Блокчейн/Уровень IV · Глубины протокола/4.2 Обновления/Урок 7

Нулевое разглашение в биткоине: доказательства и скрытые переводы

Математика молчания, умещающаяся в одну транзакцию

МатериалыЭкземпляр статьи «Shielded Bitcoin» (сентябрь 2026 г.)Спецификация протокола Zcash для Sapling/OrchardПримечания к релизу Bitcoin Core v30 об ограничениях data carrier (OP_RETURN)Блок-эксплорер с возможностью фильтрации транзакций

Любопытство

Как зашифрованная стоимость может перемещаться по публичному блокчейну без изменения правил консенсуса?
Что нуллификатор раскрывает о потраченной ноте и что он скрывает?
Почему протокол может полагаться на индексатор, а не на полные ноды, для проверки своего основного состояния?

Исследование

Часть IShielded Bitcoin: приватные переводы без софт-форка

Клара Шихельман, Михаил Комаров и Алексей Москвин опубликовали статью «Shielded Bitcoin» 24 сентября 2026 года. В 56-страничной работе предлагается архитектура, которая заимствует устройство пулов Sapling и Orchard из Zcash для использования в Bitcoin. Стоимость хранится в виде зашифрованных нот (notes), а не стандартных UTXO. При трате ноты раскрывается нуллификатор, предотвращающий двойную трату, но этот идентификатор не связан ни с конкретной нотой, ни с её первоначальным источником.
Каждый перевод — это обычная транзакция Bitcoin с одним выходом OP_RETURN. Этот выход содержит конверт с доказательством с нулевым разглашением Groth16 размером около 192 байт. Доказательство подтверждает, что перевод корректен и сбалансирован, не раскрывая исходных данных. Стандартный конверт с двумя входами и двумя выходами занимает около 610 байт, а выход OP_RETURN — около 625 vB. Правила консенсуса Bitcoin полностью игнорируют эти данные: они считаются нерасходуемой полезной нагрузкой.
Поскольку полные ноды не проверяют содержимое OP_RETURN, индексаторы должны воспроизводить эти конверты в порядке блоков, чтобы восстановить дерево нот, множество нуллификаторов и корни Меркла. Если в блоке появляется недействительный перевод, индексаторы просто игнорируют его, а не отклоняют блок. Тем самым проверка переносится с полных нод на ПО индексаторов. Недобросовестный индексатор может отдавать устаревшее или неполное состояние, но не может забрать средства, а запустить собственный индексатор может любой.
Эта архитектура скрывает от анализа блокчейна суммы, отправителей, получателей и положение в графе. Однако время, комиссии, структура носителя и количество входов и выходов остаются видимыми ончейн. Ретрансляция таких транзакций зависит от увеличенного по умолчанию лимита data carrier в Bitcoin Core v30 — это изменение политики ретрансляции, а не обновление консенсуса. Если многие операторы установят более строгие лимиты, такие транзакции будет сложнее ретранслировать, хотя майнеры, готовые их принимать, всё равно смогут включать их в блоки.
Статья прямо выводит механизмы peg-in и peg-out за рамки этой первоначальной архитектуры. Авторы планируют построить эти компоненты на Bitcoin PIPEs v2, используя шифрование по свидетелю (witness encryption), чтобы запирать приватные ключи за криптографическими утверждениями. Такой подход даёт программируемость через существующие подписи Шнорра, а не через новые опкоды. Сейчас у проекта нет ни реализации, ни пользователей, ни средств в обращении; это пока теоретическая спецификация.
У архитектуры есть известные ограничения. Groth16 требует однократной процедуры доверенной настройки (trusted setup), которая безопасна, если хотя бы один участник церемонии был честен. Новый пул начинается с нулевым набором анонимности, поэтому первых пользователей легче отличить друг от друга. Размер перевода оценивается примерно в 700 vB — в несколько раз больше обычного платежа. Доказательства опираются на эллиптические кривые, которые сможет взломать мощный квантовый компьютер. И пока индексаторы не научатся дёшево доказывать своё состояние, лёгкие кошельки вынуждены доверять индексатору, к которому обращаются, хотя тот и не может забрать их средства.

