一笔 Shielded Zcash 交易实际上是如何运作的

来自 Annkkitaaa 的原创研究

数学之前的直觉：一篇不含公式的私密支付讲解

系列： Zcash from First Principles . 文章 0 . 锚点 读者对象： 完全的新手。不默认你有密码学、区块链或数学背景。 你将获得： 一个正确的心智模型，理解 Zcash 如何隐藏谁向谁付款，以及金额是多少，同时仍然让全世界验证没有凭空造币或双重支付。

本系列后续的每一篇文章，都会放大你即将认识的这台机器中的某一个部件。所以如果这里某个词看起来有些模糊，那很好。这意味着我们之后会回来，把它真正讲清楚。

---

1. 为什么你应该关心这个？

想象一下，你的银行流水被钉在镇中心广场的一面墙上。永远如此。任何人（你的房东、雇主、陌生人、未来雇主、政府）都能看到每一笔房租、每一张医疗账单、每一次捐款、每一杯咖啡，并准确追踪你把钱转给了谁、谁又把钱转给了你。

这不是反乌托邦式的假设。这大致就是 Bitcoin 的运作方式。

Bitcoin 常被称作“匿名”，但事实并非如此。它只是化名制：账本上没有你的真实姓名，但每一笔交易、每个金额以及地址之间的每条关联，都是公开且永久可见的。整个“链上分析”领域的存在，就是为了揭开这层薄薄的化名外衣，把地址与真实的人对应起来。一旦你的某个地址与你本人建立联系，你的财务历史就会被顺藤摸瓜地全部展开。

Zcash 的诞生，是为了回答一个看似简单、实则极难的问题：

我们能否拥有一种完全私密的货币，隐藏发送者、接收者和金额，同时仍然让任何人都能验证规则被遵守了？

这两个目标彼此冲突。公开账本之所以可验证，正是因为每个人都看得见。隐私则意味着没人能看见。那么，公众怎么去验证一个自己根本不被允许查看的东西？

解决这个悖论，就是本系列的全部主题。现在开始吧。

---

2. Zcash 内部其实有两个世界

在进入正题之前，先澄清一个常见误解：Zcash 不是“那种私密币”。它是一种把隐私作为可选项提供的币。 它最初其实是 Bitcoin 的一个分叉，并在同一条区块链上同时承载两套并行系统。

资金甚至可以跨越这两个世界的边界：把资金移入 Shielded 世界叫做 shielding，把它移回透明世界叫做 deshielding。

透明世界就是“你大概已经理解的 Bitcoin”。而本系列真正关心的，只有那个包含所有精妙密码学设计的 Shielded 世界。

---

3. 直觉图景：公共公告板上的密封信封

接下来这幅心智图景，是你读完整篇文章都要带着的。我们会反复回到它。

想象有一块巨大的公共公告板，地球上的每个人随时都能看见它。

• 收款，意味着有人把一个密封、不透明的信封钉到这块公告板上。信封里面装着它包含多少金额，以及只有收款人才能读取的秘密，因为这个信封是用收款人的个人密钥锁住的。全世界都能看到有一个信封出现了，但除了拥有者，没有人能看到里面是什么。

• 这块公告板只会不断增长。 信封永远不会被撕下或擦除。新的信封会一层层钉上去，永久保留。

• 花钱，意味着你走到一块帘幕后面，证明*“我拥有这块板上某个尚未花费的信封，而且我有权打开它”*，然后把一个唯一的作废令牌扔进一个公开的“已花费”箱子里，再为你要付款的人钉上新的信封。

这个小小的仪式（投下作废令牌，钉上新信封，而且一切都在帘幕后完成）就是一笔 Zcash 支付。其他一切都只是细节。

现在，我们给这些道具起上它们真正的名字。

---

4. 五个名词

这五个术语，就是 Shielded Zcash 的全部核心词汇。把它们当成一个故事来记，而不是术语表，它们就会牢牢留在脑子里。

如果你读完这篇文章只记住一张表，那就记住这张。后面所有内容，本质上都只是在解释：为什么每个部件都必须长成现在这个样子。

---

5. 为什么每个部件都必须这样设计

这是大多数解释文章都会跳过的部分，但恰恰是它区分了“我背过几个词”和“我理解了这个设计”。这五个部件中的每一个，都是为了解决一个特定问题而存在的。

Note commitment：隐藏内容，但又不能伪造

普通信封可以被蒸汽拆开，而密码学的 note commitment 不可以。你可以把它理解成一个魔法般密封、完全不透明的信封，并且带有两种超能力：

• 隐藏性：看着这个密封信封，你什么也无法知道，既看不出里面的金额，也看不出拥有者是谁。
• 绑定性：一旦封上，里面的内容就不能被替换。你之后不能再声称这个信封里装的是另一个金额。

