All posts by ayu

以太坊扩容解决方案 Polygon 在23年6 月发布新提案，拟将原来的主链 Polygon PoS 升级为 zkEVM Validium，并在隔月提出迈向 2.0 的重大更新，提议将原生代币 MATIC 升级为 POL，以支援生态协议 Polygon PoS、Polygon Supernets 和 Polygon zkEVM。
7月18日傍晚，Polygon 官方正式在社交平台 X 上发文宣布，社群已经同意将 MATIC 升级为 POL 的提案，并定于 9 月 4 日正式在主网启动该升级。Polygon 官方补充表示，他们已在 7 月 17 日启动了测试网升级，以识别和修复潜在问题。

8月28日，官方X发布《POL Upgrade | Everything to Know》（POL 升级 | 您需要了解的一切）正式公布了升级相关细节。在上一轮牛市Polygon生态无论是从生态还是TOKEN价格来说，表现都可圈可点，然而在这一轮特殊的周期里面我并没有看到太多的亮眼的表现。

我们应该如何去看待 $MATIC 到 $POL的升级改名？137Labs 针对官方文档和AMA 对本次升级做了详细梳理，带您了解本次升级详情。

首先我们先从 Polygon 官方《迁移即将到来：Matic 将于 9 月 4 日迁移至 POL》AMA来了解。

发言人

Sandeep Nailwal – 联合创始人

Mihailo Bjelic – 联合创始人

Marc Boiron – Polygon Labs 首席执行官

David Silverman – Polygon Labs 产品副总裁

Paul Gebheim – 产品团队总监

Q1

迁移 MATIC 到 POL 有截止日期吗？ 

迁移 MATIC 到 POL 并没有固定的截止日期。迁移过程从去年 10 月开始，而 9 月 4 日的升级是这一过渡的重要步骤。在此日期之后，Polygon PoS 链上的所有 MATIC 将自动转换为 POL，无需用户干预。对于正在质押 MATIC 的用户，您可以继续质押，质押合约将处理过渡过程。如果选择直接质押 POL，您将受益于比迁移过程更低的燃气费用。请注意，尽管没有截止日期，但以太坊上的迁移会产生燃气费用，而 Polygon PoS 用户的升级将自动进行，没有额外费用。

Q2

为什么我的钱包在迁移后仍显示 MATIC 而不是 POL？ 

您的钱包可能仍显示 MATIC，因为需要更新代币名称。包装 MATIC 可能也会继续显示为 MATIC，直到升级完全处理。有些钱包可能会自动更新，但您可能需要手动调整。

Q3

POL 代币和迁移合约是否经过审计？ 

是的，POL 代币和迁移合约已经过彻底审计。HEXENS 和至少另外两个团队对迁移和代币合约进行了审计。此外，质押迁移和 PoS 原生代币升级也进行了两次审计。Polygon Labs 团队以及 Stader、Lido 和 Coinbase 等外部合作伙伴也为提升代码的安全性和可靠性做出了贡献。所有审计报告都可以在 Polygon 代币库中查看。

Q4

在 Polygon PoS 上的智能合约中（如流动性池）持有的 MATIC 会发生什么？ 

在智能合约中（包括流动性池）的 MATIC 将自动升级为 POL。如果您是流动性提供者，您的头寸（如 MATIC-ETH 交易对）将在第一天无缝切换到 POL，无需任何更改。该过程在各种层级上进行了全面测试，确保您的 LP 头寸继续正常运作。如果 MATIC 仍在应用程序 UI 中显示，请联系开发者以获取更新。

Q5

Polygon PoS 上现有的 dApps 或协议在迁移过程中会发生什么？ 

迁移设计为无缝进行，对现有 dApps 或协议的影响最小。大多数应用程序不需要任何更改，但少数可能会在 9 月底进行小的实用修复。一些 DAO 可能会提议更新，例如将预言机从 MATIC 切换到 POL。总体来说，合约的影响最小，但最好还是与您的交易所或开发团队确认具体细节。

Q6

如果我在中心化交易所持有 MATIC（包括质押的 MATIC），该怎么做？迁移将如何进行？ 

如果您在中心化交易所持有或质押 MATIC，请遵循交易所提供的具体指导。每个交易所可能会以不同的方式处理 MATIC 到 POL 的迁移，因此必须按照他们的指示操作。一些交易所，如 Kraken，已经开始分享常见问题解答和指南。记住，迁移并不紧急，慢慢了解过程，并小心任何可能诈骗手法。最好的方法是保持信息更新，遵循交易所的指示以确保顺利过渡。

Q7

在迁移过程中，Wrapped MATIC (wMATIC) 会发生什么？用户是否需要对 Polygon POS 上的其他 ERC20 代币进行操作？ 

Polygon POS 上的 Wrapped MATIC (wMATIC) 类似于以太坊上的 Wrapped ETH，作为本地 MATIC 代币的 ERC20 表示。在迁移过程中，wMATIC 也会转换为 POL，但链上的数据仍将称为 wMATIC，直到硬分叉更新包装合约。这个变化会在稍后进行，因此用户应预计名称将在硬分叉后更新为 wPOL。至于 Polygon POS 上的其他 ERC20 代币，迁移不会影响它们，所有应用程序应继续正常运作。

Q8

如果我在迁移之前或之后将 MATIC 转移到 Polygon POS，会发生什么？

如果你在迁移之前将 MATIC 转移到 Polygon POS，它将在迁移过程中自动转换为 POL。在迁移之后，如果你将 MATIC 转移到 POS，它也会在 POS 侧转换为 POL。无论何时进行转移，你最终都会在 POS 侧得到 POL。如果你以后决定提取 POL，你会收到 POL，但你可以使用迁移合约将其转换回 MATIC（如有需要）。这种设置确保了整个过程中平稳的向后兼容性。

Q9

我的 stMATIC 代币在 DeFi 平台上会自动迁移到 POS 吗？

你的 stMATIC 代币仍然代表你质押的 MATIC，由于质押过渡是完全向后兼容的，预计不会有重大变化。stMATIC 的名称和代码将保持不变，并且它将代表在 Lido 系统中质押的 MATIC 和 POL 的合并余额。实际上，对于 stMATIC 持有者来说，什么都不会改变——你可以继续质押和使用该代币。如果你有任何疑虑，最好联系 Lido on Polygon 团队以获取具体细节。

Q10

如果我在其他 Layer 2（如 zkEVM、Arbitrum 或 Optimism）上持有 MATIC，会发生什么？我应该采取什么步骤？ 

如果您发现自己在其他 Layer 2 上持有 MATIC，您有几个选项：

流动性池：可能会在该 Layer 2 链上设置流动性池，您可以将 MATIC 兑换为 POL 或其他资产。这些池通常在无许可的去中心化交易所上设置。

移动到 Layer 1：您可以将 MATIC 从 Layer 2 转移到 Layer 1，使用迁移合约将其转换为 POL，然后决定是否将其重新转移到 Layer 2 或在 Polygon POS 或 zkEVM 上探索其他选项。

如果您使用其他 Layer 2：请确保其安全且提供所需的灵活性。始终在风险自负的情况下使用其他 Layer 2！

Q11

社区如何参与 POL 的治理，POL 在生态系统中可能会扮演哪些未来角色？POL 代币在 Polygon 的治理和生态系统中扮演重要角色，提供了几种社区参与的方式？

治理参与：

Polygon 改进提案（PIPs）：任何人都可以提交 PIPs 提出对网络的更改或改进。这一过程对于 Polygon 生态系统的发展至关重要，包括有关 POL 本身的提案。

治理电话会议：社区可以参加 Polygon Protocol Governance (PPG) 会议，讨论并提供对拟议更改的反馈。这是任何对治理过程感兴趣的人参与的机会。

协议委员会：

委员会选举：协议委员会是一个由社区选举产生的团队，执行协议升级。目前正在讨论如何使用 POL 选举委员会成员，并在必要时引入紧急措施。

社区财政：

财政管理：POL 参与管理社区财政，这是一个自我维持的基金，支持 Polygon 生态系统的各个部分。未来可能会使用 POL 进行信号传递或选举社区财政委员会成员。

总体来说，POL 增强了社区在治理中的参与，并确保决策由社区驱动，建立了多种机制将 POL 融入生态系统的治理和未来发展中。

以上是官方对本次升级进行的 AMA 问答，接下来我们从官方发布《POL Upgrade | Everything to Know》（POL 升级 | 您需要了解的一切）来深入的了解本次升级。

即将于 9 月 4 日进行的 MATIC 迁移至 POL 标志着 Polygon 生态系统的一次重要演变，体现了其更广泛和雄心勃勃的愿景。最初以 Matic Network 亮相，Polygon 发展成为一个多层面的生态系统，以其广受欢迎的 PoS 链著称。这次迁移是自 2020 年 Matic 品牌重塑为 Polygon 以来的最终步骤，旨在将网络代币与其扩展的多链架构对齐。

Polygon 从单链网络演变为全面的多链基础设施，是因为意识到单一链无法支撑全球 Web3 采纳所需的长期增长。品牌重塑为 Polygon 象征着向区块链互联网的转变，推动了一个更加可扩展和互联的生态系统。然而，原有的 MATIC 代币并未完全反映 Polygon 网络的扩展愿景。即将到来的 POL 迁移是这一演变的高潮，代表了 Polygon 多链路线图的最终实施及其支持去中心化、社区驱动网络的承诺。

POL 不仅将提升 Polygon 生态系统的技术能力，还将通过去中心化决策过程赋能社区，特别是在资助和网络增长倡议方面。通过 POL，社区将在推动生态系统增长方面发挥更大作用，受益于 MATIC 时期无法实现的发行机制。这次迁移还将多样化 POL 的使用场景，使其能够支持 Polygon 生态系统内的各种网络，从 PoS 链到 AggLayer 和 zkEVM 链，减少对单一网络的依赖，为 Polygon 生态系统的持续扩展和创新铺平道路。

POL 的代币经济学

1. 从生产性代币到超生产性代币

从 Bitcoin 的 $BTC（主要是非生产性资产）到 Ethereum 的 $ETH（生产性代币），这一演变展示了原生代币如何提升协议功能并激励参与者。Polygon 的 POL 代表了这一进化的下一步，引入了超生产性代币的概念。POL 通过以下两项关键创新增强了网络中验证者的效用和角色：

多链验证：验证者现在可以参与并保护多个 Polygon 链，扩展了其操作范围和潜在奖励。

多重角色：在每条链内，验证者可以执行各种角色，如零知识证明生成和参与数据可用性委员会（DAC），每个角色都提供不同的激励。

2. 主要优势

POL 为 Polygon 生态系统引入了几个显著的优势：

生态系统安全：通过激励大量去中心化的 PoS 验证者，POL 提升了每条 Polygon 链的安全性和中立性，鼓励验证者保护尽可能多的链。

无限扩展性：POL 支持 Polygon 生态系统的指数级增长，使其能够在新增链的同时高效且安全地扩展。

生态系统支持：POL 通过可持续的协议机制促进网络的持续支持，包括开发、研究、资助和采纳激励。

避免用户摩擦：POL 的设计最小化了摩擦，避免了用户和开发者需要持有或质押代币来访问网络，从而改善了整体用户体验。

社区所有权：POL 允许社区治理，体现了 Polygon 对去中心化的承诺，并支持社区主导的决策过程。

POL 的效用与激励机制

从 MATIC 到 POL 的过渡不仅是一个简单的代币升级——它是一项战略性演变，旨在为 Polygon 的长期成功和可持续发展奠定基础。POL 旨在成为驱动 Polygon 网络的自我维持引擎，支持其成为互联网价值层的使命。以下是 POL 如何通过其效用和发行模型推动 Polygon 的增长和创新。