Часть IIДоказательства с нулевым разглашением в Bitcoin сегодня

Bitcoin Script создавался с расчётом на простоту и безопасность, что ограничивает его способность выполнять произвольный код. Стандартное доказательство с нулевым разглашением, например Groth16 SNARK, требует арифметики эллиптических кривых на основе спариваний (pairings), которую текущий набор опкодов Bitcoin не может выполнить с разумными затратами. Из-за этого вычислительного разрыва сама сеть не может нативно проверять такие доказательства без софт-форка или значительных затрат ресурсов на каждую транзакцию.
Протоколы в стиле BitVM решают эту проблему с помощью оптимистичной верификации. Вместо того чтобы сразу проверять каждое доказательство, они предполагают его корректность и запускают дорогую верификацию только при возникновении спора. Если в течение установленного периода никто не оспорил переход состояния, он признаётся действительным. Безопасность держится на стимулах: операторы вносят залог, который теряют при мошенничестве, а любой наблюдатель может открыть оспаривание.
Мост Clementine от Citrea вышел в мейннет в январе 2026 года на этой архитектуре BitVM2. Его путь разрешения споров проверяет доказательство Groth16 с помощью верификатора на Script размером около 1 ГБ (против первоначальных оценок около 3 ГБ), разбитого на фрагменты, которые выполняются только при подаче оспаривания. Такая архитектура позволяет защищать сложные переходы состояния средствами Bitcoin при допущении одной честной стороны, не заставляя каждую полную ноду выполнять тяжёлые криптографические проверки для рутинных транзакций.
Проект Glock от Alpen продемонстрировал альтернативный подход на основе garbled circuits (искажённых схем), выйдя в тестовую сеть signet в июле 2026 года. Glock использует искажённые схемы, чтобы проверка доказательства во время спора обходилась ончейн гораздо дешевле. Этот подход по-прежнему основан на спорах, но оставляет в блокчейне гораздо меньший след, и оба подхода признают, что нативная проверка продвинутой криптографии в Script остаётся непомерно дорогой для массового использования.
Валидация на стороне клиента (client-side validation) — ещё один путь, при котором доказательства проверяют пользователи или индексаторы, а не базовый уровень. Такие протоколы, как RGB и Taproot Assets, полагаются на то, что участники проверяют доказательства владения локально. Аналогично в архитектуре Shielded Bitcoin индексаторы воспроизводят конверты транзакций, чтобы восстановить деревья нот; недействительные переводы консенсус игнорирует, но их может обнаружить ПО мониторинга, которое выполняет полную логику проверки вне ноды.
У этих систем есть конкретные компромиссы. Groth16 требует доверенной настройки (trusted setup): церемония должна гарантировать, что ни у кого не остались «токсичные» секреты, способные обесценить доказательства. Транзакции оспаривания в оптимистичных системах большие и сложные, что создаёт проблемы с их ретрансляцией. Кроме того, кривые с поддержкой спариваний, лежащие в основе Groth16, как и собственная кривая Bitcoin secp256k1, уязвимы для мощного квантового компьютера, поэтому квантовый компьютер мог бы подделывать доказательства и взламывать шифрование нот на основе ECDH, хотя сами доказательства Groth16 никаких секретов не раскрывают.

Ключевые факты

Shielded Bitcoin хранит стоимость в виде зашифрованных нот с нуллификаторами, повторяя архитектуру Sapling/Orchard из Zcash.
Переводы используют выходы OP_RETURN, несущие 192-байтное доказательство Groth16 внутри конверта размером ~610 байт.
Консенсус Bitcoin игнорирует данные OP_RETURN; индексаторы восстанавливают состояние, воспроизводя конверты в порядке блоков.
Время, комиссии и структура носителя остаются видимыми ончейн, несмотря на скрытые суммы и личности участников.
Ретрансляция зависит от политики Bitcoin Core v30 с увеличенными лимитами data carrier, а не от правил консенсуса.
У статьи (24 сентября 2026 года) пока нет ни реализации, ни пользователей, ни средств в обращении.
Bitcoin Script не может проверить Groth16 SNARK с разумными затратами из-за отсутствия операций спаривания.
Протоколы BitVM используют оптимистичную верификацию, проверяя доказательства только в случае споров.
Мост Clementine от Citrea запущен в мейннете в январе 2026 года с верификатором споров в стиле BitVM2 размером около 1 ГБ.
Верификатор Glock от Alpen на основе искажённых схем вышел в тестовую сеть signet в июле 2026 года.
Протоколы валидации на стороне клиента, такие как RGB, проверяют доказательства локально, а не через консенсус.
Реализации Groth16 требуют доверенной настройки (trusted setup) и используют кривые, уязвимые для квантовых атак.

Упражнение девять, шесть, три, один

9СобратьПеречислите 9 компонентов или свойств архитектуры Shielded Bitcoin.

6СгруппироватьСгруппируйте эти 9 пунктов в 6 групп по тому, от чего зависит каждый из них.

3Выделить главноеСведите 6 категорий к 3 фундаментальным компромиссам, на которые идёт эта архитектура по сравнению со стандартными транзакциями Bitcoin.

1КристаллизоватьНапишите 1 предложение о том, что индексатор может и чего не может сделать пользователю Shielded Bitcoin.

Проверка фактов

Даты, цифры и утверждения были проверены по приведенным ниже опубликованным источникам.

Открыть в интерактивной академии →

EN PT ES ZH JA KO DE FR MS