一个封印怎么能同时做到这两点？这是个真实且可以回答的问题。它正是**第 3 篇文章（commitments）**的主题。现在先把这个信封当作魔法道具，继续往下看。

Nullifier：真正巧妙的部分

当你花费一个 note 时，你会公开它的 nullifier，也就是“作废令牌”。这个令牌是由note 本身 以及 你的私钥 共同计算出来的。这个配方同时带来了三个性质，而且每一个都很关键：

1. 只有拥有者能创建它。 你需要私钥才能计算它，因此别人不能替你花掉你的 note。
2. 对于某个给定的 note，它永远都会生成同一个令牌。 如果你试图把同一个 note 花两次，两次都会生成完全相同的作废令牌，而公开的“已花费”箱子里已经有它了。双花，直接拒绝。
3. 没有人能把它追溯回它原来的信封。 这个作废令牌看起来和它来源的信封完全无关。

第三个性质是 Zcash 隐私性的核心，它值得在后面专门展开讲。

Zero-knowledge proof：帘幕本身

所有事情都发生在帘幕后面，而你事后交给世界看的，是一个 zero-knowledge proof，一种无法伪造的证明证书。它会同时默默证明以下所有事情都成立：

• 我正在花费的这个信封，确实被钉在公告板上（它是一个真实存在的 note），
• 我确实有权打开它（我持有正确的密钥），
• 我的作废令牌是正确计算出来的（没有绕过双花检查），
• 我新建的那些信封，装的钱总量和旧信封完全一样：没有凭空造钱。

神奇之处在于，这个证明一个事实都不会泄露。不会泄露金额，不会泄露地址，也不会泄露到底是哪个信封。它只会让你确信：上面每一句都是真的。这件事到底为什么可能，是**第 5 篇文章（zero-knowledge proofs）**的高潮部分。

---

6. 一个 note 的一生

一个 note 会诞生，会在公告板上存在，最终会死亡；而关键在于，对任何旁观者来说，它的出生和死亡看起来彼此毫无关联。

---

7. 一笔支付，从头到尾

现在我们来看 Alice 向 Bob 付款，并给每一个公开步骤和私密步骤都打上标签。

请注意这种让隐私成立的不对称性：

• Alice 的旧 note 通过“已花费”箱子中的一个 nullifier 死去。
• Bob 的新 note 通过公告板上的一个全新 commitment 诞生。
• 对所有旁观者而言，这两个事件之间没有可见联系。 资金轨迹到这里就断掉了。

Bob 到底怎么知道自己收到了款？ 他的 note 是用他的密钥加密的。他会持续扫描公告板，只有属于他的那些信封会对他自动打开，就像只有他手里那把钥匙能打开特定的一组锁。其背后的机制叫做 viewing keys，这是后面的话题。

---

8. 世界能看到什么，什么又会被隐藏

这就是第 1 节中那个悖论的解决方式。公众验证的是规则，而不是内容。验证与隐私不再互相冲突，因为 zero-knowledge proof 让你无需接触后者，就能检查前者。

---

9. 核心中的核心：为什么信封和作废令牌无法被关联起来

如果你理解了这一个想法，你就理解了 Zcash 为什么是私密的。请慢慢读。

• 当一个 note 诞生时，一个**信封（commitment）**会被钉到公告板上。
• 当同一个 note 被花费时，也许是几个月后，一个**作废令牌（nullifier）**会被扔进箱子里。
• 它们来自不同的秘密配方，而且不存在任何公开可用的数学关系能把一个变成另一个。