验证者激励

POL 的一个关键效用是其在激励验证者方面的作用。验证者是 Polygon 网络的支柱，确保其安全性和可扩展性。POL 的发行模型将部分 POL 分配给验证者，以下是 POL 如何通过其效用和发行模型推动 Polygon 的增长和创新：

激励安全性：大部分 POL 发行量被指定为验证者的质押奖励。这确保了验证者始终有动力参与并保护网络，从而维护其弹性和完整性。

支持可扩展性：通过稳定的奖励供应，验证者池可以有效地增长，以支持不断增加的链和交易数量。这种可扩展性对于维护 Polygon 的性能和可靠性至关重要。

社区财政库

社区财政库由 POL 发行量中的另一部分资助，作为 Polygon 生态系统的指挥中心。该基金由社区财政库委员会管理，支持多个关键功能：

生态系统发展：财政库分配资源用于协议开发、研究、资助和采纳举措。这确保了网络在面对新挑战和机会时能够持续支持其演变和适应。

可持续增长：通过持续资助开发和创新，社区财政库帮助 Polygon 保持在区块链技术的前沿。这种持续投资支持了网络的长期增长和适应能力。

持续创新资金

POL 的发行模型提供了稳定的资金流，推动 Polygon 的创新和增长：

研究与开发：社区财政库资助新项目和研究，推动区块链技术的边界，确保 Polygon 始终保持领先。

资助与激励：通过提供资助和激励，财政库吸引新的开发者和项目，培育充满活力的创新生态系统。

网络安全与稳定性增强

POL 的发行模型还对网络的安全性和稳定性做出了贡献：

可靠的验证者激励：有了保证的奖励，验证者更可能长期承诺于网络。这种稳定性在 Polygon 扩展和处理日益增加的交易量时至关重要。

去中心化：良好激励的验证者池促进了去中心化，维护了网络的弹性和信誉。

灵活性与社区治理

发行模型包含灵活性和社区治理：

可调整的发行率：社区可以通过治理机制调整发行率。这种灵活性使 Polygon 能够适应不断变化的需求，保持其效率。

社区参与：通过让社区参与决策，网络与用户的优先事项对齐，培养了归属感和参与感。

长远愿景

POL 的发行模型支持 Polygon 的长期愿景

可持续生态系统：持续的资金确保了安全性和开发等关键领域得到充分支持，保持 Polygon 在未来多年的竞争优势。

主流采用：通过确保安全性、可扩展性和创新，模型将 Polygon 定位为一个准备支持多种应用和用例的领先平台。

年度发行模型不仅仅是一个策略；它是 Polygon 聚合区块链网络的命脉。通过为验证者奖励和社区财政库提供持续的资金支持，POL 确保了 Polygon 的安全性、创新性和弹性。这种模型像一个不断补充的能源源泉，驱动着网络的增长和适应能力，并为未来的挑战和机会做好准备。

如何从 MATIC 迁移到 POL？

自动迁移：对于 Polygon PoS 上的 MATIC 持有者，无需采取任何行动。您的 MATIC 代币将在 9 月 4 日自动转换为 POL。所有流动性池、DeFi 应用和 NFT 将无缝过渡到 POL，确保您能够顺利体验，无需任何操作。

手动迁移：如果您在以太坊上持有 MATIC，请使用 Polygon Portal 中的迁移链接，从 MATIC 升级到 POL。只需按照提供的说明完成迁移过程即可。

CEX 迁移：中心化交易所将按照各自的流程处理 MATIC 到 POL 的升级。请查看您交易所的官方通知，获取有关迁移的具体细节。

结 语

9 月 4 日的 MATIC 到 POL 迁移标志着 Polygon 生态系统发展的一个关键里程碑。这次过渡代表了 Polygon 实现其成为全面多链网络愿景的最终步骤。Polygon 从单链到多链架构的旅程现在即将通过引入 POL 完成，这是一种旨在与网络扩展能力和雄心相匹配的代币。

向 POL 的转变不仅仅是代币升级；它是一个战略性的演变，提升了 Polygon 的技术能力，并使决策过程去中心化。借助 POL，验证者将获得新的激励和角色，支持整个网络的安全性和可扩展性。这个高效的代币模型将使 Polygon 能够无限扩展，支持多样化的使用场景，并推动社区驱动的治理。

POL 的效用不仅仅在于其作为代币的角色；它通过为验证者提供激励、设立用于发展和创新的社区财政以及促进社区参与的治理模型来推动生态系统的增长。迁移过程旨在无缝进行，Polygon PoS 上的 MATIC 持有者将自动升级，而以太坊或中心化交易所上的用户将获得明确的迁移指南。

总体而言，POL 将推动 Polygon 实现其成为互联网价值层的长期愿景。这次迁移代表了一个重要的进步，确保 Polygon 在区块链创新的前沿，同时促进去中心化和社区驱动的网络。
值得注意的是 $MATIC 早在去年 6 月中就曾面临美国 SEC 的监管重拳，被 SEC 多次归类为证券，导致当时价格崩跌。虽然官方做出回应表示 Polygon 在美国境外开发和部署，但 MATIC 升级为 POL 后，能否逃避美国监管机构的压力，仍是未知数。

此次升级能否带来 Polygon 生态的再次火热，重燃市场对于其生态的激情，$POL 的表现是否能够亮眼还需要官方更多的努力。您对 Polygon 代币改名后会有什么新的期待？$POL会有什么新机会？ 

9月3日，人民法院报发文《虚拟货币司法处置须规范化》，文中指出，虚拟货币司法处置的规范化对维护金融稳定和促进市场健康发展至关重要。据 SAFEIS 安全研究院统计，2023 年中国打击涉虚拟货币犯罪案件总量为 428 件，较 2022 年减少 88.9%，但涉案金额陡增至4307.19 亿元人民币，约为 2022年的12.36倍。

文章强调，当前虚拟货币处置面临权属认定、价值评估和合法变现等多重挑战。为应对这些问题，建议尽快出台全面的虚拟货币司法处置指导意见，明确其法律地位、合规要求、资产处置程序和法律责任。

同时，文章呼吁加强国际合作，共同应对虚拟货币带来的全球性挑战，为数字经济和数字金融的发展奠定法治基础。

在当前的司法实践中，虚拟货币处置已经成为一个备受关注的焦点问题。根据零壹财经发布的《2022年中国虚拟货币司法处置报告》显示，截至2022年底，中国司法机关有待处置的虚拟货币总量达到了惊人的数值，涉及比特币（BTC）、以太坊（ETH）、泰达币（USDT）等多种主流虚拟货币，总价值估计超过数十亿美元。另据SAFEIS安全研究院统计，我国2023年已打击涉虚拟货币犯罪案件总量428件，较2022年减少了88.9%，但整体涉案金额陡增至4307.19亿元人民币，约是2022年的12.36倍，虚拟货币已逐渐成为我国主要的刑事涉案虚拟财物之一。这些数据仅涵盖了已知的、正式进入司法程序的虚拟货币，实际数量可能更为庞大，因为许多案件仍在调查阶段，尚未完全统计。

涉案虚拟货币的司法处置是目前司法机关颇为棘手的现实难题。一方面，2017年《关于防范代币发行融资风险的公告》与2021年《关于进一步防范和处置虚拟货币交易炒作风险的通知》的相继发布，进一步明确了对虚拟货币交易的严格限制。政策的调整不仅重塑了虚拟货币的法律定位，将其从潜在的货币替代选项转变为非法金融活动的焦点，同时也对司法实践产生了深远影响，尤其是在虚拟货币性质的法律认定及其司法处置流程上，提出了全新的挑战与要求。另一方面，司法机关又对虚拟货币存在现实的处置需求，在集资诈骗、电信网络诈骗、开设赌场、组织、领导传销活动、洗钱等相关案件中，司法机关需要把扣押的虚拟货币变现，以实现认定犯罪金额或上缴国库等目的。此外，还包括在民事案件中作为财产保全对象的虚拟货币，以及在行政违法活动中被没收的部分。由于传统的处置方式如拍卖、变卖等因违反现行法规而难以实施，导致大量虚拟货币被封存，无法转化为流动资金，影响经济活动的正常运行，因而，当前对虚拟货币司法处置的法律规制迫在眉睫。

面对虚拟货币的司法处置，公安机关进行了积极探索，如山东省和福建省分别提出了不同处置方法，包括与发行方协商回收、拍卖优先，以及委托第三方机构处置等。然而，这些尝试在操作层面还是面临合规性、监管空白与风险控制等问题的挑战。现行处置方式，无论是通过第三方公司交易还是转委托境外公司变现，均存在合规性风险，包括但不限于职务犯罪、违反禁止虚拟货币炒作政策、外汇管理规定等。尽管公安机关尝试多种处置方法，但因缺乏统一标准，各地执行差异较大，且部分处置方法如境内OTC交易已被减少使用。

虚拟货币司法处置中通常面临以下法律问题：首先是权属认定的问题。在证据收集方面，司法机关面临的主要难题是如何在虚拟货币的匿名交易环境中，准确追踪和确认权属。为此，他们需要依赖一系列复杂的取证手段，包括对从虚拟货币交易所获取的交易记录、智能合约代码的分析，以及IP地址和地理位置数据的追踪，这些都构成了构建虚拟货币案件完整证据链的基础。此外，专家证言在解释区块链技术和虚拟货币交易的复杂性方面也起到了关键作用，帮助法庭理解和评估虚拟货币的权属与价值。虚拟货币的权属认定面临匿名性与去中心化的双重挑战，其所有权基于私钥控制而非传统的实名制账户或第三方登记，这给司法实践中权属确认带来了巨大难度。司法机关需构建多元化的证据链，包括电子数据、交易记录、网络日志、证人证言等，以确保证据链的完整性与可靠性，同时借助第三方机构的专业技术手段，确保私钥的真实性和合法性，强化保密与安全措施，以维护司法程序的公正性与虚拟货币的安全性。

其次是虚拟货币价值评估的问题。市场波动性与评估时点选择对虚拟货币的价值评估至关重要。虚拟货币价格受多种因素影响，评估时点的选择直接影响其价值，如何确定评估时点以反映虚拟货币的真实价值，成为一大难题。评估标准的确定与数据真实性直接关系到虚拟货币的估值。不同交易平台存在价差，选择合适的评估标准至关重要。同时，如何防止评估过程中的利益冲突和数据操纵，确保评估结果的真实可信，亦是司法机关面临的重要挑战。司法机关需加强动态评估策略，结合市场分析与案件进展适时调整评估时点，同时利用多平台数据整合与专业评估机构的服务，确保评估结果的客观性与公正性，增强评估过程的透明度，接受多方监督，以保障评估过程的公平性和结果的接受度。

