Category 欧易交易所OKX官网

整理：Babyewhale，Techub News

继比特币与以太坊的现货 ETF 之后，基于港元的稳定币也被提上了日程。一个月之前，京东旗下京东币链科技（香港）宣布将基于公链发行与港元 1:1 锚定的港元稳定币，引燃了市场对港元稳定币的热情。在 USDT 发行方 Tether 以及 USDC 发行方 Circle 等「前辈」的光辉业绩之下，包括币链科技、圆币科技等港元稳定币参与者也让香港又多了一个值得期待的故事。 

但也并非所有人都看好港元稳定币的发展，虽然在支付、RWA 等场景下都能看到应用的场景，但其是否能真的实现规模化以及其在链上其他应用中是否能被广泛使用成了很多人担心的问题。 

对此，我们向一些行业内有影响力的人士发出了邀请，希望他们聊一聊对港元稳定币的真实想法。最终总结下来，看好者与质疑者兼而有之，笔者将两类观点分开展示，希望可以带来一些思考： 

支持派 

我们首先这个问题向香港立法会议员，香港 Web3 发展的坚定支持者吴杰庄进行了提问。吴议员表示，香港立法会将在明年针对稳定币进行立法，香港对于发展稳定币这一块是非常有信心的，也非常看好这一领域。 

此外，吴议员还表示，香港发行稳定币应结合实际的应用场景，并且并不限于发行港元稳定币，也可以发行离岸人民币甚至欧元稳定币等。 

蚂蚁数科旗下 Web3 品牌 ZAN 首席执行官 Cobe Zhang 表示，链上投资长期以来都面临着「金融空转」的风险，而 RWA 将是突破这一瓶颈的希望所在。我们希望未来香港可以成为亚太地区的 RWA 资产发行和交易中心，这样也会为稳定币带来更多的应用场景。 

Matrixdock 负责人 Eva 表示，稳定币在 RWA 代币化中发挥着关键作用，成为最经典的应用案例，其市值远超其他 RWA 资产。随着全球对稳定币需求的持续增长，其交易量已在加密货币市场中占据主导地位。香港等地区政府积极推动稳定币监管，推出备受关注的沙盒计划，有望成为全球首个允许银行发行稳定币的地区。这些进展不仅加速了稳定币的应用，也推动了 RWA 代币化的进程，鼓励全球更多政府和机构的积极参与。香港在稳定币监管方面的探索，预计将提升全球市场的透明度和金融体系的韧性，进一步推动加密行业的合法化与发展。 

除了稳定币，黄金、房地产等更多现实资产也在逐渐被代币化，并获得广泛认可。这一趋势不仅是金融创新的重要组成部分，更是产业区块链的发展方向之一。随着大规模产业资产通过区块链技术进行代币化，更多机构投资者进入加密市场， 显著提高了全球资产的流动性和透明度，并促进了资产管理和交易的发展。作为亚洲多元化 RWA 代币化平台，Matrixdock也在不断创新以推动传统金融与数字经济的深度融合。 

数字资产托管和钱包技术提供商 Cobo 首席运营官 Lily Z.King 表示，Cobo 在首批香港稳定币沙盒申请之初就和参与机构和监管机构进行了深度的探讨和研究，并成为了首批沙盒参与者圆币科技首选的数字钱包合作伙伴。基于我们的洞察，稳定币不仅是一种桥接传统金融与数字资产的工具，更是全球金融体系中的关键节点。通过与法定货币或其他稳定资产挂钩，稳定币提供了一个桥梁，将传统金融和 DeFi 世界连接起来。这种桥梁对于推动主流采用至关重要，因为它让投资者在探索新兴数字资产时能够获得熟悉的安全感和稳定性。 

