今日推荐 | 四面楚歌：陷入困境的隐私捍卫者 ——区块链技术引卷之十四

通证通研究院 × FENBUSHI DIGITAL 联合出品

文：宋双杰，CFA；田志远；金佳豪

特别顾问：沈波；Rin Huang

导读

自BTC诞生至今，加密通证已走过十年，目前各国对于加密通证态度不一，部分国家（地区）的监管相对较为严格。而在各种加密通证之中，旨在保护用户交易隐私的匿名通证是受监管最为严格的一种。匿名通证目前的生存坏境如何？未来又将如何发展？

摘要

目前常见的匿名技术（包括隐私地址技术、环签名技术、Coinjoin、zk-SNARKs、RING-CT和Mimblewimble）使用了不同的策略提供对数字通证交易的隐私保护。其中Coinjoin的隐匿性相对最弱，且是唯一需要第三方参与的技术；zk-SNARKs的隐匿性相对最强；隐私地址技术和环签名技术都是在CryptoNote中被提出的，但不能隐藏交易金额，之后的RING-CT解决了这一问题；Mimblewimble是一种较新的匿名技术，其特点是交易时无须地址。自数字通证诞生以来，不可篡改的分布式账本带来了全新的交易模式，极大地降低了信任成本。然而遗憾的是，信息公开可查的交易模式不能适应一切交易，其中之一就是隐私交易。匿名通证的出现解决了这一痛点，填补了高隐私性通证的需求缺口，满足了匿名交易的需要。整体而言，提供隐私保护的匿名通证的市值正在不断上涨，这也和公众对隐私权日益重视的趋势相符。时至今日，匿名通证在市场已有较高市值。截至2019年7月5日，匿名通证总市值达45.1亿美元，占加密通证总市值的1.4%。匿名性是匿名通证相比其他数字通证最突出的特点，但其不可追踪性是一把双刃剑。匿名通证面临着严峻的监管压力，匿名通证合规化存在困难，短期内可能难以取得多方共识，可审计的隐私协议是解决这一困境的有效方案。匿名通证专注于保护数字通证交易隐私，达到了目前加密通证之王BTC还没有实现的隐私保护水平，为其占据数字通证市场份额赢得了先机。但随着越来越多可用于增强BTC交易隐私性的方案被提出，BTC很可能在未来弥补它的隐私性短板。届时，匿名通证可能会受到较大的冲击。风险提示：监管不确定性

