区块链/等级 IV · 深入协议/4.3 托管与隐私/课程 7
静默支付与未来的隐私升级
在链上永不重复的静态密钥
材料支持静默支付（BIP352）的钱包Bitcoin Core 版本27或更高版本具有交易解码功能的区块浏览器支持静默支付的全节点钱包或 SPV 钱包（例如 Sparrow 或 Cake）
好奇
- 一个公开地址如何能够接收无限笔付款，而不暴露这些付款属于同一实体？
- 为什么接收方加入一个输入，就会打破链上分析人员所依赖的共同所有权假设？
- 哪种加密技巧能让双方从一组固定的密钥中生成一个唯一且无法关联的输出密钥？
探索
- 比特币地址可以重复使用，这会在链上形成关联。如果商家为所有客户公布同一个地址，那么支付到该地址的每一笔款项在账本中都会明显关联在一起。这种可关联性破坏了隐私，因为任何人都可以长期追踪资金流向。静默支付（BIP352）通过椭圆曲线迪菲-赫尔曼（ECDH）解决了这一问题。接收方持有一对静态的扫描密钥和花费密钥。每个发送方将自己的输入密钥与接收方的扫描密钥结合，推导出唯一的调整值（tweak），从而生成一个一次性的 Taproot 地址，与链上任何其他输出都无法区分。
- 由于每笔交易推导出的地址都不同，支付给同一商家的任意两笔款项在区块链数据中都不会显得相互关联。接收方使用自己的私钥扫描区块链，即可识别这些唯一的输出，而无需事先与发送方交互。这样就不再需要第三方服务器或实时通信来生成新地址。这一过程对扫描方的计算负担较重，但能为双方提供强大的不可关联性，确保商家的收入流无法被被动观察者轻易汇总。
- Payjoin（BIP78）从另一个角度——交易结构——着手解决隐私问题。链上分析人员依靠共同输入所有权启发式，将属于同一实体的输入归为一组。在标准交易中，所有输入都由发送方控制。Payjoin 允许接收方在交易签名之前为其提供一个输入。这样，接收方的币与发送方的币就混合在同一笔交易中，打破了所有输入都属于同一方的假设。交易结果看起来像一笔普通付款，因此认定所有输入都属于发送方的分析人员会得出错误结论。
- 版本2（BIP77）让接收方不再需要运行公共服务器：双方通过一个目录服务器异步交换加密的 PSBT，而访问该目录服务器要经过 Oblivious HTTP 中继，因此目录服务器既无法读取消息，也无法将其与 IP 地址关联。它虽然不能隐藏交易正在发生这一事实，但会大大增加地址聚类的难度，因为来自两个不同所有者的输入位于同一笔看似只有一个所有者的交易中。
- 网络层隐私需要隐藏流量模式。加密点对点传输（BIP324）于2024年在 Bitcoin Core 版本27中成为默认选项。它向被动观察者隐藏消息内容，即节点转发了哪些交易和地址；但哪些 IP 地址与哪些 IP 地址相连仍然可见，而且这种加密不带身份认证，因此无法阻止主动的中间人攻击。BIP324 使用椭圆曲线密钥交换，并将密钥编码成看似随机的字节，随后采用 ChaCha20-Poly1305 加密，使得通过监听线路将特定交易与特定节点关联起来变得困难得多。
- 跨输入签名聚合（CISA）的研究仍在进行中，它将让一笔交易的所有输入共享一个签名。像 coinjoin 这样拥有大量输入的协作交易，成本将低于分别花费同样的币，从而让隐私变成手续费上的节省。与在托管机制部分介绍过的 CoinJoin 不同，这些升级侧重于密码学结构和网络传输，而非社会协调或由服务器居中的混币。
- BIP-352 于2024年5月合并进 BIP 仓库，引入了静默支付。接收方公布一个由两个公钥组成的静态码：扫描密钥和花费密钥。与普通地址不同，这个码在钱包的整个生命周期内保持不变。发送方的钱包使用自己的输入私钥，为每笔付款推导出一个全新且唯一的 Taproot 地址，确保不同发送方或不同交易之间都不会出现地址复用。