当下，稳定币不仅在支付和结算中展示出独特优势，还可能在未来成为数字经济的基石。香港在这一领域的创新与突破，或将决定其在全球数字经济中的地位。从宏观角度来看，香港拥有深厚的金融市场基础、强大的监管框架以及将数字货币作为其下一个经济驱动力的决心，这使其成为推动稳定币发展的理想场所；从微观角度来看，香港市场参与者（包括东西世界的传统金融机构、互联网头部公司和区块链原生团队）的多元化将有利于香港稳定币的用户和商业场景探索，为 PayFi 之夏的到来提供强大的基础架构。 

极简货币合伙人孟鼎霖从监管的角度发表了看法，其表示，从出台的立法建议上看，主要反映在稳定币的牌照，运营和退出等方面的管理措施。对稳定币的应用涉及较少。而稳定币的应用才是成功的关键。 

作为数字货币的稳定币，与传统的法币电子货币是完全不一样的两个物种，如果把稳定币用在现行传统的行业里边，是意义不大的。也无法与电子货币进行竞争。稳定币应用的基础，是丰富的数字资产和数字化应用的生态。没有这些基础，稳定币的发行商是难以盈利的，不容易持续经营。 

因此，我们认为，相对于稳定币监管政策，传统资产向数字资产转移的监管政策，数字资产应用生态的促进政策应该优先建立，或者同时推出。比如：出台相关政策支持稳定币在现行金融系统的某些特定业务（跨境支付，特定 RWA 等）先行先试。取得经验再逐步扩展应用范围。 

此外，数字资产的运行可以按要求自带监管功能，因此监管和现行金融监管可以不一样。监管机构可以通过对应用方特定智能合约的审定，对具体的应用实现实时监管，这样监管效率更高，成本更低，监管效果也更好。 

质疑派 

有支持者自然也会有另一方的声音，在我们采访的对象中，也有一些人认为香港发行港元稳定币可能不会产生想象中的效果，更有甚者对其必要性提出了质疑： 

Foresight News 副主编 Joe Zhou 表示，其担心的是港元稳定币公司是否有足够的市场化竞争信念。Joe Zhou 称，透过股权，无论是圆币、京东，还是渣打，三家机构都是由传统金融背景的机构控股。同时，这三个团队目前还没有足够 native 的 Web3 人才，这或许是他们想与全球稳定币公司竞争的一大阻碍。另一点，港元稳定币是港元的延伸，这是否会极大的限制其规模。正如当前香港ETF与美国ETF的差距一样。 

香港区块链协会共同主席方宏进从多角度阐述了自己的观点，包括美元稳定币、锚定「一篮子货币」的稳定币和港元稳定币方面。其表示，若是在香港发行锚定美元的稳定币，从金融环境和法律规范来看是没有问题的，但是要问的是谁会用？能有多大市值的流通量？在锚定法币的稳定币1600亿美元的市值中，Tether 发行的 USDT 占 70% 左右，Circle 发行的在美国部分合规的 USDC 占 20%，其他的稳定币所占份额都很小。所以香港发行锚定美元的稳定币，虽然是合规的得到官方批准的，但其在市值上可能很难达到已有美元稳定币的程度。 

方宏进称，「Tether 在早期始终被质疑其持有的美元是否与 USDT 能保证 1:1 的锚定，而在持续的质疑下 USDT 依然保持着市场占有率的首位并不断发展的主要原因是其别人无法企及的流动性。几乎所有的中心化交易所和去中心化交易所都一定以 USDT 作为最主要的交易对资产，USDT在私人之间点对点支付时几乎是唯一可接受的虚拟货币。所以仅仅因为发行的美元稳定币是合规的，能不能就可以与USDT一竞天下，我个人绝不乐观。」 

