terlindung

Ingin tahu

1. Bagaimanakah nilai yang dienkripsi boleh bergerak pada rantaian awam tanpa mengubah peraturan konsensus?
2. Apakah yang didedahkan oleh nullifier tentang nota yang telah dibelanjakan, dan apakah yang disembunyikannya?
3. Mengapakah sesebuah protokol bergantung pada pengindeks dan bukannya nod penuh untuk mengesahkan keadaan terasnya?

Teroka

Bahagian IShielded Bitcoin: pemindahan peribadi tanpa soft fork

1. Clara Shikhelman, Mikhail Komarov, dan Aleksei Moskvin menerbitkan 'Shielded Bitcoin' pada 24 September 2026. Kertas setebal 56 halaman ini mencadangkan reka bentuk yang meminjam seni bina kolam Sapling dan Orchard milik Zcash untuk digunakan pada Bitcoin. Nilai disimpan sebagai nota tersulit, bukannya UTXO biasa. Membelanjakan sesuatu nota akan mendedahkan nullifier untuk mencegah perbelanjaan berganda, tetapi pengecam ini tidak boleh dikaitkan semula dengan nota tertentu itu atau sumber asalnya.
2. Setiap pemindahan terdiri daripada transaksi Bitcoin biasa yang membawa satu output OP_RETURN. Output ini mengandungi sampul (envelope) yang memuatkan bukti pengetahuan sifar Groth16 bersaiz kira-kira 192 bait. Bukti ini menunjukkan bahawa pemindahan itu sah dan seimbang tanpa mendedahkan data asasnya. Sampul standard dengan dua input dan dua output mengambil kira-kira 610 bait, dan output OP_RETURN pula kira-kira 625 vB. Peraturan konsensus Bitcoin mengabaikan data ini sepenuhnya; ia dianggap sebagai muatan (payload) yang tidak boleh dibelanjakan.
3. Oleh sebab nod penuh tidak mengesahkan kandungan OP_RETURN, pengindeks perlu memainkan semula sampul-sampul ini mengikut urutan blok untuk membina semula pokok nota, set nullifier dan akar Merkle. Jika pemindahan yang tidak sah muncul dalam sesebuah blok, pengindeks hanya mengabaikannya dan bukannya menolak blok itu. Ini mengalihkan pengesahan daripada nod penuh kepada perisian pengindeks. Pengindeks yang tidak jujur boleh menyajikan keadaan (state) yang lapuk atau tidak lengkap tetapi tidak boleh mengambil dana, dan sesiapa sahaja boleh menjalankan pengindeks sendiri.
4. Reka bentuk ini menyembunyikan jumlah, penghantar, penerima dan kedudukan dalam graf daripada analisis rantaian. Namun, masa, yuran, struktur pembawa serta bilangan input/output kekal kelihatan on-chain. Penyebaran (relay) transaksi ini bergantung pada had data-carrier lalai Bitcoin Core v30 yang lebih besar, iaitu perubahan dasar dan bukannya naik taraf konsensus. Jika ramai pengendali menetapkan had yang lebih ketat, transaksi sebegini akan lebih sukar disebarkan, walaupun pelombong yang sanggup menerimanya masih boleh memasukkannya.
5. Kertas ini secara jelas meletakkan mekanisme peg-in dan peg-out di luar skop reka bentuk awal ini. Para penulis merancang untuk membina komponen ini di atas Bitcoin PIPEs v2, menggunakan penyulitan saksi (witness encryption) untuk mengunci kunci peribadi di sebalik pernyataan kriptografi. Pendekatan ini membolehkan kebolehprograman melalui tandatangan Schnorr sedia ada dan bukannya opcode baharu. Pada masa ini, projek ini tidak mempunyai pelaksanaan, pengguna atau dana yang beredar; ia kekal sebagai spesifikasi teori.
6. Reka bentuk ini mempunyai had yang diketahui. Groth16 memerlukan persediaan dipercayai (trusted setup) sekali sahaja, yang selamat jika sekurang-kurangnya seorang peserta upacara itu jujur. Kolam baharu bermula dengan set anonimiti sifar, jadi pengguna awal lebih mudah dibezakan. Satu pemindahan dilaporkan bersaiz sekitar 700 vB, beberapa kali ganda pembayaran biasa. Bukti-bukti ini bersandarkan lengkung eliptik yang boleh dipecahkan oleh komputer kuantum yang besar. Dan selagi pengindeks tidak dapat membuktikan keadaan mereka dengan murah, dompet ringan terpaksa mempercayai pengindeks yang mereka tanya, walaupun pengindeks itu tidak boleh mengambil dana mereka.

