区块链/等级 V · 分层扩展/5.2 其他扩展层/课程 6
BitVM 与跨链桥难题
在不改变规则的前提下验证计算结果
材料Robin Linus于2023年撰写的BitVM白皮书逻辑门模拟器（任何免费的在线工具）一个可显示 Taproot 脚本的区块浏览器具备 Taproot 脚本可视化功能的区块浏览器
好奇
- 比特币如何在不于链上执行代码的情况下，强制执行任意计算的结果？
- 为何基于 Taproot 脚本构建的挑战-响应博弈无需软分叉就能实现近乎图灵完备的验证？
- 当活性依赖于有人值守、以对欺诈性声明发起挑战时，存在怎样的安全权衡？
探索
- 比特币的共识规则刻意排除了任意代码执行。这种设计避免了复杂的智能合约漏洞，但也将脚本限制在签名、多签、时间锁和哈希锁等条件上。2023年10月，Robin Linus推出了BitVM，这一协议能够在链下进行计算，同时使最终结果可在链上验证。它允许各方将比特币锁定在一笔交易中，而这笔资金能否花费取决于在区块链之外进行的外部计算。
- 其核心机制利用比特币现有的操作码来模拟 NAND 逻辑门：OP_BOOLAND 用作与门，OP_NOT 用作非门。由于 NAND 逻辑门具有通用性，因此由它们构成的电路原则上可以实现任何计算功能，且无需更改共识规则。这种方法将计算任务转移到链下处理，同时保持链上的安全性。
- 这些复杂的 NAND 计算序列作为叶子存储在 Taproot 交易的默克尔化抽象语法树（MAST）中。这利用了 Taproot 带来的隐私和效率提升——Taproot 于 2021 年 11 月在区块高度 709,632 激活，使复杂脚本在需要之前保持隐藏。该结构支持多步骤验证博弈所需的大型脚本树。
- 如果证明方就链下计算声称了一个欺诈性结果，验证方可以在链上对其发起挑战。证明方随后必须回应挑战；如果某一步被证明不一致，或证明方未能及时回应，验证方就会拿走被锁定的资金。这种“乐观”验证模型将大部分工作转移到链下，同时通过争议的威慑来保障安全。
- 第一个版本仅在两方之间运作，而 BitVM2（2024年）允许任何人对声明发起挑战，朝着无需许可的验证迈进。其主要目标是信任最小化的跨链桥：只有当另一系统所声称的状态有效时，锁定在链上的比特币才能被释放。
- 主要的限制在于繁重的初始设置、庞大的链下数据需求以及活性假设。必须有人在规定时间内积极值守，对欺诈性声明发起挑战；如果无人这样做，错误的状态就可能被最终确定。去中心化与运营开销之间的这种权衡，界定了当前 BitVM 实现的实际边界。
- 比特币的共识规则会验证签名和 UTXO 的有效性，但无法执行任意的链下状态转换。要把价值转移到二层网络，就需要一座将外部链状态锚定到比特币的跨链桥。传统跨链桥依赖签名者联盟；如果多数签名者串通，用户就会损失资金。这种中心化的信任模型与比特币无需许可的设计相悖，因此需要能够在不改变共识规则的前提下将托管风险降至最低的机制。
- 2023年10月，Robin Linus 推出了 BitVM，展示了如何通过乐观挑战博弈在链上验证任意计算。该协议将复杂逻辑分解为位运算，具体来说是 NAND 门，它对数字电路而言具有通用性。这些运算被编码在 Taproot 交易的 MAST 结构中。比特币不会执行整个程序；只有在出现争议时，它才会验证单个步骤的正确性。
- BitVM 基于一种乐观假设：除非被证明有误，计算默认是正确的。如果某个运营者提交了无效的状态转换，其他参与者可以提交反证对其发起挑战。这将信任模型从受信任的联盟转变为 1-of-n 诚实假设：必须至少存在一个诚实的验证者来识破欺诈。虽然与联盟相比，这降低了串通风险，但它需要有人持续监视，并随时准备为发起挑战付费。
- 这一机制会带来可观的成本。运营者需要先用自有资金垫付提款，之后再收回，这会占用流动性。由于位级证明十分复杂，挑战交易体积很大，会消耗相当多的区块空间。此外，许多实现为了简化状态管理而采用固定的锚定金额，限制了灵活性。这些约束意味着，BitVM 虽然是信任最小化的，却并非无需信任；用户仍然依赖挑战协议的经济激励及其技术正确性。
- BitVM2 等最新进展改进了这些挑战机制，缩小了交易体积并提升了效率。Citrea 等项目利用这一框架构建 Rollup，目标是实现单个诚实方即可阻止欺诈的安全保障。然而，跨链桥问题依然存在：比特币无法原生解读其他链的状态根。跨链桥是一场建立在比特币之上的激励博弈，而不是比特币本身强制执行的东西。用户必须在降低的串通风险与增加的复杂性和资本要求之间进行权衡。
- 检查一笔基于 BitVM 的交易可以看出它的结构。打开区块浏览器，找到一个与 Rollup 跨链桥相关的 Taproot 输出。Taproot 会隐藏未使用的脚本路径，因此只有实际花费的路径会被公开；发生争议时，该路径携带的见证数据远多于一个简单签名。这种交易权重上实实在在的差异，反映了在比特币固定的区块空间上维持乐观安全性所需的计算开销。
部分 IBitVM
部分 IIBitVM与桥接问题
关键事实
- BitVM由Robin Linus于2023年10月推出。
- 它使用 OP_BOOLAND（与运算）和 OP_NOT（非运算）来实现一个 NAND 门。
- NAND门具有通用性，能够实现任何其他逻辑电路的功能。
- 计算序列作为叶节点存储在 Taproot 交易的 MAST 结构中。
- BitVM2（2024年）允许任何人对计算结果发起挑战，而不仅限于交易对手方。
- 该协议依赖活性假设，即挑战者必须监控各项声明以发现欺诈。
- BitVM 由 Robin Linus 于2023年10月提出，可通过乐观挑战博弈验证任意计算。
- 该协议使用编码在 Taproot MAST 结构中的 NAND 门来表示通用逻辑电路。
- 安全性依赖于 1-of-n 诚实假设，而不是受信任的签名者联盟。
- 跨链桥运营者必须锁定或垫付资金，这是一项实实在在的流动性成本。
- 由于位级证明十分复杂，挑战交易体积很大，会占用大量区块空间。
- 信任最小化的跨链桥降低了串通风险，但并未消除对经济激励和协议正确性的依赖。
练习 九、六、三、一
9收集列出9种建立在比特币基础层之上的不同层或协议。注明每种用于扩展功能的主要机制（例如侧链、状态通道、二层网络（L2））。
6归类根据信任假设将这9种方案分为6类：无需许可型、联盟托管型、托管型、乐观验证型、零知识型或混合型。
3提炼将这6组归纳为安全性、去中心化与复杂性之间的3个核心权衡。
1凝结用一句话说明BitVM为比特币的能力集增加了什么，以及它在运营要求上付出了什么代价。
事实核查
日期、数字及数据均依据下方列出的已发表资料进行核实。