目录

1  匿名技术比较

2  隐私捍卫者：匿名通证的兴衰史

3  “前有猛虎,后有恶狼”——夹缝中生存的匿名通证

3.1  “前有猛虎”——严峻的监管压力

2.2  “后有恶狼”——加密之王BTC的挑战

正文

在本系列的上一篇文章中，我们深入探讨了目前常见的匿名技术，本章接续上文，比较了常见的匿名技术并对匿名通证的未来进行了探讨。

1匿名技术比较

在常见的匿名技术中，Coinjoin的隐匿性相对最弱，且是唯一需要第三方参与的技术；zk-SNARKs的隐匿性相对最强；隐私地址技术和环签名技术都是在CryptoNote中被提出的，但不能隐藏交易金额，之后的RING-CT解决了这一问题；Mimblewimble是一种较新的匿名技术，其特点是交易时无需地址。隐私地址技术和环签名技术都是在CryptoNote协议中提出的技术，前者提供对数据接收方的隐私保护，后者提供对数据发送方的隐私保护，二者一般结合使用，匿名效果较强且不依赖任何第三方；缺点是不能隐藏交易金额，且交易量不足会削弱匿名效果。Coinjoin提供对数据发送方和接收方的隐私保护，有助于隐藏交易金额。Coinjoin的特点是轻量级，相对简单、容易实施且不需要特定的共识就可以在大多数数字通证上运行；但其缺点也较为明显，Coinjoin的匿名能力相对较弱，早期需要可信的第三方参与，改进后的CoinShuffle++虽然不再需要可信的第三方，但由于交易量不足会影响混币效果，该方法仍需通证资源相对集中的节点参与才能保证混币效果。此外，用户需要保持在线状态才能进行混币。zk-SNARKs的匿名能力相对最强，并且能提供交易过程全程的隐私保护，包括对数据发送方、数据接收方和交易金额的隐私保护。验证数据小、占用存储空间少且无须任何第三方参与；但zk-SNARKs依赖于可信的初始设置且流通通证总量不可查，如果出现信任问题，篡改者能够无限生成数字通证并无法被检测到。此外在使用zk-SNARKs进行匿名交易时需要进行复杂的数学计算，交易生成时间相对较长（尤其是对于配置较差的私人计算机而言）。RING-CT作为对CryptoNote的补充，具有隐藏交易金额的能力，同时RING-CT优化了环签名技术，提高了使用环签名技术进行数字通证交易的速度，匿名效果较强且无须任何第三方参与；缺点是占用存储空间较大、交易量不足会削弱匿名效果。另外交易金额隐藏后会导致流通通证总量不可查，无法检测是否有伪造通证产生。Mimblewimble的特点是没有交易地址和交易金额，匿名能力较强。在Mimblewimble中所有交易都是私密的，且无须任何第三方参与。此外，使用Mimblewimble能够缓解矿工存储空间压力；缺点是交易量不足会降低匿名效果。Mimblewimble没有脚本语言，难以实施闪电网络等智能合约。此外，Mimblewimble是一种较新的技术，其效果及稳定性还有待进一步验证。

2隐私捍卫者：匿名通证的兴衰史

自数字通证诞生以来，不可篡改的分布式账本带来了全新的交易模式，极大地降低了信任成本。然而遗憾的是，信息公开可查的交易模式不能适应一切交易，其中之一就是隐私交易。匿名通证的出现解决了这一痛点，填补了高隐私性通证的需求缺口，满足了匿名交易的需要。匿名通证总市值自2013年7月15日以来持续上升。匿名通证和数字通证总市值高度相关，二者走势极为相似。2017年，匿名通证曾受到数字通证市场整体向上的牵引力影响，随后其市值一度跌至20亿美元以下。而在2019年，匿名通证市值步入了相对稳定的上升阶段。整体而言，提供隐私保护的匿名通证的市值正在不断上涨，这也和公众对隐私权日益重视的趋势相符。注：匿名通证总市值根据Cryptoslate统计的目前市场上的58个匿名通证计算。

Bytecoin是最早出现的匿名通证，但一开始是在深网运行，因此缺少相关数据。2013年7月15日，Anoncoin进入市场，成为当时唯一正式在二级市场流通的匿名通证。此后几年间，Dash、Dreamcoin、Monero、Cloakcoin、Bytecoin等匿名通证相继出现。Dash是当时的代表性通证，在二级市场流通后市值占比迅速攀升，高峰时达98.0%，至今Dash仍为匿名通证三巨头之一。但当时匿名通证不论总市值还是通证数量都很少。2016年起，各种各样的匿名通证在市场上崭露头角（目前的匿名通证三巨头之一Zcash创立于2016年10月）。Monero由于在2016年8月获AlphaBay（一个在线暗网市场）支持，一度占据匿名通证总市值的66.7%，目前仍在匿名通证市场独占鳌头。截至2019年7月5日，匿名通证总市值已达45.1亿美元，占加密通证总市值的1.4%。目前市面上常见的匿名通证既有Monero、Dash、Zcash等老牌通证，也有Komodo、Grin、Beam等新兴通证。匿名通证市值头部集中明显。从市值来看，匿名通证中Monero排名第一，Dash紧随其后，两者同Zcash的市值之和约占匿名通证总市值的79.3%，匿名通证市值前十名的通证市值占匿名通证总市值的比例超过了95%。2019年7月5日，Monero和Dash在全部通证中的市值排名分别为第13和第15。