再次是虚拟货币合法变现的问题。在变现时机的把握与市场风险方面，虚拟货币价格波动，选择最佳变现时机以最大化价值回收，成为司法机关的一大挑战。同时，如何在合法渠道与高效交易之间寻找平衡点，确保变现过程符合法律法规，亦是难题。在资金分配与归属的明确与复杂性方面，应合理分配变现所得，确保各利益相关方的权益得到妥善处理，涉及法律、经济与社会多方面考量，其复杂性不容小觑。虚拟货币的合法变现涉及变现时机的选择与市场风险的把控，司法机关需审慎选择最佳变现时机，建立健全风险管理机制，同时确保变现过程的合规性与安全性，通过选择国内外知名交易平台或司法拍卖平台，建立健全合规审查机制，确保所有操作符合法律法规要求，实现资金分配的透明与公正，保障所有利益相关方的合法权益，维护国家的金融秩序与社会公益。

涉案虚拟货币司法处置之所以出现两难困境是因为在认识上否认虚拟货币财产属性的同时，在涉案财物处理过程中又无法回避虚拟货币呈现出的财产价值。针对虚拟货币处置的复杂性与挑战，我国司法实践须尽快出台一套全面的虚拟货币司法处置指导意见，为这一新兴领域提供明确的法律依据与操作规范。这一指导意见应覆盖虚拟货币的法律地位、合规要求、资产处置程序、法律责任等多个维度，以构建一个更加公平、透明、安全的市场环境，促进虚拟货币行业的健康发展。

明确虚拟货币的法律地位是构建合规框架的基石。指导意见应界定不同类型虚拟货币的属性，如加密货币、稳定币、功能性代币等，明确其在法律体系中的位置，是否被视为财产、商品或是其他形式的资产。同时，确立虚拟货币的合规要求，包括注册备案、信息披露、反洗钱与反恐怖融资措施等，确保市场参与者的经营活动合法合规。

资产处置程序的规范是确保虚拟货币司法处置顺利进行的关键。指导意见应详细规定虚拟货币的冻结、查封、扣押、拍卖、变卖等环节的法律程序，明确司法机关、金融机构与第三方机构在处置过程中的职责与权限。同时，界定违反规定的法律责任，包括行政处罚、刑事责任等，形成有力的法律威慑，保障处置活动的公正性与合法性。

保障当事人权益是构建公平市场环境的核心。指导意见应确保在虚拟货币处置过程中，当事人的知情权、参与权与救济权得到充分尊重，处置过程的每一个步骤都应公开透明，接受社会监督。此外，规范第三方机构的选择与监管，通过公开招标或竞争性谈判等方式，确保第三方机构的专业性与公正性，避免暗箱操作与利益冲突。

为了提升虚拟货币处置的透明度与安全性，指导意见还应强调过程留痕与强化监管的重要性。第三方机构在处置虚拟货币时，需全程记录操作细节，确保每一个步骤都有据可查，便于后续审计与复核。同时，建立健全跨部门监管机制，包括司法机关、金融监管机构等，对处置过程进行全程监控，及时发现并纠正违规行为，维护市场秩序。

虚拟货币的跨境特性决定了其监管与处置需要国际合作。我国应积极参与国际规则的制定，与各国监管机构分享经验，协调政策，共同打击跨国虚拟货币犯罪，防范金融风险。同时，构建一个充满活力又安全可控的虚拟货币司法处置生态系统，不仅有利于促进数字经济的健康发展，也为全球虚拟货币治理贡献中国智慧。

综上所述，虚拟货币司法处置的合规路径探索与优化，对于维护金融稳定、促进市场健康发展具有重要意义。虚拟货币的监管与司法处置是一项系统工程，需要立法、司法与监管机构的协同努力，以及国际合作。虚拟货币的司法处置问题不仅考验着各国法律体系的适应能力和创新意识，也对全球监管合作提出了更高要求。面对这一新兴领域的挑战，如何在维护金融安全与促进科技创新之间找到平衡，成为全球范围内亟待解答的关键课题。面对虚拟货币带来的机遇与挑战，我国应继续秉持审慎原则，通过出台全面的指导意见，为虚拟货币司法处置提供明确的法律框架，构建一个健康、透明、高效的金融市场环境，为数字经济和数字金融的繁荣发展奠定坚实的法治基础。

作者：yyy 来源：X，@y_cryptoanalyst

聊一聊这两天传得沸沸扬扬的 @cosmoshub 和 @osmosiszone 的合并

那么究竟是Osmosis拯救了Hub还是Osmosis毁灭了Hub呢？这两个社区的支持者争得面红耳赤，谁也无法说服另一方。

一、合并提案概要

@cosmoshub 和 @osmosiszone 合并为统一区块链生态系统。Cosmos Hub作为Cosmos生态的安全中心，Osmosis作为Cosmos生态最大的AMM Dex。合并可以整合各自的优势，优化资源配置。

提案流程：

1. 在 @cosmoshub 上发起一个扩展提案。

2. 在 @osmosiszone 上发起一个接受提案。即双边提案都要通过才有效。

换币细节：

通过智能合约实现，存入 $OSMO，得到 $ATOM。换币价格固定，按12个月的平均值 + x% 溢价（具体的溢价比例还在讨论）；转换期为3个月。

合并机制：

• 第1阶段： Osmosis作为无原生代币的 $ATOM 消费链（ICS Chain）。Osmosis作为Cosmos生态AMM Dex的核心定位不变， $ATOM 作为唯一的质押代币和治理代币。

• 第2阶段： 将Cosmos Hub和Osmosis链的状态合并为一个，即双链变成单链。

二、社区讨论

合并草案一经发出，在Cosmos社区掀起轩然大波，支持者和反对者观点针锋相对。

支持者认为：

1. 合并有利于资源整合，扩大在Cosmos生态的整体影响力。

2. 合并有利于引入BTC流动性（Osmosis创始人 @sunnya97 的观点，他指出带来的效果类似于 @THORChain 的产品RunePool）。

反对者认为：

1. 已经有过前车之鉴，没必要重蹈覆辙。Cosmos Hub上之前有过Gravity Dex，但由于种种原因下线了，Osmosis不应该走上Gravity Dex的这条老路。

2. Osmosis质押者的治理权限被极大削弱。$OSMO的全流通市值为4亿美元，仅为$ATOM流通市值的1/5，转换将极大削弱原$OSMO质押者的治理权限。

3. 潜在的来自ICF和AiB的抛压 + 从有硬顶的token变成无限通胀的token。

我的想法：

我保持中立吧。

Cosmos Hub和Osmosis的合并并不是传统意义上的并购，并不动用社区池的资金进行回购，而是直接在Hub上新增等值4亿美元 $ATOM 流动性（对应在Osmosis链上销毁4亿美元的所有 $OSMO）；此外，在转换比例上要给Osmosis持有者一定的溢价。如果按照草案提出的50%溢价，相当于 $ATOM 凭空增加了6亿美元市值。

权衡点： 合并引发的ATOM稀释带来的负面效应和合并带来的功能完善、资源整合、空投预期等一系列正向效应需要进行权衡。

花光100亿美元的OpenAI，又双叒开始融资了！

8月30日，CNBC和《华尔街日报》双重报道称，OpenAI正在筹划新一轮数十亿的融资，本轮融资将由美国Thrive Capital领投10亿美元，其对OpenAI的估值跃升至1000亿美元以上。

目前，新一轮押注已经开始。除了Thrive Capital之外，微软、英伟达、苹果都开始蠢蠢欲动。

不到两年，烧光100亿美元

不得不说，OpenAI的“烧钱”速度真是快。

上一轮OpenAI融资记录还是在2023年1月，微软投资约100亿美元，也是至今为止AI领域最大的一笔融资记录。

2023年1月到2024年9月，20个月的时间，OpenAI用100亿美元换来了超过1000亿美元的估值，以及突破2亿的ChatGPT用户（截止2024年中期）。

如果把时间线放长，在成为AI世界的领头羊之前，OpenAI在十年时间里，一共经历了7轮融资，包括种子前融资、种子轮融资、二级市场融资和企业融资，总募集资金超过200亿美元，是名副其实的“吞金巨兽”。

2015年，刚刚成立的OpenAI，就获得了不少资本大佬的青睐，尤其是现任世界首富埃隆·马斯克。

在2015年6月，由马斯克为首，风险投资家彼得·蒂尔（Peter Thiel）、里德·霍夫曼（Reid Hoffman）、YCombinator创始合伙人杰西卡·利文斯顿（jessica Livingston）、咨询公司Infosys、公共云市场领导者Amazon Web Services、YC Research、山姆·奥特曼（Sam Altman）向OpenAI融资10亿。

虽然开了个好头，但在2015-2018的三年内，OpenAI的发展陷入瓶颈期，同时又因为自身属于非营利组织，在商业化的进程上非常不符合马斯克的计划。

最终导致马斯克与OpenAI决裂，2018年2月20日宣布离开OpenAI。

马斯克和山姆·奥特曼

在2019年之前，OpenAI对融资的态度颇为谨慎，但随着马斯克的离开，以及AI大模型正处于GPT-2迈向GPT-3的关键阶段，OpenAI开始对融资保持相对开放的态度。

2019年OpenAI连续拿到三次融资，分别由Khosla Ventures、Reid Hoffman Foundation、Matthew Brown、微软投资。

其中，微软作为日后最大金主，在2019年7月投资了10亿美元。

为了获取大规模投资完成GPT大模型的搭建，OpenAI从非营利性企业转变为具有利润上限的营利实体OpenAI LP。在新的公司结构下，OpenAI吸引了大波风头机构。

2021年1月，OpenAI拿到老虎全球管理、Bedrock Capital、Andreessen Horowitz投资，具体金额不明。

2021年和2023年1月，微软分别投资了20亿美元和100亿美元。

2023年4月，OpenAI继续拿到了红杉资本、Thrive Capital等机构的3亿美元融资。

在近200亿融资的供养下，OpenAI逐渐诞生出ChatGPT 4.0，开启了AI新时代。

如果说，谁才是OpenAI和ChatGPT的最大功臣？答案并不是CEO山姆·奥特曼，而是微软。

山姆奥特曼和萨提亚·纳德拉

在过去五年的时间里，OpenAI从微软手里拿到了三笔融资，总计120亿美元。OpenAI 80%的资金来源，都来自于微软。

不仅是投资，微软为OpenAI提供了很多资源。例如，OpenAI所有技术都运行在微软Azure云服务器上，微软则为OpenAI搭建了大模型算力中心。

微软还将OpenAI整合到Windows体系，从Bing搜索、Microsoft 365办公软件，再到GitHub编码工具、营销软件，都在使用OpenAI构建AI服务体系。

可以说，微软不但是OpenAI的第一投资人，还是它的第一忠实用户。

但是，作为OpenAI背后最大的金主，微软却在OpenAI新一轮融资既不是领头机构，也没有确定跟投，这就有些耐人寻味了。

OpenAI的“新金主”

