隐私币回溯与投资：寡头局面显著，未来价值可期

第二章、隐私币及协议的历史发展：由隐私泄露和数字通证隐患问题产生

随着互联网的不断发展和对技术的要求提高，许多知名企业先后被爆出存在泄漏大量用户隐私的问题，如Facebook在2018年初发生的一起大规模数据泄露事件，导致其市值在短短两天内蒸发上百亿美元。于是，人们将视线转向天然具备隐私属性的数字通证。但当时的数字通证虽然利用数字和字母的组合作为地址在一定程度上隐藏了用户的部分信息，但重复使用地址交易很容易将用户信息和交易数据对应起来，在隐私方面存在很大的隐患。如2018年8月，在巴西享有极高人气的加密货币投资平台Atlas遭黑客攻击，致使该交易所泄露了26.4万名用户个人信息。因此，基于线上交易和数字通证信息的泄露问题，隐私币孕育而生。目前，据不完全统计，已有大约42种隐私币上线。

图1 隐私币发行时间概览

来源：非小号

而在区块链中实现匿名是个极其困难的事，因为所有交易都是透明的，数字通证的供应量需要得到公开验证，匿名机制在保护隐私的同时也必须注意维护公共可验证性。

最早，人们尝试实现匿名的第一种方式是资金池混币，即在资金池中混合自己和他人的币以在表面上混淆通证的归属权来达到目的，但这种方式只能提供较为基础的匿名，而且还需要对资金池发起者有绝对的信任，因此存在一定的缺陷。

为了改善资金池混币的弊端，混币器的理念油然而生。混币器能够消除匿名发起者窃取通证的可能性，但由于后台可以记录相关交易信息，因此强烈依赖于匿名数字签名和以匿名方式登录，且会限制每次参与混币的人数，要求参与混币的人员对混币数额达成一致。此外，研究显示，即使经过多轮混币器混合，如果用户的钱包在进行支付时不清除浏览器cookie的话，可以通过技术手段识别用户的钱包，因为混币只会掩盖地址之间的交易链接，但不会完全破坏它们。即使后来混币器针对可信的第三方有所改进，例如CoinShuffle++，但仍避免不了其他的缺陷。

图2 混币器技术机制

另一个匿名方案是环签，即某人签署了交易，只能追踪到一个组而不能具体追踪到组中的这个人。环签方案可以自动实现匿名，无需其他用户指定想要和谁混合，也无需等待其他人提供资金，只是扫描区块链以便使用输出，因此大大提高了混币器方案的匿名性。但目前实现的环签实际大小有限制，因为随着环的尺寸的增加，交易数据的大小线性增长，这意味着，在每笔交易的基础上，匿名性受到环参与者数量的限制，可能存在去匿名化的隐患，而且一旦存在bug，那么整个区块链的记录就会被去匿名化和可追溯，并且无法事后修正。此外，环签还牺牲了供应可审核性，并且轻钱包付款验证也存在问题。尽管有这些缺点，但环签目前是一种较好的匿名技术。

图3 Cryptonote和环签技术机制

紧接着出现了零知识证明用于匿名方案的案例。零知识证明，即你做某件事或知道某件事的证明，而不泄露任何其他信息。最著名但就是zk-SNARKS协议，支撑着ZCash。zk-SNARKs是较为新颖的零知识加密算法。基于Zcash，也分叉出了许多其他匿名币，包括Komodo、Zcoin、Horizon、Zclassic、Zencash等，可以说zk-SNARKs协议造就了匿名币的半壁江山。但zk-SNARKs对大规模应用有很大的限制，因此以色列的Eli-Ben Sasson教授提出了一种比 zk-SNARKs 更快的的替代性方案——zk-STARKs，用更简单的对称加密消除了zk-SNARKs 需要消耗大量算力的数论假设，但目前尚未有基于zk-STARKs的隐私币。

图4 零知识证明技术机制

除此之外还诞生了五种隐私协议，如：TEE（可信执行环境），TEE 技术隔离了代码执行、远程证明、安全配置、数据安全存储以及代码执行的可信路径。在 TEE 中运行的 APP 受到安全保护，几乎不可能被第三方访问，是近来流行的将可信计算引入区块链中的方法；Enigma协议，允许节点使用智能合约的加密片段进行计算，而不需要解密；MimbleWimble协议，旨在提高数字货币的可扩展性、隐私和可替代性，融合了保密交易、交易混合和蒲公英协议等多重隐私保护技术，隐去了交易金额，消除了交易地址，而且中间状态可以合并，使其在保护交易隐私的同时简化了交易大小；Zether（Quorum），在保护交易和节点级别的隐私基础上，还能够保护参与者的身份，与Quorum机制中已经存在的访问控制特性相结合，提供了强大的端到端的安全体验；SMPC（安全多方计算），允许对一组输入执行计算，同时保持输入数据的私密性，可用于安全代币交换中的各方，以交换有关信息的同时保持实际信息的私密性等等。这些都是针对之前的弊端进行不断改善而诞生的新型隐私协议。