3"前有猛虎，后有恶狼“——夹缝中生存的匿名通证

3.1  “前有猛虎”——严峻的监管压力匿名性是匿名通证相比其他数字通证最突出的特点，但其不可追踪性是一把双刃剑。一方面，匿名通证有助于解决很多实际难题，例如企业不希望自己的交易流向被竞争对手掌握、国家安全技术发展的投入信息不适合公开等。同时，匿名技术能确保个人隐私信息不被滥用。互联网时代用户数据具有巨大的商业价值已经是共识，基于用户习惯精准地投送广告或进行电话营销甚至电信诈骗等行为常令人不堪其扰。而匿名技术可以有效解决这些问题，让隐私权重新归属于用户自身。另一方面，不能否认的是匿名通证的出现也方便了非法交易。BTC曾是暗网市场上流通的“官方通证”，但其在匿名性上的局限制约了其在暗网的规模扩张。而匿名通证提供了另一种选择，犯罪分子能够利用匿名通证进行洗钱、贩毒等违法活动，这对监管部门、执法部门提出了新的挑战。日本是最早承认数字通证合法的国家，也是最早将加密通证纳入监管的国家之一，但在日本加密通证交易所CoinCheck被黑客盗走价值约5.3亿美元的加密通证后，CoinCheck宣布于2018年6月18日下架匿名性足够强的加密通证，包括XMR、DASH和ZEC等。在这一大型盗窃事件发生后，FSA（日本金融厅）开展了一系列措施，包括修订更严格的交易所审查制度、协助建立日本虚拟通证交易所协会（由日本数字通证交易所组成的行业自律协会）等，并一度表达禁止交易匿名通证的态度，尽管最终没有明确的法规或行业自律条例限制匿名通证交易，但是在日本通证上市交易有着严格的要求，而且从现实情况来看，日本的各大数字通证交易所都不支持匿名通证交易。除日本外，其他一些国家（地区）也提出针对匿名通证的相关规定或建议。2018年1月，韩国政府出台法律要求所有加密通证交易者提供身份证明；2018年5月，韩国交易所Korbit下架了五种匿名通证；2019年3月，法国国民议会财政委员会负责人建议禁止匿名加密通证。匿名通证合规化存在困难，短期内可能难以取得多方共识。目前各国对于数字通证态度不一，对于匿名通证的态度更加谨慎，主要原因是匿名通证大大超出了监管可及范围。如果匿名通证始终与犯罪活动紧密相关，无法受到有效的监管，想要走向合规化会相当困难。严峻的监管压力在前，旨在保护交易者隐私的匿名通证暂时还难以获得各国官方认同，这是匿名通证走向大众难以逾越的深壑，也是制约其发展扩张的瓶颈。隐私协议层或可使匿名通证摆脱困境。隐私协议层能够在协议层上拓展可供监管和审计机构监控审查的接口，从而做到分级式的隐私，对用户做到完全隐私，而对有限的机构提供审计权限的隐私协议是解决监管问题较优的方案。协议层包括了构建区块链的底层技术，除审计功能外，还可通过协议层实现匿名交易附加加密的包含发送接收方身份和地址的备忘录字段，或使交易者有权限赋予他人监管权的方式，确保其合规运行，遵守反洗钱和反恐融资的原则。目前协议层扩展已是区块链技术研发的重要环节之一。Monero核心技术开发者Dr. Duncan S.Wong曾表示，绝对的隐私通证将不再受到欢迎，对公众和个人做到完全隐私、对监管及审计机构做到可问责隐私的加密通证将逐渐走向主流。2018年9月，Dr. Wong提出了Abelian Coin（ABE），一种隐私分级方案。该方案基于可验证的加密系统。用户可选择完全隐私模式或可问责隐私模式，后者使用户交易数据可供特定第三方机构监控。ABE综合了多种隐私技术，身为Monero核心开发者的作品，ABE天生融合了Monero的RING-CT隐私技术，在此之上加入可选的问责功能。3.2  “后有恶狼”——加密之王BTC的挑战目前已经被大众广泛接受的数字通证，如BTC、ETH等都可能在未来加入隐私保护功能。Coinjoin技术已经是BTC的可选属性之一，截至2019年4月，BTC交易中使用Coinjoin的交易量为一年前的三倍，占全部BTC交易的4.09%（数据来自Longhash），而未来Schnorr签名、Dandelion++或者MimbleWimble等技术都可能加入BTC以增强其隐私性。

