为什么Lava选择ConfidentialAsset作为STO解决方案？

比特币的隐私性的短板

随着信息科技技术的发展，我们的日常生活更加依赖于电子信息的当下时代，用户对于信息安全的关注达到了前所未有的高度。各类社交或生活平台都曾发生过用户信息泄露的丑闻。各类用户信息汇聚成了用户个体的真实镜像，并构成了具有价值的大数据。但数据并不归属于我们，个人数据控制权的丧失，无疑成为了整个时代需要解决的痛点。

显然，区块链行业也必然面临这个问题。比特币的隐私性能的短板早在多年前就被提出。比特币的公开账本允许人们通过这些公开的交易地址和金额做很多去匿名化分析，尤其是当这些公开账本信息和从其他渠道比如某些交易平台上获得的数据进行交叉匹配分析的时候，很多用户的身份将被暴露出来。比如专有信息网站做这类服务，时刻关注大金额地址的转账动态并进行实时监控播报就是很典型的例子。

并且由于区块链账本中的交易记录都是公开可追溯的，降低了比特币的非特异性（Fungibility)。比如某比特币的交易记录中被曝与恐怖活动有关，而下一位接受者则有可能因此拒绝这笔交易。交易历史成为了标记比特币的某一种信息，从而影响到了部分比特币的价值及流动性，作为一种货币，这种特性是不合理的。

CA方案是什么？

Confidential Asset（简称CA方案）作为Lava于链上发行STO精选出的一种匿名方案，采用CA方案可使一笔交易中的资产数量以及进行交易的资产类型可以被隐藏起来，具有的可靠性、隐私性、非特异性及共识保证的特征，确保链上资产交易的隐私安全。

CA方案的技术基础为Confidential transactions, Asset Commitments和Asset Surjection Proofs (ASPs)。

最早由Maxwell和Poelstra等人提出了Confidential Transaction。其中交易的金额仅对交易的参与者（及其指定的参与者）可见，但同时仍保留了区块链网络验证UTXO仍然不被影响的能力。

在比特币的一组UTXO集中，我们可知，是由一列输入（input），一列输出（output）及对应的私钥和签名组成，而转账的余额则是总输入-总输出计算得出，在这个过程中所有金额都是明确公开的，每一笔的输入则来源于上一笔的输出，因此具有可追溯性。

而Confidential Transaction简单来讲即通过用同态承诺（例如Pedersen Commitment，一种基于ECDSA椭圆曲线、具备同态加密属性的密码学验证机制）替换每个显式的UTXO，并保证每个UTXO集中总输入-总输出的计算依然成立，并不影响验证输入及输出验证的有效性，仅仅使交易金额变得不可知。

通过使用有效的零知识范围证明（例如Bulletproof）来使交易对溢出和通货膨胀攻击具有鲁棒性（Robustness），即指控制交易在一定的参数变动下，仍然维持交易的准确性及可靠性。

Pedersen Commitment基于ECDSA椭圆曲线的公式如下：

C(x,r)=xH+rG

G、H为椭圆曲线上的一对离散对数，而r为一个随机盲因子，其中通过Range proofs证明x∈[0,2^64-1 ]。

相比于其他的一些匿名方案，CA方案仅利用椭圆曲线离散对数和随机Oracle模型，减少了冗余数据，整个账本变小，全节点挖矿时负担就变小很多。

至于Asset Commitments和Asset Surjection Proofs (ASPs)则是为了以加密的方式发行不同类型资产而准备的。

在CA方案中，通过在每个UTXO中的输入及输出上添加一次性的资产标签的形式，区分不同资产类型，从而可使得多个资产可于链上发行，并且通过原子交换技术的拓展，可实现在同一区块链上的单笔交易中容纳多种资产类型。

具体的公式证明方法可以参考CA方案的白皮书（https://blockstream.com/bitcoin17-final41.pdf），本文主要目的为帮助大家浅显理解CA方案，因此不展开讨论。

为什么选择CA方案？

Lava选择CA方案来发行STO的原因，可以从STO发行对于公链的需求点来考虑。

从链上发行多种资产的角度，早在2013年就提出了染色币方案（colord coin）。染色币技术允许人们对小额比特币染色——使用OP_RETURN脚本操作代码将交易中的元数据与特定资产相关联的外部数据存储结合在一起，用以代表自己所持有的其他资产，从而让更多类型的资产都可以通过区块链交易。

就像HTTP基于其他互联网更底层协议而存在，染色币可以说就是运行在比特币基本系统上的一层协议。但也因此决定了它的性能受限，仅能发行小范围流通的货币，并且大大降低了它的非特异性。

在这一点上，以太坊的智能合约方案同理。除了毫无隐私保障和非特异性外，以太坊的功能复杂，目前拥堵严重，由于它的计算过程也是在区块链上完成的，也就是说网络上所有的计算机都要重复执行同一个程序，这样的架构导致多个资产发行后以太坊想要提升处理速度其实是比较困难的。

从隐私性及安全性的角度考虑，不乏一些老牌匿名币项目，如Zcash、Monero、Dash等。

Zcash采用了零知识证明方案zkSNARKS，交易的地址、资金的数额以及备注字段都是被隐藏的。但是由于该方案中采用了trusted set up（可信初始化）中涉及的一些陷门知识一旦被攻击者获得，则有可能以此对零知识证明的健全性发起攻击，从而无限量打印Zcash并无法被探测到，降低了链上交易的安全性。

Zcash的设计实际上还有其他一些冗余之处，比如实现匿名性的一部分是通过隐藏Zcash于系统中已有货币的membership来提供的，而双花攻击则通过检验序列号来防止的，Zcash本身实际上也是个承诺，Zcash持有权的转让却是通过转让承诺内容来实现的。这里零知识证明对应的statement非常复杂，致使计算变得非常缓慢。

CA方案没有引入新的密码学假设，仅依托于数学证明，因此完全不损害原有的验证效力和强度，基于比特币Codebase与UTXO模型的可靠性也已经被时间所充分检验。

其他如Monero采用了环签名和混淆地址的方式来保证匿名性，Dash通过CoinJoin的混币技术实现匿名需求，这些方案可实现隐藏交易地址、交易金额等信息，却导致交易信息无法追溯。

对于链上发行STO的Lava而言，过高的隐私性并不会符合监管需求，CA方案可将合规性与隐私性作出平衡，在保证交易内容隐私的前提下，提供交易数据可追溯的条件。

综上，CA方案是Lava慎重考虑过后采用的最优方案，链上发行STO相关的交易数据均满足以下特性：

所有的STO交易，包括涉及发行、所有权转移、兑付与赎回的交易，均全部记录在区块链上；

记录在区块链上的所有信息，不可撤回，不可篡改；

均永久可被第三方验证交易的有效性；

均可被第三方追溯UTXO，同时还可以保障交易内容的隐私。

—-

编译者/作者：庄崎

玩币族申明：玩币族作为开放的资讯翻译/分享平台，所提供的所有资讯仅代表作者个人观点，与玩币族平台立场无关，且不构成任何投资理财建议。文章版权归原作者所有。