OpenAI本次融资的领头机构是Thrive Capital，可以说是OpenAI的新任金主。

据公开资料显示，Thrive Capital的创始人是约书亚·库什纳 (Joshua Kushner），是一名85后新生代投资人，也是美国“老钱家族”的一员。

而约书亚·库什纳的哥哥贾里德·库什纳（Jared Kushner）名气更大，是美国前总统唐纳德·特朗普的女婿、伊万卡·特朗普的丈夫。

Thrive Capital最辉煌的成绩，莫过于在2012年参与了Instagram的B轮融资，并在Facebook宣布10亿美元收购Instagram后，拿下了100%的回报率。

约书亚·库什纳和OpenAI CEO山姆·奥特曼私交甚笃，是OpenAI最著名的支持者之一，一直尝试投资OpenAI。

在2023年，Thrive Capital领投了OpenAI的新一轮融资，红杉资本、a16z、K2等机构跟投。该轮融资中，Thrive Capital投资了近1.3亿美元，当时OpenAI估值270亿美元。

不仅仅参与投资，Thrive Capital还深入介入了OpenAI公司内部问题。

在山姆·奥特曼因为公司内斗，在2023年底被董事会解雇之时，约书亚·库什纳就是山姆·奥特曼最大支持者。在五天时间内，约书亚·库什纳在董事会发挥积极作用，直到山姆·奥特曼回归。

山姆·奥特曼对约书亚·库什纳和Thrive Capital非常信任，甚至在社交平台上，公开“吹捧”：“我有幸与许多优秀的投资者合作过，但我最想推荐的人莫过于乔希（约书亚·库什纳）。”

为了增加自己的回报率，约书亚·库什纳在提升OpenAI估值这件事上非常努力。

在今年4月，Thrive Capital曾主导过一次OpenAI前员工股权出售。当时Thrive Capital对OpenAI的估值就从270亿美元提升至860亿美元。

等到OpenAI本次新一轮的融资，Thrive Capital更是为OpenAI估值1000亿美元，甚至还在华尔街散布OpenAI估值可能触及1250亿美元高点的传言。

不得不说，除了马斯克之外，OpenAI每一任金主，都是良人。

OpenAI或许要IPO？

金主虽多，但奈何ChatGPT太过于烧钱。

在拿到微软100亿美元的融资之时，外界推测这笔钱能让OpenAI支持2-3年的时间。结果却仅仅只用了20个月，便在竞争越发激烈的AI世界里弹尽粮绝。

目前，OpenAI目前正在开发下一代型号GPT-5，成本只会比GPT-4和GPT-4o更高。

融资只能解燃眉之急，但是并不解渴，想要拿到更多的钱，最好的选择就是IPO。

今年6月，美国媒体报道，山姆·奥特曼已告诉部分股东，OpenAI正在考虑将其治理结构转变为一家营利性企业，OpenAI的非营利董事会无法控制该企业。

而转型为营利性企业，OpenAI就能凭借自身过1000亿的估值敲开IPO的大门。

这并不是空穴来风的谣言，就在6月，OpenAI招募到了重量级财务专家萨拉·弗莱尔（Sarah Friar）担任其首席财务官。

萨拉·弗莱尔曾两次带领公司完成IPO，第一次是Square，第二次Nextdoor。

作为“IPO专家”，萨拉·弗莱尔的加入无疑为OpenAI的上市筹备工作注入了强心针。面对审计、财务预测及治理结构变革等繁重任务，她无疑是推动OpenAI迈向上市目标的理想人选。

在这个大背景下，这一次的OpenAI新一轮融资，很可能将会是它最后一次融资。

原作者：Ansgar Dietrich ，Casparschwa，以太坊基金会

本文来自于Ansgar Dietrichs和Casparschwa在eth research论坛上针对以太坊质押机制与ETH增发模型的讨论。极客Web3对此进行了整理和删改。这些观点在2024年2月提出，部分数据可能存在偏差，但其关于以太坊质押经济模型的分析仍值得参考，且其中部分结论仍未过时。

正文：目前以太坊上质押的ETH已达3000万枚，占总量的1/4（这是今年2月的数据）这个比例相当可观，而且还在上升，没有任何放缓迹象。下图显示了ETH质押量随时间的变化，可以明显看出呈持续增长趋势，而这种趋势会长期持续下去。

未来，ETH的新增质押中将有很大部分受LST（流动性质押代币）影响，如stETH等。这会让LST的使用率和货币属性逐渐增强，但这可能带来负面效应。

首先，LST具备网络效应，规模较大的LST项目会蚕食该赛道中所有的流动性，最终形成赢家通吃，这会加剧LST赛道的竞争格局。此外，如果LST超越ETH，成为以太坊上除Gas Token的主流货币，届时用户将面临LST带来的对手方风险。以太坊上的货币应尽可能免信任，才能真正实现经济上的可扩展性。

（“对手方风险”指对方可能违约/无法履行义务。LST场景中“对手方风险”主要包括用户资产被盗、LST价格滑点、贬值）

目前，ETH质押没有硬性的上限规定，理论上所有ETH都可被质押以获得收益。而LST显著改变了质押的成本结构，几乎所有的ETH都可能被质押。因此我们认为，以太坊的经济模型与质押模式应当包含动态的调节政策，让质押比例在一定范围内调整，这样一来以太坊就能在可控的成本规模下确保安全，避免负外部性的产生。

在本文中，我们针对以太坊的经济模型提出了一些亟需解决的问题。

ETH代币发行策略的现状与未来趋势

在展开讨论前，我们先探讨当前的ETH代币发行政策下，哪些长期的质押模式是可行的。以太坊的安全依赖于一定比例的代币质押，可以概括为POS以太坊本身有“吸引质押的需求”。而对质押的需求在以太坊的货币政策中有明确规定，根据实际的质押权重，协议会相应调整ETH增发量，提高单个节点的质押奖励。

然而，ETH持有者的质押意愿是多样且复杂的，我们只能基于现有信息进行合理推测，粗略估计质押意愿变化对质押者参与情况的长期影响。

ETH质押的供需关系曲线：用增发的ETH换取安全保障

Validator节点质押ETH会让协议获得安全保障，协议再向ETH质押者分发代币奖励，这是一个双赢机制。（限于篇幅，本文对“安全性需要达到什么程度”等具体问题不加讨论，想要了解详情可以参考文章Paths toward single-slot finality）而Validator的收益主要来自两部分：

第一部分：协议根据固定的收益曲线发放的奖励；（就是以太坊每年通过增发ETH，分配给质押参与者的奖励）

第二部分：Validator在出块过程中获得的MEV收益。

（本图横轴为ETH的质押参与度，纵轴为质押收益率，描述了以太坊协议为满足不同的质押率，所愿意提供的质押收益 我们可以将以太坊协议视为买家 质押者视为卖家）

注：要理解下面的内容，可能需要读者对经济学中的供需关系曲线有简单的认知。

ETH增发收益曲线（绿色实线）：从该曲线中可以看出，随着质押者增加，以太坊提供给单个节点的质押奖励将逐步减少。ETH质押参与度较低时，系统需要更多奖励验证者，以鼓励更多人质押ETH；当越来越多人参与质押时，单个验证者对网络安全的边际贡献会降低，对质押奖励的需求也随之减少。

总质押收益曲线（绿色虚线）：ETH的固定增发收益加上MEV收益，构成了质押者的总质押收益。这里要注意，MEV收益率的计算方式为：MEV收益总量（去年约为30万个ETH）除以被质押的ETH总量。

由于MEV收益总量基本是固定的，所以随着验证者增多，MEV收益率会快速下降，最终使得质押收益率趋近于单纯的ETH增发率。值得注意的是，以太坊的MEV收益在过去一段时间内相当稳定（参考MEV-Boost Dashboard），虽然这在未来可能变化，但为了简化我们的讨论场景，暂时将其视为固定不变的。

从上述曲线中，我们可以读到两条关键信息：

• 为了避免质押参与度过低，以太坊在质押参与度较低时设置了高回报来吸引更多质押者。

• 每个质押者的边际效用递减，即随着质押参与度增加，ETH代币的增发率逐渐减少。

然而，上述质押收益率曲线未能理想的调节质押参与度。首先，该曲线无法有效限制质押比例的阈值，即使所有的ETH都被质押，质押激励仍会保持在约2%左右。换句话说，在激励设计层面，以太坊没有对最终实现的质押比例进行精准控制。总体而言，除了在初始阶段通过高激励来确保系统有最低的安全保障外，协议没有引导质押水平达到某个具体范围。

需要注意，上面提到的只是名义收益，未考虑增发ETH本身带来的稀释效应。随着更多ETH被增发，稀释效应将愈发显著。对此我们暂时忽略稀释效应的影响，放到后文详细讨论。

ETH质押的供给侧分析

上文讨论了质押的需求曲线，也就是以太坊协议为满足不同的质押比例，所愿意提供的质押收益。现在我们将目光转向供给曲线。质押供给曲线展示了ETH持有者在不同收益率下的质押意愿，揭示了不同质押参与度所需的条件。

一般情况下，该曲线会呈右上倾斜，这意味着网络要达到更高的质押参与度，需要更高的激励。然而，由于质押意愿无法被直接观测或准确测量，供给曲线的形状无法具体描绘，我们只能通过定性分析来推测。

此外，供给曲线并非一成不变，我们将探讨质押成本随时间的变化，以及这种变化如何影响ETH持有者的质押决策。换句话说，质押成本的变化将导致供给曲线的位移，使得ETH持有者对质押激励的需求发生变化。

我们只能将历史上可观察到的质押水平拟合成近似的的质押供应曲线，每个特定时间点上需求曲线和供应曲线的交汇点反映了历史上真实达成的质押参与率。

本图横轴仍为ETH质押参与度，纵轴为质押收益率。如图所示，自以太坊信标链启动以来，质押的ETH总量持续增加，质押量的供应曲线是向下移动的。即使在较低的质押收益下，ETH持有者的质押意愿依然会增加。从历史趋势看，短期内供应曲线持续下移属于合理预期。然而值得深入探讨的是长期质押平衡的问题，我们需要仔细分析供给端的构成。

任何ETH持有者在决定是否质押时，通常会考虑两个主要因素：质押收益以及所需成本。总体来看，验证者手中单位资产的质押收益是相同的，但不同类型的质押者却在成本结构上存在显著差异。下文将深入对比独立质押者和质押服务提供商（SSPs）之间的差异。

独立质押者vs质押服务提供商

SSPs接受用户的ETH，并代用户完成质押操作，收取一定的服务费用。通常情况下，他们会为用户提供LST作为质押凭证，用户可以把LST用于二级市场交易（比如stETH）。对于LST持有者而言，这些代币的流动性取决于LST的整体使用率，以及第三方协议对其的支持率。

我们要重点分析的，是Lido这类发行LST的SSPs。至于那些不发行LST的SSPs，可以将其视作LST流动性价值为零的特殊情况，不在本文讨论。

对于大多数人而言，单独质押不需要信任第三方，但参与门槛较高，操作繁琐；相比之下，LST需要一定程度的信任，但却具有显著的简易性和流动性优势。

在比较这两种质押方式后，我们可以得出两个重要结论：

1. 在不同的ETH持有者之间，独立质押的成本结构存在明显差异，技术含量的高低、硬件条件及运维成本的不同，以及对托管安全的信心，都使得独立质押者的供应曲线更为陡峭。这意味着，如果要让独立质押者的数量显著增加，要么大幅增加质押收益，要么改善质押操作的UX。

