近日，Qtum量子鏈發(fā)起2019全球線上隱私主題黑客馬拉松，我們收到了許多關(guān)于大賽的問題——如何將Qtum與現(xiàn)有的隱私技術(shù)結(jié)合？哪些技術(shù)適合移植到Qtum上？在哪些具體的結(jié)合點(diǎn)上可以開發(fā)？本文通過結(jié)合Qtum與Zether的思考，希望帶給你更多隱私方向的啟發(fā)。

眾所周知，區(qū)塊鏈上交易和合約都處于透明狀態(tài)，不適合部分商業(yè)應(yīng)用場(chǎng)景。Zether通過智能合約賦予區(qū)塊鏈隱私交易的功能，幫助了鏈上資產(chǎn)、投票、拍賣等應(yīng)用的隱私化。可是目前Zether面臨Gas過高的問題，那我們?cè)趺赐ㄟ^Qtum降低Gas和增加預(yù)編譯合約呢？

1. 簡(jiǎn)介

區(qū)塊鏈網(wǎng)絡(luò)中，盡管用戶的地址來(lái)自于隨機(jī)生成的私鑰，但地址和實(shí)體之間的對(duì)應(yīng)關(guān)系還是有可能被交易所、商戶泄漏，甚至被區(qū)塊鏈數(shù)據(jù)的抓取和聚類算法所挖掘。這種程度的隱私性限制了商業(yè)場(chǎng)景的應(yīng)用。

隱私幣的熱潮中，出現(xiàn)了包括Monero、ZCash、Grin和Beam在內(nèi)具有隱私特性的公有鏈，而這些也已經(jīng)被大多數(shù)用戶所認(rèn)可。但是它們使用的方法都需要對(duì)區(qū)塊鏈系統(tǒng)進(jìn)行較大的改動(dòng)，想要在現(xiàn)有的區(qū)塊鏈上去實(shí)現(xiàn)有一定的難度。

斯坦福大學(xué)的博士生Benedikt Bunz（Bulletproofs防彈協(xié)議發(fā)明者之一）、斯坦福大學(xué)教授Dan Boneh以及Visa研究部門，提出了一種基于以太坊智能合約的隱私協(xié)議：Zether。

Zether的基本想法是通過智能合約實(shí)現(xiàn)隱私交易——即隱藏交易的金額和賬戶的余額，并最終應(yīng)用于拍賣、投票等場(chǎng)景中。為了滿足智能合約基于Account的特性，它提出了ElGamal encryption、Pending transfer、Rolling over等機(jī)制。為了增加Zether和其他合約的交互性，它又增加了lock/unlock的功能。為了提升Bulletproofs的性能，它使用新的Σ-Bullets進(jìn)行代替。

Zether提出之后，受到了廣泛的關(guān)注。JP Morgan不但將其用于自己Quorum區(qū)塊鏈系統(tǒng)中，而且還嘗試對(duì)其進(jìn)行進(jìn)一步的改進(jìn)。

Zether的最初設(shè)計(jì)文檔位于［1］，作者公布了部分源碼［2］。JP Morgan對(duì)其的改進(jìn)文檔位于［3］，源碼位于［4］。

2. 原理

已有的隱私交易方法，例如Confidential Transactions［5］與其衍生方法MimbleWimble［6］，都是基于UTXO實(shí)現(xiàn)的。Zether的主要想法是將這一類方法應(yīng)用到智能合約中，實(shí)現(xiàn)基于Account的隱私交易。為此，它對(duì)已有的方法進(jìn)行了如下修改。

UTXO到Account

如果在智能合約中實(shí)現(xiàn)UTXO，會(huì)占用大量的存儲(chǔ)空間。所以Zether的一大主要工作是將Confidential Transactions的UTXO模型改造為Account模型。

ElGamal encryption

Confidential Transactions使用了Pedersen commitments隱藏每個(gè)UTXO的金額。如果對(duì)方發(fā)送給你一個(gè)Pedersen commitments取值錯(cuò)誤的UTXO，不會(huì)影響你其他UTXO的使用。

當(dāng)改成Account模型的時(shí)候，需要對(duì)每個(gè)用戶接收的UTXO進(jìn)行金額累加，得到最終余額，存儲(chǔ)于合約中。但如果直接對(duì)Pedersen commitments進(jìn)行累加，其中一個(gè)的錯(cuò)誤會(huì)導(dǎo)致最終余額的錯(cuò)誤，影響所有金額的使用。

因此，Zether采用了ElGamal encryption的方式，用接收方的公鑰來(lái)加密交易金額。這樣，接收方就能驗(yàn)證加密金額的正確性，然后合入到余額中。