在锚定「一篮子货币」的稳定币方面，方宏进表示，「2019 年 Facebook 曾经大张旗鼓地宣发要发行 Libra，其顶层设计就是按照不同比例锚定美元、欧元、英镑、日元等汇总的『一篮子货币』发行稳定币。我当时就在媒体公开发表评论指出其不可行，姑且不论各国央行如何监管，仅就这几款硬通货之间的汇率上下波动，搁在一个『篮子』里怎么维护稳定币的币值稳定？相当于谁稳定？当然扎克伯格被叫到美国国会听证会上答辩了两次，Libra 此后就偃旗息鼓不了了之了。那么现在在香港发行锚定『一篮子货币』的稳定币可行吗？应该是已经有机构尝试做了，结果如何大家可以自行查询。至于在香港发行锚定其他国家法币的稳定币，不妨都试试，可能会在香港与其所在国之间的跨境支付中可以发挥作用，但是发行规模都不会有多大。」 

最后，就港元稳定币方面，方宏进表示，其了解到一些有内地大厂背景的在港机构计划发行港元稳定币，其目的是为了配合国内企业做跨境贸易、跨境电商提供点对点支付的便捷服务。 

方宏进认为，港元本身就是一个锚定美元发行的区域性货币，与美元保持联系汇率，很难有自主性的货币政策（例如利息），可以在香港自由兑换成美元。港元除了在香港本地拥有排他性的法币地位外，在其他国家和地区（也许澳门例外）是没有什么应用场景的。所以既然有了成熟并已经被广泛接受的美元稳定币模式，发行港元稳定币基本属于多此一举。 

方宏进称，首先，内地企业或个人向外汇管理局申请外汇汇入或汇出指标时，外汇是美元还是港币都是一样的，申请港元并没有什么优惠政策；其次，除香港外估计没有哪个国家或地区的客户在可以接收美元稳定币时，却会选择接受港元稳定币；再其次，港元稳定币在香港本地零售市场的应用也很难扩展，因为香港政府已经在积极推动 CBDC 型的数码港元在香港的使用。企业发的港元稳定币和政府发的数码港元，两者使用起来的感受几乎没有什么差别，香港居民可能会更加倾向于数码港元。 

虽然对港元稳定币并不乐观，但其仍认为稳定币仍有机遇，但是必须突破目前局限于锚定法币的桎梏，发行包括企业的链上商业票据、有收益的稳定币以及锚定增值性实物资产的稳定币。 

最后，一位资深但要求匿名的行业内人士用一句话总结了大多数不看好的人的想法：USDT 的成功不可复制，硬要做稳定币成功率不高。

9月3日，人民法院报发文《虚拟货币司法处置须规范化》，文中指出，虚拟货币司法处置的规范化对维护金融稳定和促进市场健康发展至关重要。据 SAFEIS 安全研究院统计，2023 年中国打击涉虚拟货币犯罪案件总量为 428 件，较 2022 年减少 88.9%，但涉案金额陡增至4307.19 亿元人民币，约为 2022年的12.36倍。

文章强调，当前虚拟货币处置面临权属认定、价值评估和合法变现等多重挑战。为应对这些问题，建议尽快出台全面的虚拟货币司法处置指导意见，明确其法律地位、合规要求、资产处置程序和法律责任。

同时，文章呼吁加强国际合作，共同应对虚拟货币带来的全球性挑战，为数字经济和数字金融的发展奠定法治基础。

在当前的司法实践中，虚拟货币处置已经成为一个备受关注的焦点问题。根据零壹财经发布的《2022年中国虚拟货币司法处置报告》显示，截至2022年底，中国司法机关有待处置的虚拟货币总量达到了惊人的数值，涉及比特币（BTC）、以太坊（ETH）、泰达币（USDT）等多种主流虚拟货币，总价值估计超过数十亿美元。另据SAFEIS安全研究院统计，我国2023年已打击涉虚拟货币犯罪案件总量428件，较2022年减少了88.9%，但整体涉案金额陡增至4307.19亿元人民币，约是2022年的12.36倍，虚拟货币已逐渐成为我国主要的刑事涉案虚拟财物之一。这些数据仅涵盖了已知的、正式进入司法程序的虚拟货币，实际数量可能更为庞大，因为许多案件仍在调查阶段，尚未完全统计。