2. 相比之下，利用SSPs质押的用户成本结构基本相同，主要差异仅体现在对SSP运营风险的评估以及对LST与ETH之间兑换滑点的顾虑。因此，SSP的供应曲线较为平缓。这意味着，要吸引更多的ETH持有者进行LSD流动性质押，所需的收益率增幅相对较小，可以较为平滑地扩大质押参与率。

此外，独立质押的成本不受质押参与度的影响，而持有LST的成本则可能随着时间的推移以及SSPs使用率的提升逐渐降低，原因如下：

1. LST的“货币属性”增强：当某种LST的受欢迎程度提升时，我们可以预期其将得到越来越多项目的支持，超越原生ETH的使用场景，例如更多的DeFi协议集成LST，二层网络默认对桥接的ETH进行流动性质押等。当ETH质押比例足够高时，LST甚至可能在流动性方面超越未质押的ETH，反转二者的流动性差距。

2. 智能合约风险降低：随着时间的推移，LST的智能合约会经过大量的实践检验，并且通过形式化验证等方式进一步降低风险。

3. 治理系统稳健性的提升：随着使用率的增加，LST相关的治理机制也会变得更加成熟和稳健，例如LDO + stETH dual governance提案就反映了LST治理体系的进步。

4. 对大规模风险预期的降低：当某种LST占据整体市场足够大的比例时，它可能会被视为“太大而不能倒”的存在。所以用户相信市场上的各种力量会在SPPs出现问题时及时补救。

5. LSD服务提供商的盈利平衡：当LST的使用率足够高使其流动性足够好，SSPs可以降低单位服务费用来维持盈利，吸引更多用户参与。

整体来看，SSPs和LST的存在使得质押供应曲线被显著拉平，这意味着不需要继续提高质押激励，就可以推动以太坊质押总量的增加。由此可以推测，LSD将继续在推动质押量增长方面发挥重要作用。然而这样一来，长期的时间维度中，质押激励并不是ETH质押增长的桎梏，那么ETH质押究竟能达到多大规模呢？

质押率的长期均衡点

综合考虑需求和供应等因素，我们可以推测出ETH质押能维持的长期均衡状态。前面我们提到，当质押参与率较低时，需求曲线表现出明显的倾向性，但对于长期内可能达到的具体质押比例没有明确结论。

随后我们说明了随着质押成本和风险的降低，供应曲线会随时间逐渐下移，使得越来越多人愿意参与质押，其中起到主要推动作用的正是LST。然而，供应曲线本身的形状无法定量分析，其是否足够陡峭、能对质押参与度形成合理调节，目前并不明确。

因此，总体质押比例的均衡点并不能准确计算出来，存在广泛的可能性，甚至可能接近100%。下图反映了即使长期内的供应曲线差异很小，也可能导致质押比例的均衡点出现位移。

其实最关键的不在于质押参与率会达到多高，而是这种高质押率一旦出现，会带来一系列隐患。本文提出了一些政策上的调整建议，以防止这种情况发生。

质押比例分析：什么情况下质押率少反而更好

质押率可以定义为ETH质押量与ETH总供应量的比值，ETH当前总供应量约为1.2亿枚，其中大约有3000万枚被质押，质押率约为25%。在探讨高质押率可能带来的潜在问题之前，我们要先搞清楚一个标准：

到底质押率达到何种水平，就可以保证以太坊的安全性。根据此前以太坊基金会的一次讨论记录，我们可以知道当前的质押水平足够确保以太坊的经济安全了。

这就引出了一个问题——如果当前的质押率已经能够保障网络安全，是否有必要追求更高的质押率，达到“过度安全”？在我们看来，高质押率虽然能增强网络的安全，但可能带来一些负外部性，影响到ETH持有者、独立质押者，甚至整个以太坊协议的运行。

LST货币属性的网络效应（LST）：拒绝承担风险

LSTs在争夺货币属性这个问题上竞争很激烈。由于网络效应的存在，这种竞争往往呈现出“赢家通吃”的局面。随着LST的应用领域不断扩大，实用性随之提高，市占率也会逐步上升，LST的货币属性在多个方面都将得到加强，例如链上和链下的集成度、流动性、抵御治理攻击的能力等。

在高质押率的环境中，如果某单一SSP控制了大部分的质押比例，很可能会被视为“大而不倒”。如果大多数ETH都质押在该SSP处，很难有办法对其进行有效惩罚。如果一个占据主导地位的SSP渗透进以太坊协议治理的核心，但却不必对用户担负相应的责任，这种集中化的治理风险，无疑会对以太坊的去中心化产生深远影响。

如果大部分ETH都参与了流动性质押，实际上在除Gas Token之外的多数场景中，真正作为货币的将会是LST。然而，无论是由ETF、CEX还是链上质押池发行的LSTs，都伴随着不同的信任假设，具有显著风险。最终，用户将不可避免地承受来自运营商、治理、法律以及智能合约等方面的额外风险，这显然不是理想状态。

此外，LST虽然自夸可以还原被质押ETH的流动性，但其在DeFi中作为抵押物的效果肯定不如原生ETH。以太坊网络想要实现真正的经济可扩展性，其货币必须尽可能去信任化，最好是使用ETH本身。

最小可行发行量——服务于用户体验

以太坊的最小可发行量MVI是以太坊网络在维护其安全性和功能性前提下，所需的最低发行量，旨在平衡网络的安全性和ETH通胀率。根据MVI原则，必须确保有足够的质押参与来保障协议的安全性，但质押量不宜过多。

当质押水平达到某个临界点时，协议的安全性已经足够稳固，此时额外质押带来的边际效用会逐渐递减，甚至可能出现负面效应（例如，增加网络负载、稀释ETH持有者的权益等）。此外，质押是一项协议所需的基础服务，协议应为质押支付合理的报酬吸引用户参与，而不是因资产稀释压力使用户被迫参与。

若ETH发行量继续增加，会导致所有ETH持有者和质押者面临更大的稀释风险，然而SSP却不会受到负面影响。因为代质押ETH的所有权并不属于SSP，SSP只是通过收取服务费来获取收入，ETH价值稀释与其无关。不但如此，如果更多人为了对冲通胀而参与LSD质押，SSP收的服务费用能水涨船高。

假设一个情境：以太坊质押参与率为90%，质押年收益率2%，流动性质押占总质押价值的90%，且平均SSP费率为10%，换算下来每年将有相当于以太坊市值0.16%的费用支付给SSP，约为20万ETH，按当前价格计算，约合5.3亿美元。这5.3亿美元，实际上相当于是对所有ETH持有者的一种隐形税收。

实际收益率：名义收益率 — 稀释效应

类似于金融学中的名义利率与实际利率，实际收益率为剔除ETH名义质押收益中的稀释效应后得来的真实收益率。随着越来越多的人参与质押，以及以太坊的通胀，由ETH质押带来的名义收益将逐渐被稀释，实际收益能更清晰地反映出质押的真实激励，而我们之前讨论的质押收益曲线，均为名义收益曲线。

上图分别反映了稀释效应对质押者和非质押ETH持有者收益的影响。对于不进行质押的ETH持有者（图中红线所示），由于他们的名义余额保持不变，但承受了通胀带来的稀释效应，所以他们的实际收益显然是负的。为了清晰地描述这种影响，我们可以将质押比例“S”分为两种情况进行分析。

当质押比例较低时（曲线左侧部分），实际收益曲线（绿色实线）与名义收益曲线（灰色实线）较为接近，这是因为质押者数量较少，协议通过增发ETH而分配的奖励也少，所以ETH通胀率很低，稀释效应较轻。在这种情况下，质押的主要激励来自于正收益，即图中绿色区域。

当质押比例较高时（曲线右侧部分），实际收益与名义收益曲线之间的差距渐渐增大。随着越来越多的质押者参与，ETH的增发量增加，稀释效应更明显。除了实际收益的减少外，质押者的一部分激励来源于“稀释保护”，即通过质押对冲通胀。极端情况下，当质押比例接近100%时，质押的实际收益将仅由MEV收益构成，此时以太坊的通胀率将非常高，因为要不断的增发代币奖励质押者。

总结下来就是，质押比例高与低的最大区别，是质押收益的构成不同。低质押比例下，用户会获得实际的正向收益，质押比例提高后，由于通胀率较高，用户最后只能获得较少的收益用来抵消稀释效应，即“稀释保护”。以太坊质押比例越高，新发行的ETH就越多，质押用户的名义收益就越高，然而名义收益高并不意味着实际收益高。

需要强调的是，这种收益构成的变化并不会降低质押的激励作用。如果只看结果，稀释保护和真金白银的正收益，对于用户来说同样具有吸引力。然而，两种不同性质的收益对用户的意义截然不同：当质押比例较低时，质押是一项由以太坊协议为之买单的、有利可图的服务；相反，当质押比例升高时，质押变成了一种对冲通胀的无奈之举。

因此，如果质押比例向右移动到最高，我们可能会陷入一种最差的局面：质押提供的实际收益极为有限，还对那些不愿接受LST的人构成资产稀释的威胁。

任何质押者在同一质押政策下，一定会选择对自己来说实际收益更高的策略。但在以太坊的协议设计中，用户根本无法选择，因为协议的发行曲线决定了质押的最终均衡状态（长期质押供给曲线固定的情况下），出于收益考虑，任何用户只能选择参与质押这一种策略。

独立质押的可行性较差

SSP成本固定，质押越多单位成本就越低，天生具备规模经济优势。随着SSPs管理的ETH数量增加，其边际效率也会提升，能压低成本收取更低的服务费用，吸引更多用户，并实现更高的利润。基于这些优势，成功的SSP可能被视为“大而不倒”的存在，这降低了其面临的尾部风险，并进一步强化了规模效应。

（尾部风险：极端事件的发生风险，这些事件概率极低，但一旦发生往往会导致极大损失）

相反，独立质押者需要自行承担所有成本，成本不会因质押量的增加而减少，反而会因网络负载的增加而有所上升，这正是以太坊通过EIP-7514提案的原因之一。

按照前面的分析，随着越来越多的质押收益被用于对冲通胀，而非获取实际收益，质押者的实际收益越来越依赖于MEV，而MEV收益具有高波动性，会让独立质押者的总收益产生波动。相比之下，SSP能够将总的MEV收入按比例分配给其管理的所有Validator验证节点，有效降低了质押收益波动对其整体运营效果的影响。

随着LST的使用率上升及其货币属性的增强，独立质押和LSD质押间的差距将进一步拉开。换句话说，随着质押率上升，独立质押相较于LSD质押的竞争劣势愈加显著。

在许多司法管辖区，政府对质押收入征税时以名义收入为基础，而不是经过稀释效应调整后的实际收入。通过某些结构设计，LST能够为持有人提供一定的保护，避免这种税收影响，而独立质押通常无法做到这一点。随着名义收益与实际收益之间差距越来越大，独立质押者的收益水平也进一步被LSD质押者甩开。

