以太坊隱私交易密碼學基礎

Confidential Transactions = 隱藏交易金額的密碼學技術。

Pedersen 承諾

隱私交易的核心：

C = v·G + r·H

• v = 金額
• r = 盲因子（隨機數）
• G, H = 不同生成元

同態性：

C₁ + C₂ = (v₁ + v₂)·G + (r₁ + r₂)·H

好處：可以驗證金額守恆，不透露具體數字！

範圍證明

確保金額非負（防止盜竊）：

證明：0 ≤ v < 2^n

方法：把 v 拆成二進制，證明每個 bit 是 0 或 1：

template RangeProof(n) {
    signal input value;
    signal output bits[n];
    
    var lc = 0;
    for (var i = 0; i < n; i++) {
        bits[i] <-- value % 2;
        bits[i] * (1 - bits[i]) === 0;  // bit 只能是 0 或 1
        lc += bits[i] * (2 ** i);
    }
    lc === value;
}

保密轉帳的數學

假設 Alice 轉給 Bob：

Alice 這邊

• 輸入：她的承諾 C₁ = v·G + r·H
• 輸出：Bob 的新承諾 C₂ = v'·G + r'·H
• 差值：C₁ - C₂ = (v - v')·G + (r - r')·H

驗證者只看到

• C₁, C₂ 存在
• C₁ - C₂ 是兩個承諾的差

但不能確定

• 具體金額 v 是多少
• 誰轉給誰

資產證明

要提款時，需要證明你知道：

1. commitment 對應的秘密 (v, r)
2. v > 0（範圍證明）
3. commitment 沒有被花費（nullifier）

template Withdraw() {
    signal input commitment;
    signal input nullifier;
    signal input secret;
    signal input blinding;
    
    // 驗證 commitment
    commitment === PedersenHash(secret) + blinding * H;
    
    // 驗證 nullifier
    nullifier === Poseidon(secret);
    
    // 範圍證明
    rangeCheck(secret, 252);
}

結語

Confidential Transactions 的核心思想很簡單：用承諾代替明文，用零知識證明代替揭示。數學不複雜，複雜的是把所有東西整合起來還要保持安全。

COMMIT: Add Ethereum confidential transactions cryptography foundations