原文标题：《Vitalik：打造安全的中心化交易所?——?可偿付证明及更多》
原文作者：Vitalik?Buterin?
原文编译：双花(/img/20230515164446285544/0.jpg "/>
现场丨V神：以太坊在2.0前死了很多次:金色财经现场报道，10月27日，第六届区块链全球峰会于上海开幕，峰会上以太坊创始人Vitalik Buterin演讲表示，我认为以太坊生态发展情况和趋势，有一些趋势在过去3年就展现出来了，但在过去一年有一个高速发展。
Vitalik回忆到，2014年7月成立了基金会，开始以太坊预售，但2014年10月以太坊就“死”了，2015年主网上线，但随后以太坊又“死”了，2016年5月份发布了The DAO ，2016年，在The DAO 攻击后，以太坊又“死”了，随后成功硬分叉，但马上，以太坊又“死”了，在上海devcon活动时，遭遇攻击，以太坊又“死”了，2017年以太坊企业联盟建立，以太坊开始逐渐有活力，但2018年因为以太坊价格下跌又死了2次，2018年开始以太坊2.0的研究，但2019年又死了一次。
我们现在还活着，以太坊正在Medalla测试网阶段，测试网已经运行接近三个月时间。[2020/10/27]
绿色：Charlie的节点。蓝色：Charlie收到用于证明的节点。黄色：根节点，向所有人公布
Merkle树技术会将用户余额表放进Merkle总和树。在Merkle总和树中，每个节点都是对。底层叶子节点表示各个用户的余额以及用户名的加盐哈希。在每个更高层的节点中，余额是下面两个节点余额的总和，而哈希是下面两个节点的哈希。Merkle总和证明和Merkle证明一样，是一个由叶子节点到根节点路径上所有姐妹节点组成的「分支」。
首先，交易平台会向每个用户发送一份其余额的Merkle总和证明。然后，用户能够确定其余额作为总额的一部分而被正确地包含。可以在这里找到简单的示例代码。
这种设计下的隐私泄露远低于公开完整的余额表，并可以在每次默克尔根发布时打乱各个分支来进一步降低隐私泄漏风险，但仍存在一些隐私泄露的问题：Charlie知道某人的余额为164ETH，某两个用户余额的总和为70ETH，等等。控制多个帐户的攻击者仍能了解交易平台用户的大量信息。
V神：以太坊2.0需要很长时间 各方批评激发了改善工作:8月12日消息，推特网友Sabin P提问称，可扩展性非常重要，这就是人们在ETH中等待多年的原因。今天的技术最终将成为绝对的未来，但是你不认为2.0会花费很多时间吗？V神回复称，是的，2.0需要很长时间。这就是为什么我很高兴我们终于有了测试网，并且同时拥有其他扩展技术如rollups。此外他还称，对以太坊肯定有批评，但我敢肯定，以太坊的人也知道其中绝大部分，这些批评激发了大家为改善局面所做的工作。[2020/8/12]
该方案的一个重要的微妙之处在于负余额的可能性：如果一个拥有1390ETH用户余额却只有890ETH储备的交易平台试图通过在树上某处的一个假账户下添加-500ETH余额来弥补差额，该怎么办？这种可能性实际上并没有破坏该方案，这就是我们特地使用Merkle总和树而不是常规Merkle树的原因。假设Henry是交易平台控制的假账户，而且交易平台在上面放了-500ETH：
Greta的验证将不会通过：当交易平台将不得不把Henry余额为-500ETH的节点的给她时，她会拒绝掉该无效节点。Eve和Fred也会验证失败，因为Henry之上的中间节点余额为-230ETH，所以该节点也是无效的！为了盗用行为不被发现，交易平台只能寄望于树的右半部分没人检查其余额证明。
如果交易平台能够挑选出这样的拥有500ETH的用户：他们嫌麻烦不去检查余额证明，或者当他们抱怨未能收到余额证明时，大家并不相信他们，那么交易平台就可以蒙混过关。但是，交易平台也可以通过将这些用户排除在Merkle总和树之外来达到相同的效果。因此，如果仅就负债证明而言，Merkle树技术基本满足了需求。但它的隐私特性仍不够理想。你可以更巧妙地使用Merkle树进行改进，比如把satoshi或wei作为一个独立的叶子节点。然而，通过使用更先进的技术，还可以做得更好。
