История транзакций Bitcoin печально известна своей публичностью. Когда кто-то отправляет биткоин ($BTC), платеж попадает в реестр, который может проверить любой — возможно, навсегда. Нью-Йоркская исследовательская лаборатория [[alloc] init] предложила контринтуитивный ответ на эту открытость: не трогать правила Bitcoin и построить приватность поверх них.

Предложение под названием Shielded Bitcoin использует зашифрованные записи и доказательства с нулевым разглашением (ZK), чтобы скрывать суммы и контрагентов, тогда как Bitcoin функционирует почти как публичная доска объявлений. Сеть записывает зашифрованные сообщения в правильном порядке, не зная, что они означают. Софтфорк не требуется, и ни один оператор не решает, какие приватные переводы засчитываются. Фактически Bitcoin может в итоге переносить приватные платежи, которые сам прочитать не в состоянии. Является ли это отделение от консенсуса силой или слабостью — именно об этом и идут споры вокруг предложения.

Bitcoin становится доской объявлений

Белый документ «Shielded Bitcoin: Private Transfers on the Bitcoin L1» написали Клара Шихельман, Михаил Комаров и Алексей Москвин. Исследователи задались вопросом, может ли биткоин перемещаться приватно, используя сеть ровно в том виде, в каком она существует сегодня. Их ответ — метапротокол, правила которого интерпретируются независимым программным обеспечением, а не консенсусом Bitcoin.

Программы, называемые индексерами, сканируют Bitcoin на предмет данных Shielded Bitcoin, проверяют криптографические доказательства и восстанавливают историю приватной системы. Некорректные данные все равно могут попасть в блокчейн, потому что Bitcoin не понимает метапротокол; индексеры просто игнорируют их. Любой может повторить эти проверки по опубликованной истории Bitcoin, а значит, ни один отдельный индексер не решает, что является валидным. В этом самая интересная часть дизайна. Bitcoin продолжает делать то, что делал всегда, тогда как другой набор правил осмысляет отобранные данные, едущие сверху.

Алиса платит Бобу, не показывая сумму

Стоимость внутри Shielded Bitcoin существует в зашифрованных записях, называемых нотами. Если Алиса платит Бобу, она создает ноту с суммой и информацией для получения Боба, а затем шифрует ее так, что только Боб может ее опознать. Ее биткоин-транция публикует зашифрованную ноту вместе с серийным номером, называемым nullifier, и доказательством с нулевым разглашением.

Доказательство устанавливает, что ноты Алисы существуют, что она вправе их потратить и что входящая стоимость равна исходящей — не раскрывая, какие ноты были потрачены и на какие суммы. Индексеры проверяют доказательство и убеждаются, что каждый nullifier ранее не появлялся. Однажды использованный nullifier не может быть применен снова, что исключает двойную трату одной и той же ноты. Кошелек Боба сканирует новые зашифрованные ноты, пока его ключ просмотра не откроет одну из них.

В блокчейне публика по-прежнему видит, что защищенный перевод произошел, его время, количество задействованных нот, комиссию и биткоин-транзакцию, которая его перенесла. Исчезают сумма, защищенные отправитель и получатель и связь с ранее потраченными нотами. Тем не менее узнаваемый биткоин-адрес, многократно оплачивающий комиссии, может все же выдавать подсказки, а малое число пользователей облегчило бы анализ толпы.

Приватность также стоит места в блоке. Комаров рассказал журналистке Лоре Шин в интервью, что защищенный payload занимает около 700 vbytes по сравнению с примерно 100–200 vbytes у типичного платежа в Bitcoin — примерно в четыре раза больше. Поскольку комиссии Bitcoin масштабируются с размером транзакции, эти накладные расходы оплачиваются непосредственно в момент перевода. Комаров назвал дополнительные издержки «не катастрофическими». Больше пользователей, в свою очередь, усилит множество анонимности, давая отдельным платежам более крупную толпу, в которой можно раствориться.

Главная проблема — это дверь

Есть загвоздка. Белый документ от 24 сентября описывает переводы только после того, как биткоин уже оказался внутри защищенной системы. Ввод и вывод биткоина отданы сопутствующему белому документу, основанному на исследованиях [[alloc] init] по Bitcoin PIPEs v2 и witness-шифрованию.