Bahagian IIBukti pengetahuan sifar pada Bitcoin hari ini

7. Bitcoin Script direka untuk kesederhanaan dan keselamatan, sekali gus mengehadkan keupayaannya untuk melaksanakan kod sebarangan. Bukti pengetahuan sifar standard, seperti SNARK Groth16, memerlukan aritmetik lengkung eliptik berasaskan pairing yang tidak dapat dilakukan oleh set opcode semasa Bitcoin pada kos yang munasabah. Jurang pengiraan ini bermakna rangkaian itu sendiri tidak dapat mengesahkan bukti-bukti ini secara asli tanpa soft fork atau perbelanjaan sumber yang besar bagi setiap transaksi.
8. Protokol gaya BitVM menyelesaikan masalah ini melalui pengesahan optimistik. Daripada menyemak setiap bukti dengan serta-merta, protokol ini menganggapnya betul dan hanya mencetuskan pengesahan yang mahal jika berlaku pertikaian. Jika tiada siapa yang mencabar peralihan keadaan dalam tempoh yang ditetapkan, ia diterima sebagai sah. Keselamatan bersandarkan insentif: pengendali menyerahkan cagaran yang akan hilang jika mereka menipu, dan sesiapa yang memerhati boleh membuat cabaran.
9. Jambatan Clementine milik Citrea mencapai mainnet pada Januari 2026 menggunakan seni bina BitVM2 ini. Laluan pertikaiannya mengesahkan bukti Groth16 dengan pengesah Script bersaiz kira-kira 1 GB (turun daripada anggaran awal sekitar 3 GB), yang dipecahkan kepada bahagian-bahagian yang hanya dijalankan apabila cabaran difailkan. Reka bentuk ini membolehkan peralihan keadaan yang kompleks dijamin oleh Bitcoin di bawah andaian sekurang-kurangnya satu pihak jujur, tanpa memerlukan setiap nod penuh menjalankan semakan kriptografi yang berat bagi transaksi rutin.
10. Projek Glock oleh Alpen menunjukkan pendekatan alternatif menggunakan garbled circuits, dan mencapai testnet signet pada Julai 2026. Glock menggunakan garbled circuits untuk menjadikan pengesahan bukti semasa pertikaian jauh lebih murah on-chain. Ia masih berasaskan pertikaian tetapi dengan jejak on-chain yang jauh lebih kecil, dan kedua-dua pendekatan mengakui bahawa pengesahan kriptografi lanjutan secara asli dalam Script masih terlalu mahal untuk kegunaan umum.
11. Pengesahan di pihak klien (client-side validation) menawarkan satu lagi laluan, di mana bukti disemak oleh pengguna atau pengindeks dan bukannya oleh lapisan asas. Protokol seperti RGB dan Taproot Assets bergantung pada peserta untuk mengesahkan bukti pemilikan secara setempat. Begitu juga, reka bentuk Shielded Bitcoin melibatkan pengindeks yang memainkan semula sampul transaksi untuk membina semula pokok nota; pemindahan yang tidak sah diabaikan oleh konsensus tetapi dapat dikesan oleh perisian pemantauan yang menjalankan logik pengesahan penuh di luar nod.
12. Sistem-sistem ini mempunyai pertukaran (trade-off) tertentu. Groth16 memerlukan persediaan dipercayai (trusted setup), di mana satu upacara mesti memastikan tiada siapa yang menyimpan rahsia toksik yang boleh menjejaskan kesahihan bukti. Transaksi pertikaian dalam sistem optimistik adalah besar dan kompleks, sehingga menimbulkan cabaran penyebaran (relay). Selain itu, lengkung mesra pairing di sebalik Groth16, seperti secp256k1 milik Bitcoin sendiri, terdedah kepada komputer kuantum yang besar, jadi komputer kuantum boleh memalsukan bukti dan memecahkan penyulitan nota berasaskan ECDH, walaupun bukti Groth16 itu sendiri tidak mendedahkan sebarang rahsia.

Fakta utama

Latihan sembilan, enam, tiga, satu

Semakan fakta

Tarikh, angka dan dakwaan telah disemak berbanding dengan sumber yang diterbitkan yang disenaraikan di bawah.

• Shikhelman, Komarov & Moskvin, 'Shielded Bitcoin' ([alloc] init, September 24, 2026)
• D. Hopwood et al., Zcash Protocol Specification (Sapling and Orchard)
• Bitcoin Core v30 release notes
• news.bitcoin.com coverage of Shielded Bitcoin (2026)
• R. Linus et al., 'BitVM2: Bridging Bitcoin to Second Layers' (2024)
• Citrea documentation and mainnet announcement (2026)
• Alpen, 'Glock is here' (July 2026)