使用ZK-SNARKs来提高隐私性和健壮性
声音 | V神：中继注册燃烧机制是以太坊在隐私解决方面的关键一步:V神在推特中转发了一篇介绍中继注册燃烧机制的文章。该机制目的在于抵制垃圾交易，其在以太坊第二层网络上建立一套仲裁注册机制，每一笔交易在发送广播中需要支付一定比例的费用，最后利用min_percent将其销毁。V神评论称，在中继研究取得较大进展之后，这是以太坊短期在隐私解决方案上的关键一步。[2019/7/18]
ZK-SNARKs是一项强大的技术。ZK-SNARKs对密码学的意义类似于人工智能：一项足以碾压数十年前为了解决一系列问题而开发的一系列专用技术的通用技术。因此，我们当然可以使用ZK-SNARKs极大地简化和改善负债证明协议中的隐私。
我们可以简单地将所有用户的存款放进Merkle树将不会泄漏任何其他用户的余额。
使用KZG承诺是避免隐私泄露的一种方法，因为其不需要把「姐妹节点」作为证明提供，并且可以使用简单的ZK-SNARK来证明余额的总和，并且每个余额都是非负的。
我们可以通过一个专用的ZK-SNARK来证明上述KZG中余额的总和及其非负性。这里有一个简单的例子。我们引入了一个辅助多项式I(x)，其「构建出用户余额的每一位」，其中每第16个位置追踪差额保证，只有当实际总额与宣称总额相等该值才会是0。如果z是一个128阶的原根，我们可以证明方程成立：
译者注：对这个多项式等式的解读。
如何把这些等式转换为多项式校并在后续转换为ZK-SNARK可以参考我撰写关于ZK-SNARKs文章的此处和另外一处。这并不是一个最优的协议，但让这些密码学证明比较好理解！
V神：抵制Coindesk 2018共识会议:V神刚刚在其社交媒体表示，抵制Coindesk 2018共识会议，原因如下：1.Coindesk发布不实信息，参与炒币局；2.Coindesk发布曲解EIP 999的报道；3.Coindesk的报道有陷阱；4.入场费高达2-3千美元，V神本人拒绝出席。[2018/4/27]
只需要几个额外的方程式，该约束系统就可以适配更复杂的设定。例如，在杠杆交易系统中，个人用户拥有负余额是可以接受的，但前提是他们需要拥有足够的抵押资产以覆盖其负债。SNARK可以用于证明这一更为复杂的约束，向用户保证，交易平台不能秘密违规豁免某些用户，从而危及用户资产。
长远来看，这种ZK负债证明的用处不限于交易平台中的用户存款，还可以用于更广泛的贷款场景。任何贷款的人都会将记录放入含该贷款的一个多项式或一棵树中，而根会在链上发布。这将使得任何寻求贷款的人向放款方提供零知识证明，以表明其未获得太多其他贷款。最终，法律上的创新甚至可以使得以这种方式进行承诺的贷款比无承诺的贷款拥有更高的优先级。这与我们在《去中心化社会：寻找Web3的灵魂》中讨论的一个想法不谋而合：通过某种形式的」灵魂绑定代币「，使得链上负面信誉的概念成为可能。
资产证明
资产证明最简单的版本是我们上面看到的协议：为了证明您持有X个代币，您只需在预定时间移动X个代币或在交易中携带「这些资金属于Binance」的信息。为了避免支付交易手续费，你可以签署一条链下消息。比特币和以太坊都有链下签名信息标准。
这种简单的资产证明技术存在两个实际问题：
?冷钱包处理
?抵押品重用
出于安全考虑，大多数交易平台会将大部分用户资金存储在冷钱包中：在离线的计算机上，交易需要手动签名并携带到互联网上。这种手段是很普遍的：我过去用于存放私人资金的冷钱包放在一台永久离线的计算机上，它会生成包含已签名交易的二维码，然后我会用手机扫描这些二维码。由于资金量庞大，交易平台使用的安全协议会更加复杂，经常涉及在多个设备间的多方计算，以进一步降低单设备被黑导致密钥泄露的可能性。在这种背景下，即使是创建一条额外消息来证明对地址的控制也是一项昂贵的操作！
