区块链/等级 V · 分层扩展/5.2 其他扩展层/课程 4
电子现金：Cashu与Fedimint
盲签名及其所要求的信任
材料Cashu NUT规范（github.com/cashubtc/nuts）Fedimint 文档（fedimint.org）笔记本
好奇
- 服务器在不知道谁会使用该数字令牌的情况下，如何对其进行签名？
- 为什么强有力的支付隐私需要由托管方持有底层比特币？
- 当托管方从单一运营方变为一组已知的守护者时，会有什么变化？
探索
- 1983年，大卫·乔姆（David Chaum）提出了盲签名，使签名者能够在看不到消息内容的情况下对其签名。用户在发送数据之前先对其进行盲化；签名者用自己的密钥对盲化后的版本签名；随后用户再去盲。得到的签名对原始数据有效，但签名者无法将其与自己发行的任何其他代币关联起来。
- 乔姆的DigiCash（1989年）将这一技术用于电子支付。币通过合作银行发行，付款人是匿名的：发行方可以在兑付时验证一枚币，却无法得知是谁提取了它。然而，该系统需要中心化发行，并在得到广泛采用之前于1998年破产。
- Cashu由化名为Calle的开发者于2022年推出，在比特币上复兴了Chaum式电子现金。单个铸币方（mint）持有比特币储备，并向用户发行盲化代币。铸币方为这些代币签名，但无法将存款与赎回关联起来。这实现了即时、私密的链下点对点转账，但用户在托管上完全依赖单一运营方。
- Fedimint开发于2021至2022年，采用联盟式方案。一组“守护者”使用门限签名（例如4选3）共同持有比特币储备。任何单个守护者都无法单独动用资金，也无法独立追踪用户活动。这种模式适合成员之间已经相互信任的社区，它将托管风险分散到已知的各方，而不是集中在一台中心化服务器上。
- 两者都通过网关连接闪电网络，因此电子现金可以支付给普通闪电钱包，也可以从普通闪电钱包接收。其中的权衡始终如一：用户获得隐私和速度，代价是将资金托付给铸币方或联盟。如果托管方作恶或下线，代币持有者在没有其配合的情况下无法单方面赎回代币。
- Cashu规范（即“NUT”，从NUT-00开始）逐步讲解了盲化过程：钱包向铸币方发送一个盲化值，铸币方对其签名，钱包再移除盲化因子。阅读这些规范可以明白，为什么铸币方事后无法将已赎回的代币与其签过名的请求对应起来，以及为什么这种隐私对一个干脆拒绝兑付的铸币方毫无防护作用。
关键事实
- 1983年，大卫·乔姆发表了盲签名，使不可追踪的数字支付成为可能。
- Cashu（2022年）使用单个铸币方持有比特币，并发行用于私密转账的盲化代币。
- Fedimint（2021-2022年）采用由守护者组成的联盟，通过门限签名持有比特币。
- 这两种协议都能通过防止发行方将存款与赎回行为关联起来，从而保障支付隐私。
- Cashu在托管上依赖单一运营方；Fedimint则将这一风险分散到已知的社区成员之间。
- 闪电网络连接（用Fedimint的术语来说即网关）使电子现金能够与普通闪电钱包之间相互收付。
练习 九、六、三、一
9收集列出9种数字现金或代币系统，包括历史上的和现代的。注明其发行方类型（中心化、联盟式、去中心化）以及所采用的隐私机制。
6归类根据处理托管风险的方式，将这9种系统分为6类：单一运营方、已知联盟、匿名验证者、智能合约托管、混合模式或其他。
3提炼将这6类归纳为隐私、速度与信任假设之间的3个核心权衡。
1凝结用一句话说明盲签名承诺了什么，以及是什么使发行方无法违背这一承诺。
事实核查
日期、数字及数据均依据下方列出的已发表资料进行核实。