解決Front-running問題

交易的過程中，需要對(duì)交易金額和交易后余額進(jìn)行范圍證明。但在Account模型中，如果你發(fā)起交易的同時(shí)，另一用戶給你發(fā)送了一筆交易，并且在你的交易之前打包進(jìn)行了區(qū)塊，這樣余額就發(fā)生了改變，你交易中的范圍證明就不再有效。

因此，Zether提出了Pending transfers和Rolling over的機(jī)制。即用戶收到的交易并不立即合入到余額中，而是周期地合入。每個(gè)周期中，當(dāng)你第一次與自己賬戶交互的時(shí)候，進(jìn)行接收交易合入余額的操作。即，只有賬戶的所有者可以改變賬戶的余額。這樣，F(xiàn)ront-running就不會(huì)發(fā)生。

重放攻擊保護(hù)

假定用戶在某個(gè)特定的余額下發(fā)起了一筆交易。當(dāng)用戶再次出現(xiàn)這個(gè)余額時(shí)，則這筆交易能夠再次生效。這種情況就稱作Relay Attack（重放攻擊）。為了防止Relay Attack，Zether參照了Ethereum的方式，在每個(gè)賬號(hào)上加上了一個(gè)nonce。用戶每發(fā)起一筆交易，nonce的取值就會(huì)增加。用戶的交易都需要對(duì)nonce進(jìn)行簽名，這樣就保證了每筆交易都無(wú)法被relay。

范圍證明

Zether使用了Σ-Bullets替代Bulletproofs。Σ-Bullets是Bulletproofs和Σ-protocols的結(jié)合。它的特點(diǎn)是可以證明更為復(fù)雜的陳述，且證明和驗(yàn)證的過程更加高效。

3. 思考

評(píng)價(jià)Zether

Zether的優(yōu)點(diǎn)如下：

1.基于智能合約實(shí)現(xiàn)，對(duì)區(qū)塊鏈底層邏輯不需要進(jìn)行改動(dòng)

2.基于Confidential Transactions方案修改，不需要zkSNARK那樣需要信任的初始化過程

Zether的缺點(diǎn)如下：

1.Gas消耗太高。如圖，每次Transfer需要7188k的Gas，其中6455k消耗在橢圓曲線相關(guān)計(jì)算上。

2.沒有隱藏地址。相比MimbleWimble，Zether沒有隱藏用戶的地址。需要后續(xù)進(jìn)一步的改進(jìn)。

還有2點(diǎn)問題值得考慮：

1. Zether官方并未對(duì)論文中的實(shí)現(xiàn)進(jìn)行完全開源，所以無(wú)法對(duì)其進(jìn)行充分驗(yàn)證。只能嘗試對(duì)［4］中JP Morgan的改進(jìn)算法進(jìn)行驗(yàn)證。

2. 需要考慮是否可以對(duì)Zether進(jìn)行簡(jiǎn)化，減少橢圓曲線的計(jì)算次數(shù)，從而減輕對(duì)節(jié)點(diǎn)計(jì)算資源的消耗。

Zether & Qtum

Zether舉例了4個(gè)主要的應(yīng)用場(chǎng)景，包括Sealed-bid Auctions（私密競(jìng)標(biāo)的拍賣）、 Payment Channels（支付通道）、Stake Voting（權(quán)益證明投票）、Privacy-preserving Proof-of-Stake（保護(hù)隱私的PoS）。其中，前兩個(gè)是和隱私相關(guān)的商業(yè)應(yīng)用場(chǎng)景，是Qtum當(dāng)前重點(diǎn)關(guān)注的方向之一；后兩者增加了PoS過程的隱私性，可適用于Qtum共識(shí)機(jī)制的改進(jìn)。

Zether目前Gas消耗太高，無(wú)法有效應(yīng)用于Ethereum。以太坊的一些EIP［7］［8］可以降低其Gas，但需要很長(zhǎng)的一段時(shí)間來(lái)實(shí)現(xiàn)這些改進(jìn)。另外，通過增加預(yù)編譯合約來(lái)實(shí)現(xiàn)隱私算法中一些常用的算法，也會(huì)對(duì)Zether的應(yīng)用有很大幫助。這些改進(jìn)都可以基于Qtum來(lái)實(shí)現(xiàn)。

未來(lái)計(jì)劃

首先，需要在Qtum運(yùn)行Zether的智能合約，查看其Gas消耗以及對(duì)節(jié)點(diǎn)計(jì)算資源的真實(shí)消耗。其次，需要深入調(diào)研其他基于智能合約的隱私方案，例如AZTEC［9］等。最后，可以考慮如何基于Qtum即將推出的x86虛擬機(jī)上增加一些隱私解決方案。