以太坊创始人V神：以太坊的治理模式并非有缺陷，只是沟通不畅: 据Coindesk，一月份以太坊改进方案EIP 867公布后，开发人员展开了激烈的讨论。周五，以太坊创始人Vitalik Buterin在开发者会议上表示，他个人认为，以太坊的治理模式并非有缺陷，只是沟通不畅。根据V神的说法，例如有争议的EIP 867，在与平台的实时代码合并之前所经历的流程建议不明确。以太坊Mist浏览器的开发者Alex van de Sande提出了另一项提供拒绝资金回收标准的提案，该提案向社区表明，社区成员可以提出有争议的提案，一个标准参与另一个标准，两者都可以批准为草案。V神表示赞同这是更聪明的一种方式。[2018/2/24]
交易平台可以采用以下几种方式：
?维护一些长期使用的公开地址。交易平台生成若干地址，仅发布一次每个地址所有权证明，然后重复使用这些地址。这是迄今为止最简单的方案，尽管它在保护安全及隐私上增加了一些限制。
?持有很多地址，然后随机证明几个地址。交易平台持有很多地址，甚至可能每个地址只用一次，并在单次交易后不再使用。在这种情况下，交易平台需要有一个协议，不时地随机选择一些地址，交易平台必须「打开」以证明所有权。一些交易平台已通过审计员进行了类似的操作，但原则上，这种技术可以转化为完全自动化的程序。
?更复杂的ZKP方式。例如，交易平台可以将其所有地址设置1/2多签，这些地址的其中一份密钥各不相同，而另一份相同的密钥是以某种复杂但安全的方式存储起来重要的紧急备份盲版。为了保护隐私并避免泄漏其全部地址，交易平台甚至可以在区块链上运行零知识证明以证明该格式链上地址的总余额。
另一个主要问题是防止抵押品重用。彼此间来回转移抵押品以证明储备金对交易平台而言通常很容易办到，这使得实际上没有偿付能力的情况下蒙混过关。理想情况下，可偿付证明应该实时完成，并在每个区块后更新证明。如果不切实际的话，那么下一个最好的办法就是交易平台间协调出一个固定的时间进行证明，例如在UTC时间每周二下午2点证明储备。
最后一个问题是：能在法定货币上做资产证明吗？交易平台不仅持有加密货币，还持有银行系统内的法币。在这方面，回答是肯定的，但这样的程序将不可避免地依赖于「法币」信任模型：银行自身可以证明余额，审计人员可以证明资产负债表等。鉴于法币不能通过密码学验证，这是在该框架内的最佳方案，仍然值得一做。
另一种方法是将实体A和实体B分离开来，A负责运行交易平台并且处理USDC这种由某种资产背书的稳定币；而B负责在加密货币和传统银行系统之间处理现金流入和流出的过程，在这个案例中B即是USDC本身。由于USDC的「负债」只是链上的ERC20代币，所以负债证明是可以「轻易」获得的，而我们只需处理资产证明的问题。
Plasma和validiums:我们可以实现非托管CEX吗？
假设我们想更进一步：我们不想仅仅证明交易平台有足够资金偿还其用户。相反，我们想彻底防止交易盗用用户的资金。
在这上第一个尝鲜的是Plasma，这是一种2017年和2018年在以太坊研究界流行的扩容解决方案。Plasma的工作原理是将余额拆分为一组独立的「代币」，每个代币都会分配一个索引，并放到Plasma区块的Merkle树中的特定位置上。要进行有效的代币转移，需要将交易放到树中的正确位置上，而树根会被发布到链上。
Plasma的一个版本的极简图。代币被保存在智能合约中，该合约在取款时会强制执行Plasma协议的规则。
OmiseGo试图基于此协议创建一个去中心化交易平台，但从那时起，他们就转向去做其他事了——就这而言，PlasmaGroup也是如此，他们去做了optimisticrollup项目Optimism。
2018年对Plasma的局限性的探讨让大家从根本上怀疑Plasma的可行性。自2018年对Plasma的探讨达到顶峰以来，ZK-SNARKs在扩容相关用例上变得愈加可行，正如我们上面所说的，ZK-SNARKs改变了一切。