基于此，我们提出以下观点：

1. 持有原生ETH应具备经济可行性，确保良好的用户体验，并避免因安全风险导致的价值稀释问题，从而更好地保护ETH持有者的利益。

2. 为了实现真正的经济可扩展性，以太坊的通用货币应尽可能免信任/无需信任。只有这样，才能确保整个系统的稳健和广泛的适用性。

3. 资产价值的稀释保护成为质押的主要激励构成，对质押者和ETH持有者来说都是不理想的结果。依赖稀释保护作为激励可能会带来不必要的市场波动，削弱了质押机制的初衷。

4. 高质押参与率会进一步加剧独立质押者在市场中的竞争劣势，可能让更多用户倾向于利用SSP进行质押，导致质押的集中化，不利于网络的去中心化和安全。

以太坊未来能达到的质押比例仍不确定，我们需要主动采取措施，确定一个最优的质押比例，防止比例过高产生负面影响。即使高质押比例对某些人来说可能是有利的，这个选择也应当是经过充分考量后做出的，而非受到市场外部因素的随机影响。

质押参与比例的最终目标

我认为，以太坊的质押政策应当以质押比例为基准，而非ETH的质押量。ETH的供应量受到EIP-1559和发行机制的影响而波动，以质押比例为标准能够适应这种供应变化。虽然目前ETH的供应变化非常缓慢，自The Merge以来每年下降约0.3%，但其长期影响不可忽视。设立以质押比例为基准的政策，能够在更长时间范围内保持稳定，无需频繁调整。

如前文所说，当前的发行曲线虽然确保了最低的质押水平，但缺乏限制质押比例上限的机制，这可能会导致质押比例过高。我们认为，一个完善的代币发行政策应当设定质押比例的上下限，来确保网络安全，并维持合理的参与度。具体而言，该政策应努力将质押比例保持在一个“既能确保网络安全，又能避免负面外部效应的最佳范围”内。

为此，以太坊可以对过低的质押比例设置超高奖励，对过高的质押比例设置超低奖励、甚至是负奖励，来调节质押比例。通过这种方式，以太坊可以调控质押参与度。这种政策设计的曲线可以参考Vitalik所提出的示例，该曲线展示了如何在不同质押比例下调节奖励，以引导质押行为。

如图中的发行曲线所示，质押参与度较低时奖励丰厚，与当前的政策一致。随着质押参与度的提高，质押收益逐渐减少，直至转为负值。换句话说，质押的收益最终将减少到不再具有任何吸引力，从而抑制质押行为。然而，这种负收益状态不会长期持续，质押参与度会因为这种机制的调节逐渐降低，并在某个合适的水平达到均衡。因此，呈现出这种收益曲线规律的模型，能够确保质押比例维持在合理范围内。

事实上，要达到合理的质押比例范围，并不需要选择一条收益迅速转为负值的曲线，那些在某个临界点之后仅将质押奖励控制在零或接近零的曲线，可能已经足够达到同样效果，既能抑制过度质押，又能维持系统的稳定性。

确定合理质押比例范围带来的影响

确定合理的质押比例的优势在于，能有效避免高质押率带来的各种负面影响。不过，这种策略并非没有缺点，一个明显的例子是，独立质押者在此情况下面临的奖励具有波动性。与高质押率的环境类似，在确定合理质押比例的策略下，激励来源有很大一部分是MEV收益，这会加强其波动性。

因此，尽管确定质押比例范围的优点很多，但也可能加剧本就存在的收益波动性。MEV风险可以通过引入Execution Tickets或MEV Burn等机制来解决，或设置质押费用的方式来缓解，在一定程度上平衡收益的波动性。也有一些人反对将质押比例确定在某一范围内，其中一个具有代表性的观点是，这样做可能会降低整体的均衡收益，从而加剧独立质押者与SSPs的竞争，以及不同SSPs之间的竞争。

反对者的逻辑是，整体均衡收益降低导致资金供应不充足，一些SPPs采用的质押形式可能对以太坊协议更有益，但由于其项目竞争力不足，难以持续盈利而存活下去，导致以太坊的整体效用更低。要应对这一问题，仍然要分清名义收益和实际收益。

虽然确定质押比例范围的策略可能降低名义收益，但实际收益未必会受到影响，。以下示意图进一步了说明这一点。

上图表示采用确定的质押比例范围时，系统达到长期均衡的情景，下图则大致展示了当前以太坊代币发行曲线下的情景。这两个例子都基于相同的假设：约1亿ETH参与了质押，即长期质押供给保持一致，这样的对比才有意义。

下图中，大部分质押激励用于稀释保护，因此实际收益率仅维持在约0.5%左右。而在左图情境中，系统会达到一个较低的名义收益率均衡点，但由于通胀率较低，实际收益率会提高至约1.4%。

这一例子清楚地说明了，确定质押比例范围会合理地提升实际收益率，可以缓解质押者之间的竞争压力。此外，这也有利于不参与质押的ETH持有者，因为能最大限度地减少稀释风险。

开放性问题

本文提出的策略是确定合理的质押比例。然而，这存在一些亟待解决的问题。

1. 质押比例的理想范围是多少？

对于质押比例，我们已经讨论了不理想的范围，但并未明确提出理想化的质押比例区间。其实这个问题相当复杂，需要在社区内进行深入讨论，并会参考Vitalik和Justin的一些意见。

该问题的核心在于权衡——较低的质押参与度会增加协议受到攻击的风险，而过高的质押参与度则可能带来负外部效应。为了更好地确定质押区间，我们可以对不同质押比例下的效用进行建模。一种可能的效用曲线如下所示：

2.如何选择合适的质押收益曲线以达成目标范围？

确定合理的质押比例后，设计者还要选择合适的质押曲线，来实现以太坊质押参与度的均衡。设计者要仔细评估不同曲线的优缺点，挑出最合适的方案。同时，设计者可以继续探索其他机制，例如类似于EIP-1559的反馈控制系统，根据网络状况动态调整质押发行曲线，以确保曲线与网络需求间的匹配度达到最优。

3.如何确保在近零或负发行情况下的激励相容？

激励相容由诺奖得主利Leonid Hurwicz提出，是机制设计的重要原则，具体是说如果某种机制可以将系统内的个人利益与系统整体利益统一起来，该系统就是激励相容的。

以太坊PoS发行的初衷是通过经济激励吸引验证者参与共识，然而在某些质押参与率下，发行收益可能趋近于零，甚至出现负值。尽管在这种情况下，验证者可能为了MEV收益继续质押，但如果缺乏常规的质押奖励，验证节点可能在出块和验证时缺乏足够动力，也就是说当质押发行量过低时，共识机制可能面临失效的风险。

为了解决这一问题，以太坊协议可以对所有验证者收取一定费用，并根据验证者是否称职进行再分配，重新建立激励相容性。然而，这种方案的实施将增加协议的复杂性，因此需要进一步探讨其可行性和有效性。

4.如何以相对（质押比例）而非绝对（固定ETH数量）方式来设定目标范围？

其实也可以将质押发行水平设置为某一绝对的ETH数量，比如3000万枚，或4000万枚ETH，然而为了让发行政策更具前瞻性和适应性，最好直接把质押比例作为考核参数。为了让发行政策以某一特定的质押比例为目标，协议需要掌控ETH质押量和供应量。

5.当质押参与率超出目标区间，如何使其恢复到目标值？

如果当前的质押参与率就在目标区间内，当然是最理想的情况，但如果超出该区间，就必须采取一定措施降低质押参与度，使一部分质押者收益不足进而退出质押。即使我们用最温和的手段降低参与度，这个过程也会对一些质押者产生不利影响。如何尽量降低这种影响仍然是一个需要解决的问题。

结论

我们讨论了当前的以太坊质押激励政策与代币发行方案，详细解释了该发行方案存在的负外部性，探讨了一种可以解决问题的新政策，就是将质押比例设定在一个目标范围内。

然而，鉴于一些尚未解决的问题，尤其是在验证者费用机制和链上MEV捕获机制上的缺失，实现该政策还需要一段时间的过渡。我们提议在这段时间内，对现行的ETH质押与代币发行政策进行革新，作为迈向目标政策的关键一步。

为此，我们在即将到来的Electra升级中，提出了一项关于改革质押发行政策的提案（相关内容可以参考文章Electra:Issuance Curve Adjustment Proposal）。

来源：登链社区

为工作程序员提供的 ZKP 教程介绍。

你知道为什么斑马有条纹吗？一种理论是这是一种伪装。当斑马聚集在一起时，这使得狮子更难以区分它们的猎物。狮子必须将猎物从群体中隔离出来才能追捕它[^1]。

人类也喜欢在人群中隐藏。一个具体的例子是，当多个人在一个集体名称下作为一个整体行动时。《联邦党人文集》就是这样创作的[^2]。 另一个例子是 Bourbaki，这是 1930 年代一群法国数学家的集体笔名。这导致了现代数学大部分内容的彻底重写，重点在于严谨性和公理化方法[^3]。

在数字时代，假设你在一个群聊中，想要发送一条有争议的信息。你想证明你是其中的一员，而不透露是哪一位。我们如何在数字领域使用密码学来做到这一点？我们可以使用一种叫做 群签名 的东西。

从传统上讲，群签名在数学上相当复杂且难以实现。然而，使用零知识证明（ZKP），这个数学问题变成了一个简单的编程任务。在本文结束时，你将能够自己编写群签名。

介绍

这篇文章将向你展示如何从零开始编写基本的零知识证明（ZKP）。

在学习新的技术栈时，我们希望尽快掌握编辑-构建-运行的循环。只有这样，我们才能开始从自己的经验中学习。

我们将首先让你设置环境，编写一个简单的程序，执行所谓的可信设置，然后尽快生成和验证证明。之后，我们将识别一些改进我们程序的方法，实施这些改进并进行测试。在此过程中，我们将建立一个更好的心理模型，以便在实践中编程 ZKP。最后，你将熟悉（某种方式）从零开始编写 ZKP。

我们将逐步构建一个简单的签名方案，你可以证明你发送了特定的消息。你将能够理解这段代码的作用及其原因：

<span 1="" 9="" 18="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" template="" signmessage="" signal="" input="" output="" component="" identityhasher="Poseidon(<span" span="" identity_commitment="==" signaturehasher="Poseidon(    # 克隆仓库并运行准备脚本
    git clone git@github.com:oskarth/zkintro-tutorial.git
    cd zkintro-tutorial
    
    # 在执行之前浏览此文件的内容
    less ./scripts/prepare.sh
    ./scripts/prepare.sh

我们建议你浏览 ./scripts/prepare.sh 的内容，以查看这将安装什么，或者如果你更喜欢手动安装。执行后，你应该看到 Installation complete 并且没有错误。

如果你遇到问题，请查看最新的官方文档 这里^[7]。完成后，你应该安装以下版本（或更高版本）：

    pragma circom 2.0.0;
    
    template Multiplier2 () {
      signal input a;
      signal input b;
      signal output c;
      c <== a * b;
    }
    
    component main = Multiplier2();