所以，外部观察者看到的是：不断有信封出现，也不断有作废令牌出现，但无法把它们一一对应起来。他们无法说“今天扔下的这个作废令牌，对应的是去年三月钉上的那个信封”。这个联系只存在于 note 拥有者的秘密知识里，而 zero-knowledge proof 会确认这个联系是有效的，却不会把它揭示出来。

这条被切断的联系，正是链上分析公司在 Bitcoin 中赖以生存的东西，也是 Zcash 有意斩断的东西。

测试一下你的直觉： 如果 nullifier 不是由 note 和私钥共同计算，而是只由 note 本身计算出来，那么第 5 节里的三个性质会坏掉哪一个，为什么这会悄悄摧毁隐私？（答案在文末。）

---

10. 一个诚实的说明

这是一种心智模型，不是规范文档。为了让新手更容易理解，我们悄悄简化了几个现实中的细节：Zcash 曾经历过多代 Shielded 设计（Sprout，然后 Sapling，现在是 Orchard）；真实交易可以一次性花费和创建多个 note；“公告板”在技术上其实是一种特定的树，而不是真正的钉板；价值平衡的强制约束还依赖一些额外的密码学记账机制。但这些细节都不会改变你刚刚学到的故事；它们只是让它更精确。我们会在后续文章中一篇篇把这些精度加回来，并且每次都会明确标注。

好的教育内容，之所以值得信任，是因为它会明确说出自己省略了什么。本节就是这个承诺。

---

11. 我们挖下的坑（也就是本系列的地图）

上面每一句“之后我们会回来讲”的话，都是一条线索。下面就是每条线索最终会在哪里收束：

---

12. 总结

• Bitcoin 是透明的；Zcash 提供了一个Shielded世界，在那里发送者、接收者和金额都被隐藏。
• 那个看似矛盾的问题（既私密又可公开验证）正是整个设计的核心，而且它是可以被解决的。
• 一笔 Shielded 支付由五个相互咬合的部件组成：Note（硬币本身）、note commitment（密封信封）、note commitment tree（公共公告板）、nullifier（防止双花的作废令牌）以及 zero-knowledge proof（在不泄露任何内容的前提下证明有效性的帘幕）。
• 隐私最终依赖于一条被切断的联系：外部任何人都无法把一个 note 的出生（commitment）和它的死亡（nullifier）连接起来。
• 公众验证的是规则，而从不验证内容。

现在，你已经拿到了地图。本系列剩下的内容，就是把这张地图一点点填满。

---

术语表

---

常见问题

Zcash 总是私密的吗？ 不是。隐私只适用于 Shielded 世界（z.../u... 地址）。透明的（t...）交易和 Bitcoin 一样是公开的。

如果一切都被隐藏了，那怎么防止有人凭空印钱？ 靠 zero-knowledge proof。它会在数学上强制每笔交易的输出都必须由真实且未花费的输入支撑，同时又把金额保密。

同一个 note 可以被花费两次吗？ 不可以。花费一个 note 时会公开它的 nullifier；第二次尝试会再次公开同一个 nullifier，而它已经在“已花费”箱子里了，所以网络会拒绝它。

外部观察者能把发送者和接收者关联起来吗？ 不能。commitment（note 的出生）和 nullifier（note 的死亡）之间，任何人在没有拥有者秘密知识的情况下都无法匹配。

---

直觉测试答案（第 9 节）

如果 nullifier 的计算只依赖于 note，而不需要私钥，那么任何人都可以算出它，这会破坏性质 #1（只有拥有者才能花费）。更糟的是，这样一来 nullifier 就可能直接从 note 的公开信息中被导出，从而让观察者能够把 nullifier 反向关联到它的 commitment，破坏性质 #3，并悄悄瓦解整个系统的隐私性。私钥的作用，就是让这个作废令牌既只有你能生成，又无法被关联。

---

接下来是什么

第 1 篇 . 有限域： 那个奇特而优美的数字系统，在那里算术会“绕回去”，而本系列中每一块密码学构件都生活在其中。我们仍然会像之前一样，从直觉开始，在你真正需要它们之前，不会先上公式。

本文属于 Zcash from First Principles 系列，发表于 ZecHub。采用 CC BY-SA 4.0 许可。