Plasma更新的版本是Starkware称为validium的方案：除了数据被保存在链下以外，基本上与ZK-rollup相同。该构造适用于许多用例，可以想象其适用于任何中心化服务器需要证明其正确执行代码的场景。在validium中，运营方无法窃取资金，但根据具体的实现细节，如果运营方消失，一些用户资金可能会被卡住。
现在看来一切很棒：CEX和DEX远非二选一，事实证明，其中有一系列的选择，包含各种形式的混合中心化，在那里你能获得一些好处，比如效率，但仍有很多密码学保障，可以防止中心化运营方的大部分形式的恶意行为。
然而，余下的基本问题也值得思考：如何处理用户错误。到目前为止，最重要的错误类型是：如果用户忘记了密码、丢失了设备、被黑或无法访问其帐户，那该怎么办？
交易平台可以解决这个问题：首先利用电子邮件恢复，如果连这都失败了，再通过KYC进行更复杂的恢复。但若要解决这些问题，交易平台需要真正控制这些代币。为了能够合理地恢复用户资金，交易平台需要拥有同样可用于无故窃取用户资金的权力。这是一个不可避免的权衡。
理想的长期解决方案是依靠自我托管，用户在未来可以方便地使用诸如多签及社交恢复钱包等技术来帮助处理紧急情况。而短期内，有两种明显的替代方案，有着不同的成本和收益：
另一个重要问题是对跨链支持：交易平台需要支持很多不同的链，诸如Plasma和validiums等系统需要用不同的语言编写代码以支持不同的平台，并且在当前形式下无法在一些平台上实现，这有望通过技术升级和标准化来解决；然而，从短期来看，这是如今托管型交易平台保持托管模式的另一个原因。
结论：展望未来更好的交易平台
短期内，有两种明确的交易平台类别：托管型交易平台和非托管型交易平台。如今，后一类即像Uniswap那样的DEX，未来我们可能还会看到受密码学约束的CEX，其中用户资金会以类似validium智能合约的方式持有。我们也可能会看到半托管型交易平台，其中我们信任其对法币而非加密货币的处理。
这两种类型的交易平台将继续存在，而提高托管型交易平台安全性的向后兼容最简单方法是增加储备证明。这包括资产证明和负债证明的结合。为两者都设计出优秀的协议仍存在着一些挑战，但我们能够且应当推动两类技术的齐头并进，并尽可能开源软件和程序，以便所有交易平台都能获益。
从长远来看，我希望我们向着所有交易平台皆为非托管的方向发展，至少在加密货币上如此。钱包恢复将会存在，可能需要为小额资金的新用户和出于法律因素需要此类安排的机构提供高度中心化的恢复选项，但这可以在钱包层而非交易平台内部完成。在法币方面，传统银行系统和加密货币生态系统之间的移动可以通过USDC等资产背书稳定币原生的资金进出流程完成。然而，我们仍有很长的路要走。
译者注：
每16个数字代表一个用户。我们可以看到上面的举例代表了两个用户
宣称的用户平均余额：185
用户1的余额：20->000000000010100
差额：20-185=-165
用户2的余额：50->000010100110010
?差额：-165+50-185=-300
最终遍历完所有用户，最后一个用户的差额要求为0
四个等式的解释
等式1：递推的初始值为0
等式2：每个用户余额需要跟KZGcommitment相对应
等式3：每个用户余额的递推公式，约束余额>=0且214
(上面说余额215?应该是笔误，因为按照等式3，递推公式只有14个取值，I(zi)214，
16个数字对应：I(z{16x})=0|I(z{16x+1})|I(z{16x+2})?|…|I(z{16x+14})|差值
16个数字对应最大取值：0|21-1?|22-1??|…|214-1?|差值)
?等式4：约束所有用户总余额与交易平台宣称的余额一致
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。