- 该机制依赖于椭圆曲线迪菲-赫尔曼密钥交换（ECDH）。当 Alice 向 Bob 的静默支付码付款时，她的钱包会将自己的输入私钥与 Bob 的扫描公钥相结合，生成一个共享秘密，作为调整值（tweak）。将这个调整值加到 Bob 的花费公钥上，就得到目标输出 P。由于推导过程取决于她各输入的密钥和输出点（即“输入哈希”），再加上每个输出的计数器，因此每笔付款都会产生一个不同的地址，与任何其他 Taproot 输出都无法区分。
- 其代价是计算上的不对称。发送方只需执行标准的签名操作，而接收方则必须主动扫描区块链才能发现入账款项。Bob 无法简单地查看某个特定地址是否有资金；对于每一笔包含合格输入的交易，他都要将自己的扫描私钥与该交易输入公钥之和相结合，并检查是否有输出匹配。这一扫描过程计算量很大，对轻量级 SPV 客户端而言历来是个难题。
- 这些交易与传统的比特币转账方式可以无缝融合。无需额外的数据字段，也不会增加交易大小，更不需要第三方服务器来协调操作。外部观察者只能看到标准的 Taproot 输入和输出信息。发送方的输入密钥与接收方的静态代码之间的关联是通过加密手段隐藏的，因此观察者无法将这笔付款与接收方公开的代码联系起来。
- 自该规范发布以来，钱包对它的支持稳步推进。Cake Wallet 于2024年实现了支持。Sparrow Wallet 于2025年10月加入发送功能，2026年5月加入接收功能。Nunchuk 于2026年加入了发送功能。Bitcoin Core 于2026年合并了 BIP-352 的核心逻辑（PR #35301），而钱包的发送和接收功能仍在审查中，尚未进入正式版本。
- 静默支付无需发送方与接收方交互，也无需 CoinJoin 协议所使用的那类协调服务器，就能解决地址复用问题。接收方在所有场景（工资、发票、捐款）中都使用同一个静态标识，而每一个入账的 UTXO 都会落在一个唯一且无法关联的地址上。只要接收方的扫描过程稳健且安全，这就能防止图谱分析将多笔付款关联到同一实体，从而增强可替代性。
部分 I即将到来的隐私升级
部分 II静默支付
关键事实
- 静默支付（BIP352）利用 ECDH 技术，从静态密钥对中生成唯一的 Taproot 地址。
- Payjoin（BIP78/BIP77）通过让接收方提供一个输入，打破了共同输入所有权启发式。
- 加密点对点传输（BIP324）于2024年在 Bitcoin Core 版本27中成为默认选项。
- 静默支付地址（sp1…）有其独特格式，但它们产生的输出看起来与普通的 Taproot 输出无异。
- Payjoin v2（BIP77）通过目录服务器交换加密的 PSBT，因此接收方无需运行公共服务器。
- 跨输入签名聚合仍处于研究阶段，它将让整笔交易只需一个签名，并降低 coinjoin 的成本。
- BIP-352于2024年5月被合并；其规范版本1.1.0则于2026年3月发布。
- 静默支付通过 ECDH 算法，利用发送方的输入密钥与接收方的静态扫描密钥，为每笔交易生成唯一的 Taproot 地址。
- 接收方必须对每一笔符合条件的交易进行 ECDH 计算（扫描密钥乘以所有输入公钥之和），并检查其 Taproot 输出。
- Cake Wallet（2024年）、Sparrow Wallet（2025年10月支持发送，2026年5月支持接收）和 Nunchuk（2026年支持发送）均支持静默支付；Bitcoin Core 于2026年合并了核心逻辑。
- 静默支付交易在大小、成本和结构上都与标准 Taproot 交易无法区分。
- 该协议无需发送方与接收方之间的交互，也不依赖第三方协调服务器。
练习 九、六、三、一
9收集列出9种隐私机制或协议，包括主动型（由用户发起）和被动型（协议层面）两类。同时注明它们是在应用层、网络层还是共识层发挥作用。
6归类按主要威胁模型将这9项分为6类：它们分别阻止了哪种具体的观察？（例如地址聚类、流量分析、输入所有权关联）。
3提炼将这6组归纳为这些机制所应对的3种根本性隐私损失类型。
1凝结用一句话说明为什么静态地址会成为监控的途径，以及密码学派生如何消除这一风险。
事实核查
日期、数字及数据均依据下方列出的已发表资料进行核实。