作为提升BTC区块链性能的可行方案之一，Schnorr签名与BTC已使用的椭圆曲线参数secp256k1相兼容，并且与ECDSA（椭圆曲线数字签名算法）具有相同的安全假设，可完美替代ECDSA。Schnorr签名的核心用途是将多个签名聚合成一个新签名。由于Schnorr签名具有线性属性，两个或者更多的Schnorr签名可以组合成一个新的Schnorr签名，并且新的聚合签名依然仅有常规签名的大小，这样的设计能够使观察者无法区分聚合多重签名和常规签名，从而有效提升数字通证的隐私性（尤其是在使用基于Schnorr的Coinjoin技术时），同时提升区块的交易容量。以一笔具有多个输入和一个输出的交易为例，链上需要记录每位输入方各自的签名，目前的签名策略使区块链变得相当臃肿。Schnorr聚合签名能够有效提升BTC交易的匿名能力，并且新生成的聚合签名还仅有常规签名的大小，如果每位用户都使用Schnorr，大约能使BTC区块的交易容量增加10-20%。Dandelion是一种简单有效的提升匿名性的技术，由Giulia Fanti等人于2017年提出。Dandelion对通信节点的行为作了修改，使交易的原始IP地址在广播过程中被隐藏。Dandelion将交易过程划分为“主干阶段”和“绒毛阶段”：在主干阶段，交易信息会被传输到另一个节点，而不是向全网广播；交易信息经过一些节点后将进入绒毛阶段，改为向全网广播交易信息。初始版本的Dandelion正常运行依赖三个假设：所有节点都遵守协议、每个节点只生成一笔交易、所有BTC节点都运行Dandelion。如果上述假设成立，向全网广播交易信息的节点将不再是发布交易信息的初始节点，而是“中继节点”，攻击者将难以追踪交易信息的初始地址。遗憾的是，在现实中上述三个假设都不一定成立。为突破Dandelion的局限，研究者于次年发布了Dandelion++，优化了算法并增强其匿名性，同时也允许节点生成多份交易。Dandelion设计的匿名图是折线图，容易量化，但无法有效评估匿名能力。直觉上，频繁地改变折线图会使攻击者没有足够的时间掌握匿名图；而实际上，评估攻击者对匿名图的启发式学习非常困难，这使交易的匿名性难以获得实际的保证。折线图是2-正则图，而Dandelion++将折线图改为近似的4-正则图，用户会将交易信息随机转发给周围的两个节点之一，直到进入绒毛阶段。Dandelion++设计了攻击者难以学习的匿名图，为通证交易的隐私性提供了保证。匿名通证正面临着加密之王BTC的挑战。自加密通证出现以来，BTC始终以压倒性的市值优势雄踞加密通证市场，是名副其实的加密通证之王。历经十年风霜而不倒的BTC一直是加密市场的风向标，吸引着越来越多的人关注加密市场，同时也吸引着越来越多的研究者探索和研究改进BTC的方案，未来，Schnorr签名、Dandelion++、Mimblewimble都有可能加入BTC以增强其匿名能力，更多可用于优化BTC匿名性的设计也可能被提出并实施。如果BTC集成了足够强大的匿名功能，势必会影响市场上专注于匿名的匿名通证。

总体来看，匿名通证的发展面临着重重困难。严峻的监管压力在前，可审计的隐私协议是较优的解决方案；数字通证巨头追赶在后，目前已有数种可用于提升BTC隐私性的技术，以太坊上也已有很多匿名交易解决方案陆续被开发，如2019年5月安永会计事务所为以太坊提供了零知识证明隐私解决方案。随着数字通证巨头逐步完善其隐私能力，市场上专注于隐私性的匿名通证可能会受到较大的冲击。

附注：

因一些原因，本文中的一些名词标注并不是十分精准，主要如：通证、数字通证、数字currency、货币、token、Crowdsale等，读者如有疑问，可来电来函共同探讨。