这就是我们的特殊程序或 _电路_。 [^6] 按行分析：

• pragma circom 2.0.0; – 定义所使用的 Circom 版本

• template Multiplier() – 模板是大多数编程语言中对象的等价物，是一种常见的抽象形式

• signal input a; – 我们的第一个输入，a；输入默认是私有的

• signal input b; – 我们的第二个输入，b；同样默认是私有的

• signal output b; – 我们的输出，c；输出始终是公共的

• c <== a * b; – 这做了两件事：将信号 c 赋值 并 约束 c 等于 a 和 b 的乘积

• component main = Multiplier2() – 实例化我们的主组件

最重要的行是 c <== a * b;。这是我们实际声明约束的地方。这个表达式实际上是两个的组合：<--（赋值）和 ===（等式约束）。 [^7] Circom 中的约束只能使用涉及常量、加法或乘法的操作。它强制要求方程的两边必须相等。 [^8]

关于约束

约束是如何工作的？在类似数独的上下文中，我们可能会说一个约束是“一个介于 1 和 9 之间的数字”。然而，在 Circom 的上下文中，这不是一个单一的约束，而是我们必须使用一组更简单的等式约束（===）来表达的东西。 [^9]

为什么会这样？这与底层的数学原理有关。从根本上讲，大多数 ZKP 使用 _算术电路_，它表示对 多项式 的计算。在处理多项式时，你可以轻松引入常量，将它们相加、相乘并检查它们是否相等。 [^10] 其他操作必须用这些基本操作来表达。你不必详细了解这一点才能编写 ZKP，但了解底层发生的事情可能会很有用。 [^11]

我们可以将电路可视化如下：

构建我们的电路

供你参考，最终文件可以在 example1-solution.circom 中找到。有关语法的更多详细信息，请参见 官方文档^[9]。

我们可以通过运行以下命令来编译我们的电路：

这是调用 circom 创建 example1.r1cs 和 example1.wasm 文件的一个简单包装。你应该会看到类似以下内容：

    {
      "pi_a": ["15932[...]3948", "66284[...]7222", "1"],
      "pi_b": [
        ["17667[...]0525", "13094[...]1600"],
        ["12020[...]5738", "10182[...]7650"],
        ["1", "0"]
      ],
      "pi_c": ["18501[...]3969", "13175[...]3552", "1"],
      "protocol": "groth16",
      "curve": "bn128"
    }

这以一些数学对象（三个椭圆曲线元素）pi_a、pi_b 和 pi_c 的形式指定了证明。[^20] 它还包括有关协议（groth16）和使用的 _curve_（bn128，我们暂时忽略的数学实现细节）的元数据。这使得验证者知道如何处理此证明以正确验证。

请注意，证明是多么简短；无论我们的特殊程序多么复杂，它的大小都只有这个。这展示了我们在 _友好的零知识证明介绍_^[10] 中讨论的 ZKP 的 succinctness 属性。上述命令还输出了我们的 _公共输出_：

这是与我们的见证和电路对应的所有公共输出的列表。在这种情况下，有一个公共输出对应于 c：33。[^21]

我们证明了什么？我们知道两个秘密值 a 和 b，它们的乘积是 33。这展示了我们在上一篇文章中讨论的 隐私 属性。

请注意，证明在孤立状态下没有用，它需要随之而来的公共输出。

验证证明

接下来，让我们验证这个证明。运行：

just verify_proof example1

这需要验证密钥、公共输出和证明。通过这些，我们能够验证证明。它应该打印“证明已验证”。请注意，验证者从未接触到任何私有输入。

如果我们更改输出会发生什么？打开 example1/target/public.json，将 33 更改为 34，然后再次运行上述命令。

你会注意到证明不再被验证。这是因为我们的证明并没有证明我们有两个数字，其乘积是 34。

恭喜你，你现在已经编写了你的第一个 ZKP 程序，进行了可信设置，生成了证明并最终验证了它！

练习

1. ZKP 的两个关键属性是什么，它们意味着什么？

2. 证明者的角色是什么，她需要什么输入？验证者呢？

3. 解释 c <== a * b; 这一行的作用。

4. 为什么我们需要进行可信设置？我们如何使用其产物？

5. 代码：完成 example1，直到你生成并验证了一个证明。

第二次迭代

通过上述电路，我们证明了我们知道两个（秘密）数字的乘积。这与 质因数分解 问题密切相关，这是许多密码学的基础。[^22] 这个想法是，如果你有一个非常大的数字，找到两个质数使其乘积等于这个大数字是很困难的。相反，检查两个数字的乘积是否等于另一个数字是非常简单的。[^23]

然而，我们的电路存在一个大问题。你能看到吗？

我们可以轻松地将输入更改为“1”和“33”。也就是说，一个数字 c 始终是 1 和 c 的乘积。这一点并不令人印象深刻，对吧？

我们想要做的是添加另一个 _约束_，使得 a 或 b 不能等于 1。这样，我们就被迫进行适当的整数因式分解。

我们如何添加这个约束，需要做哪些更改？

更新我们的电路

我们将为这些更改使用 example2 文件夹。不幸的是，我们不能仅仅写 a !== 1，因为这不是一个有效的约束。[^24] 它不是由常量、加法、乘法和等式检查组成的。我们如何表达“某物不是”？

这并不是立即直观的，这种类型的问题是编写电路的艺术所在。发展这种技能需要时间，并超出了本初始教程的范围；幸运的是，有许多好的资源可以参考。[^25]

不过，有一些常见的习语。基本的想法是使用 IsZero() 模板来检查一个表达式是否等于零。它对真值输出 1，对假值输出 0。

使用真值表[^26] 来显示可能的值通常是有帮助的。以下是 IsZero() 的真值表：

这是一个如此有用的构建块，以至于它被包含在 Circom 的库 circomlib 中。在 circomlib 中还有许多其他有用的组件。[^27]

我们可以通过创建一个 npm 项目（JavaScript）并将其作为依赖项添加来包含它。在 example2 文件夹中，我们已经为你完成了这一步。要导入相关模块，我们在 example2.circom 的顶部添加以下行：

include "circomlib/circuits/comparators.circom";

使用 IsZero()，我们可以检查 a 或 b 是否等于 1。修改 example2.circom 文件，使其包含以下行：

<span 1="" 12="" 4000="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" iszerocheck="IsZero();
    just generate_proof example2
    just verify_proof example2

它仍然按预期生成和验证证明。

如果我们将 example2/input.json 的输入更改为 1 和 33 并尝试运行上述命令，我们将看到一个断言错误。也就是说，Circom 甚至不会让我们生成证明，因为输入违反了我们的约束。

完整流程图

现在我们已经经历了整个流程两次，让我们退后一步，看看所有部分是如何结合在一起的。

希望事情开始变得有些明朗。接下来，让我们提升一下，让我们的电路更有用。

练习

6. 为什么我们必须运行 example2 的第 2 阶段，而不是第 1 阶段？

7. 上一个例子的主要问题是什么，我们是如何解决的？

8. 代码：完成 example2，直到你无法生成证明。

第三次迭代

通过上述电路，我们已经证明了我们知道两个秘密值的乘积。单靠这一点并不是很有用。在现实世界中，有用的是 _数字签名方案_。通过它，你可以向其他人证明你写了特定的消息。我们如何使用 ZKP 来实现这一点？要实现这一点，我们必须首先涵盖一些基本概念。

现在是短暂休息的好时机，去喝一杯你最喜欢的饮料。

数字签名

数字签名已经存在，并且在我们的数字时代无处不在。现代互联网没有它们是无法运作的。通常，这些是使用 公钥密码学 实现的。在公钥密码学中，你有一个私钥和一个公钥。私钥仅供你自己使用，而公钥是公开共享的，代表你的身份。

数字签名方案由以下部分组成：

• 密钥生成：生成一个私钥和相应的公钥

• 签名：使用私钥和消息创建签名

• 签名验证：验证消息是否由相应的公钥签名

虽然具体细节看起来不同，但我们编写的程序和上述密钥生成算法共享一个共同元素：它们都使用 _单向函数_，更具体地说是 _陷门函数_。陷门是容易掉进去但难以爬出来的东西（除非你能找到一把隐藏的梯子） [^30]。

对于公钥密码学，从私钥构造公钥是容易的，但反过来却非常困难。我们的前一个程序也是如此。如果这两个秘密数字是非常大的质数，那么将该乘积转回原始值是非常困难的。现代公钥密码学通常在底层使用 _椭圆曲线密码学_。

传统上，创建像这些数字签名方案这样的密码协议需要大量的工作，并需要提出一个涉及一些巧妙数学的特定协议。我们不想这样做。相反，我们想使用 ZKP 编写一个程序，以实现相同的结果。

而不是这样：[^31]

我们只想编写一个程序，生成我们想要的证明，然后验证这个证明。

哈希函数和承诺

我们将使用两个更简单的工具：_哈希函数_ 和 _承诺_，而不是使用椭圆曲线密码学。

哈希函数也是一种单向函数。例如，在命令行中，我们可以这样使用 SHA-256 哈希函数：

    commitment = hash(some_secret)
    signature = hash(some_secret, message)

此时你可能有一些问题。让我们解决一些你脑海中可能存在的问题。

首先，为什么这有效，我们为什么需要 ZKP？当有人验证证明时，他们只能访问承诺、消息和签名。没有直接的方法可以验证承诺是否对应于秘密，而不揭示秘密。在这种情况下，我们只是在生成证明时“揭示”秘密，因此我们的秘密保持安全。

其次，为什么在 ZKP 内部使用这些哈希函数和承诺，而不是公钥密码学？你绝对可以在 ZKP 内部使用公钥密码学，并且这样做是有合理理由的。就约束而言，它的实现成本远高于上述方案。这使得它比上述更慢，更复杂。正如我们将在下一节中看到的，哈希函数的选择非常重要。

最后，为什么在我们已经拥有公钥密码学的情况下还要使用 ZKP？在这个简单的例子中，没有必要使用 ZKP。然而，它作为更有趣的应用的构建块，例如本文开头提到的群签名示例。毕竟，我们想要 _编程密码学_。

这真是太多了！幸运的是，我们已经过了难关。让我们开始编码吧。如果你一开始没有完全理解上述内容，也不用担心。习惯这种推理方式需要一些时间。

回到代码

我们将从 example3 目录开始工作。

要实现数字签名，我们需要做的第一件事是生成我们的密钥。这些对应于公钥密码学中的私钥和公钥。由于密钥对应于一个身份（你，证明者），我们将分别称其为 identity_secret 和 identity_commitment。它们共同形成一个身份对。

这些将作为电路的输入，与我们要签名的消息一起使用。作为公共输出，我们将拥有签名、承诺和消息。这将允许某人验证签名确实是正确的。

由于我们需要身份对作为电路的输入，因此我们将单独生成这些：just generate_identity

这会产生类似于以下内容：

    include "circomlib/circuits/poseidon.circom";

Poseidon 哈希模板的使用如下：

<span 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" hasher="Poseidon(2);
    component main {public [identity_commitment, message]} = SignMessage();

默认情况下，我们电路的所有输入都是私有的。通过这个，我们明确标记 identity_commitment 和 message 为公共。这意味着它们将成为公共输出的一部分。

有了这些信息，你应该有足够的知识来完成 example3.circom 电路。如果你仍然卡住，可以参考 example3-solution.circom 获取完整代码。