Планируемая система будет криптографически блокировать приватный ключ $BTC, пока кто-то не предоставит требуемое доказательство, при этом сеть Bitcoin в итоге видит обычную трату Schnorr. [[alloc] init] заявляет, что никогда не будет хранить средства пользователей, даже на границе. Но witness-шифрование — молодая технология. Комаров сказал, что размер ее шифротекстов сократился примерно с 300 терабайт до около 8 терабайт за год. Это огромный прогресс, но восемь терабайт — это все еще восемь терабайт. «Это все еще довольно экспериментально», — пояснил Комаров.

Вход и выход также могут раскрывать суммы и время, помогая наблюдателям связывать активность вне Bitcoin с защищенными транзакциями. Лаборатория с мая проводит публичные конкурсы на взлом, но даты запуска нет. Пока дверь не заработает, Shielded Bitcoin остается исследованием, а не пригодной к использованию системой приватности.

Сообщества Bitcoin и Zcash высказываются

Влияние Zcash очевидно. Zcash уже использует зашифрованные ноты, nullifier-ы и доказательства с нулевым разглашением, а Shielded заимствует эту архитектуру, не создавая еще один блокчейн. Публичная компания Cypherpunk назвала Shielded Bitcoin «большим шагом вперед», добавив, что больше приватности в Bitcoin выгодно всем.

Однако Cypherpunk также утверждал, что этот дизайн пока не является конкурентом сети Zcash. Компания указала на trusted setup, отсутствие консенсусного принуждения и trustless легких клиентов, недостроенный мост и комиссии Bitcoin L1, отметив, что Zcash уже почти 10 лет в производстве и имеет защищенный пул стоимостью более 7 миллиардов долларов. «Финансовая приватность не является игрой с нулевой суммой», — заключил Cypherpunk.

Реции в X быстро стали менее дипломатичными. Джо Бернетт написал «zcash to 0», а Дэниел Бухнер, директор по продукту и директор по цифровым активам в Proof, высказался резче: «Количество фанатов privacycoin, впадающих в вызванные копингом конвульсии от одной мысли, что сообщество Bitcoin движется по пути приватных транзакций, потенциально щелчком Таноса стирающее нарративы одноразовых приватных блокчейнов, приближается к уровню децибел, при котором повреждение слуха становится реальной угрозой».

Сэм Кэллахэн, директор по стратегии и исследованиям в OranjeBTC, выстроил более широкий аргумент: «Люди все еще неправильно понимают ров Bitcoin. Bitcoin не нужно выигрывать каждую гонку функций. Приватность, скорость и функциональность могут быть построены со временем. Ров — это его децентрализация, безопасность и достоверная денежная политика. И по этим параметрам ничто другое даже близко не подходит».

Аккаунт X Rune приземлил соперничество приватных монет, сославшись на взлом Bitget и monero ($XMR), криптовалюту с фокусом на приватности, написав в X: «Держатели ZEC молятся, чтобы хакер Bitget использовал zcash, чтобы скрыть следы… но почему-то хакер использует $XMR». За трепом стоит настоящая техническая дискуссия о том, может ли блокчейн Bitcoin обрести более сильную приватность без изменения базовых правил.

Bitcoin несет секреты, которые не может прочитать

В отличие от белого документа Сатоши, Shielded Bitcoin — это спецификация, а не продукт. Пег остается незавершенным, witness-шифрование экспериментально, комиссии могут раскрывать информацию, кошельки должны стать практичными, а приватность улучшается только при достаточном участии пользователей. Текущий дизайн доказательств Groth16 также требует одноразового trusted setup — события генерации параметров, участники которого должны быть заслуживающими доверия в том, что уничтожили свои секретные материалы.

Шихельман должна была представить исследование на BitDevs NYC 24 сентября, пока [[alloc] init] собирает отзывы перед сопутствующим белым документом о входе и выходе. Именно следующий обходной путь определит, сможет ли описанная на бумаге приватная система безопасно соединиться с реальным биткоином — за этим里程碑 стоит следить, как и за продолжающимися конкурсами лаборатории на взлом.

Пока что идея остается восхитительно контринтуитивной. [[alloc] init] хочет, чтобы Bitcoin записывал приватную финансовую активность, не меняя сам Bitcoin и не требуя от сети понимать, что именно она записывает. Если незавершенные части сработают, Bitcoin сможет сохранять транзакции навсегда, оставаясь слепым к суммам и контрагентам, которые изначально и делали эти транзакции достойными сокрытия.

Источник: CryptoNewsNet; оригинальный материал на News.Bitcoin.com.