像之前一样，我们必须构建电路并运行受信任设置的第 2 阶段：

    {
      "identity_secret": "21879[...]1709",
      "identity_commitment": "48269[...]7915",
      "message": "42"
    }

随意将身份对更改为你自己使用 just generate_identity 生成的身份对。毕竟，你想把身份秘密保留给自己！

你可能会注意到消息只是一个作为字符串引用的数字 ("42")。不幸的是，由于约束在数学上的工作方式（使用线性代数和 _算术电路_），我们只能使用数字而不能使用字符串。电路内部支持的唯一操作是基本的算术操作，如加法和乘法。[^37]

我们现在可以生成和验证一个证明：

    ["48968[...]5499", "48269[...]7915", "42"]

这分别对应于签名、承诺和消息。

让我们看看如果我们不小心，事情可能会出错。 [^38]

首先，如果我们将身份承诺更改为 input.json 中的随机内容，会发生什么？你会注意到我们无法再生成证明。这是因为我们还在电路内部检查身份承诺。保持身份秘密和承诺之间的关系至关重要。

其次，如果我们不将消息包含在输出中，会发生什么？我们确实得到了一个证明，并且它得到了验证。但消息可以是 _任何东西_，因此它实际上并不能证明你发送了特定的消息。类似地，如果我们不将身份承诺包含在公共输出中，会发生什么？这意味着身份承诺可以是任何东西，因此我们实际上不知道 谁 签署了消息。

作为思考练习，想想如果我们省略这两个关键约束中的任何一个会发生什么：

• identity_commitment === identityHasher.out

• signature <== signatureHasher.out

恭喜你，现在你知道如何编程加密了！[^39]

练习

9. 数字签名方案的三个组成部分是什么？

10. 使用像 Poseidon 这样的 “ZK-Friendly hash function” 的目的是什么？

11. 什么是承诺？我们如何将它们用于数字签名方案？

12. 为什么我们将身份承诺和消息标记为公共？

13. 为什么我们需要身份承诺和签名约束？

14. 代码：完成 example3，直到你生成并验证了一个证明。

下一步

通过上述数字签名方案，以及我们在文章中看到的一些技巧，你拥有了实现文章开头提到的 群签名方案 的所有工具。[^40]

在 example4 中存在骨架代码。你只需要 5-10 行代码。唯一的新语法是 for 循环，它的工作方式与大多数其他语言相同。[^41]。

这个电路将允许你：

• 签署一条消息

• 证明你是三个人之一（身份承诺）

• 但不透露是哪一个

你可以把它看作一个谜题。关键的见解基本上归结为一个算术表达式。如果可以的话，尝试在纸上解决它。如果你卡住了，可以像之前一样查看解决方案。

最后，如果你想要一些额外的挑战，这里有一些扩展的方法：

1. 允许组内任意多的人

2. 实现一个新的电路 reveal，证明你签署了特定的消息

3. 实现一个新的电路 deny，证明你没有签署特定的消息

使用经典工具创建这样的加密协议将是一项巨大的任务，需要大量的专业知识。[^42] 使用 ZKP，你可以在一个下午变得高效和危险，将这些问题视为编程任务。这只是我们可以做的冰山一角。

练习

15. 群签名与普通签名有什么不同？它们可以如何使用？

问题

这些问题是可选的，需要更多的努力。

1. 找出 IsZero() 是如何实现的。

2. 代码：完成上述群签名方案（见 example4）。

3. 代码：扩展上述群签名示例：允许更多人并实现 reveal 和/或 deny 电路。

4. 你将如何设计一个 “ZK 身份” 系统来证明你已满 18 岁？你可能想证明的其他属性是什么？从高层次来看，你将如何实现它，以及你看到的挑战是什么？研究现有解决方案以更好地理解它们是如何实现的。

5. 对于像以太坊这样的公共区块链，有时会使用 Layer 2 (L2) 来允许更快、更便宜和更多的交易。从高层次来看，你将如何使用 ZKP 设计一个 L2？解释你看到的一些挑战。研究现有解决方案以更好地理解它们是如何实现的。## 结论

在本教程介绍中，我们熟悉了如何从头开始编写和修改基本的零知识证明（ZKPs）。我们设置了编程环境并编写了一个基本电路。然后我们进行了可信设置，创建并验证了证明。我们识别了一些问题并改进了电路，确保测试我们的更改。之后，我们使用哈希函数和承诺实现了一个基本的数字签名方案。

我们还学习了足够的技能和工具，以便能够实现群体签名，这在没有零知识证明的情况下是很难实现的。

我希望你对编写零知识证明所涉及的内容有了更好的心理模型，并对实际中的编辑-运行-调试周期有了更好的理解。这将为你将来可能编写的任何其他零知识证明程序打下良好的基础，无论你最终使用什么技术栈。

致谢

感谢 Hanno Cornelius、Marc Köhlbrugge、Michelle Lai、lenilsonjr 和 Chih-Cheng Liang 阅读草稿并提供反馈。

图片

• Bourbaki Congress 1938 – 未知，公有领域，通过 Wikimedia^[11]

• Hartmann’s Zebras – J. Huber，CC BY-SA 2.0，通过 Wikimedia^[12]

• Trapdoor Spider – P.S. Foresman，公有领域，通过 [Wikimedia](https://commons.wikimedia.org/wiki/File:Trapdoor_(PSF “Wikimedia”).png)

• Kingsley Lockbox – P.S. Foresman，公有领域，通过 Wikimedia^[13]

参考资料

[1] AI翻译官: https://learnblockchain.cn/people/19584

[2] 翻译小组: https://learnblockchain.cn/people/412

[3] learnblockchain.cn/article…: https://learnblockchain.cn/article/9178

[4] 零知识的友好介绍: https://learnblockchain.cn/article/6184

[5] git 仓库: https://github.com/oskarth/zkintro-tutorial

[6]git 仓库: https://github.com/oskarth/zkintro-tutorial

[7]这里: https://docs.circom.io/getting-started/installation/

[8]zkrepl.dev: https://zkrepl.dev/

[9]官方文档: https://docs.circom.io/circom-language/signals/

[10]友好的零知识证明介绍: https://learnblockchain.cn/article/6184

[11]Wikimedia: https://commons.wikimedia.org/wiki/File:Bourbaki_congress1938.png

[12]Wikimedia: https://commons.wikimedia.org/wiki/File:Hartmann_zebras_hobatereS.jpg

[13]Wikimedia: https://commons.wikimedia.org/wiki/File:Kingsley_lockbox.jpg

[14]AI 翻译官: https://learnblockchain.cn/people/19584

[15]这里: https://github.com/lbc-team/Pioneer/blob/master/translations/9178.md

[16]^2]:  参见 [联邦党人文集（维基百科）: https://en.wikipedia.org/wiki/The_Federalist_Papers#Authorship

[17]^3]:  参见 [Bourbaki（维基百科）: https://en.wikipedia.org/wiki/Nicolas_Bourbaki#Membership

[18]^8]:  这使得编写约束相当具有挑战性，正如你可以想象的那样。有关 Circom 中约束的更多详细信息，请参见 [https://docs.circom.io/circom-language/constraint-generation/: https://docs.circom.io/circom-language/constraint-generation/

[19]^12]:  线性约束意味着它可以仅通过加法表示为线性组合。这相当于使用常数进行乘法。需要注意的主要是线性约束比非线性约束更简单。有关更多详细信息，请参见 [约束生成: https://docs.circom.io/circom-language/constraint-generation/

[20]算术电路: https://docs.circom.io/background/background/#arithmetic-circuits

[21]^13]:  从数学上讲，我们所做的是确保方程 Az * Bz = Cz 成立，其中 Z=(W,x,1)。A、B 和 C 是矩阵，W 是见证（私有输入），x 是公共输入/输出。虽然知道这一点很有用，但编写电路时并不需要理解这一点。有关更多详细信息，请参见 [Rank-1 约束系统: https://docs.circom.io/background/background/#rank-1-constraint-system

[22]^15]:  正如在 友好的介绍 文章中提到的那样，2016 年 Zcash 举办的仪式有一个很好的外行播客，你可以在 [这里: https://radiolab.org/podcast/ceremony

[23]^17]:  我们称之为 1-out-of N 信任模型。还有许多其他信任模型；你最熟悉的可能是多数规则，即你信任大多数人做出正确的决定。这基本上就是民主和大多数投票的运作方式。 [↩: #user-content-fnref-17

[24]^22]:  也称为 _密码学难度假设_。请参见 [计算难度假设 (维基百科): https://en.wikipedia.org/wiki/Computational_hardness_assumption#Common_cryptographic_hardness_assumptions

[25]^23]:  有关更多信息，请参见 [https://en.wikipedia.org/wiki/Integer_factorization: https://en.wikipedia.org/wiki/Integer_factorization

[26]^24]:  虽然我们可以添加 _asserts_，但这些实际上不是约束，仅用于清理输入。有关其工作原理，请参见 [https://docs.circom.io/circom-language/code-quality/code-assertion/: https://docs.circom.io/circom-language/code-quality/code-assertion/

[27]https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions: https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions

[28]^25]:  这份由 0xPARC 提供的资源非常出色，如果你想深入了解编写 (Circom) 电路的艺术： [https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/: https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/

[29]^26]:  由于编写约束的性质，这种情况经常出现。请参见 [https://en.wikipedia.org/wiki/Truth_table: https://en.wikipedia.org/wiki/Truth_table

[30]^27]:  有关 circomlib 的更多信息，请参见 [https://github.com/iden3/circomlib: https://github.com/iden3/circomlib

[31]^28]:  请参见 [https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom: https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom

[32]^29]:  人们通常在项目之间共享这些 ptau 文件以提高安全性。有关详细信息，请参见 [https://github.com/privacy-scaling-explorations/perpetualpowersoftau: https://github.com/privacy-scaling-explorations/perpetualpowersoftau

[33]https://github.com/iden3/snarkjs: https://github.com/iden3/snarkjs

[34]^30]:  这里的梯子代表某种值，使我们能够以相反的“困难”方式进行。另一种思考方式是将其视为一个挂锁。你可以轻松锁定它，但很难解锁，除非你有钥匙。陷门函数也有更正式的定义，请参见 [https://en.wikipedia.org/wiki/Trapdoor_function: https://en.wikipedia.org/wiki/Trapdoor_function

[35]^31]:  来自维基百科的截图。请参见 [ECDSA (维基百科): https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm#Signature_verification_algorithm

[36]^38]:  在现实世界的数字签名方案中，当多个消息交换时，我们可能还希望引入一个加密随机数。这是为了避免重放攻击，即某人可以在稍后时间重用相同的签名。请参见 [https://en.wikipedia.org/wiki/Replay_attack: https://en.wikipedia.org/wiki/Replay_attack

[37]^40]:  在 ZKP 中实现群签名的灵感来自 0xPARC，请参见 [https://0xparc.org/blog/zk-group-sigs: https://0xparc.org/blog/zk-group-sigs

[38]^41]:  请参见 [https://docs.circom.io/circom-language/control-flow/: https://docs.circom.io/circom-language/control-flow/

[39]^42]:  相比之下，实施群签名的论文如 [https://eprint.iacr.org/2015/043.pdf: https://eprint.iacr.org/2015/043.pdf