涉案虚拟货币的司法处置是目前司法机关颇为棘手的现实难题。一方面，2017年《关于防范代币发行融资风险的公告》与2021年《关于进一步防范和处置虚拟货币交易炒作风险的通知》的相继发布，进一步明确了对虚拟货币交易的严格限制。政策的调整不仅重塑了虚拟货币的法律定位，将其从潜在的货币替代选项转变为非法金融活动的焦点，同时也对司法实践产生了深远影响，尤其是在虚拟货币性质的法律认定及其司法处置流程上，提出了全新的挑战与要求。另一方面，司法机关又对虚拟货币存在现实的处置需求，在集资诈骗、电信网络诈骗、开设赌场、组织、领导传销活动、洗钱等相关案件中，司法机关需要把扣押的虚拟货币变现，以实现认定犯罪金额或上缴国库等目的。此外，还包括在民事案件中作为财产保全对象的虚拟货币，以及在行政违法活动中被没收的部分。由于传统的处置方式如拍卖、变卖等因违反现行法规而难以实施，导致大量虚拟货币被封存，无法转化为流动资金，影响经济活动的正常运行，因而，当前对虚拟货币司法处置的法律规制迫在眉睫。

面对虚拟货币的司法处置，公安机关进行了积极探索，如山东省和福建省分别提出了不同处置方法，包括与发行方协商回收、拍卖优先，以及委托第三方机构处置等。然而，这些尝试在操作层面还是面临合规性、监管空白与风险控制等问题的挑战。现行处置方式，无论是通过第三方公司交易还是转委托境外公司变现，均存在合规性风险，包括但不限于职务犯罪、违反禁止虚拟货币炒作政策、外汇管理规定等。尽管公安机关尝试多种处置方法，但因缺乏统一标准，各地执行差异较大，且部分处置方法如境内OTC交易已被减少使用。

虚拟货币司法处置中通常面临以下法律问题：首先是权属认定的问题。在证据收集方面，司法机关面临的主要难题是如何在虚拟货币的匿名交易环境中，准确追踪和确认权属。为此，他们需要依赖一系列复杂的取证手段，包括对从虚拟货币交易所获取的交易记录、智能合约代码的分析，以及IP地址和地理位置数据的追踪，这些都构成了构建虚拟货币案件完整证据链的基础。此外，专家证言在解释区块链技术和虚拟货币交易的复杂性方面也起到了关键作用，帮助法庭理解和评估虚拟货币的权属与价值。虚拟货币的权属认定面临匿名性与去中心化的双重挑战，其所有权基于私钥控制而非传统的实名制账户或第三方登记，这给司法实践中权属确认带来了巨大难度。司法机关需构建多元化的证据链，包括电子数据、交易记录、网络日志、证人证言等，以确保证据链的完整性与可靠性，同时借助第三方机构的专业技术手段，确保私钥的真实性和合法性，强化保密与安全措施，以维护司法程序的公正性与虚拟货币的安全性。

其次是虚拟货币价值评估的问题。市场波动性与评估时点选择对虚拟货币的价值评估至关重要。虚拟货币价格受多种因素影响，评估时点的选择直接影响其价值，如何确定评估时点以反映虚拟货币的真实价值，成为一大难题。评估标准的确定与数据真实性直接关系到虚拟货币的估值。不同交易平台存在价差，选择合适的评估标准至关重要。同时，如何防止评估过程中的利益冲突和数据操纵，确保评估结果的真实可信，亦是司法机关面临的重要挑战。司法机关需加强动态评估策略，结合市场分析与案件进展适时调整评估时点，同时利用多平台数据整合与专业评估机构的服务，确保评估结果的客观性与公正性，增强评估过程的透明度，接受多方监督，以保障评估过程的公平性和结果的接受度。

再次是虚拟货币合法变现的问题。在变现时机的把握与市场风险方面，虚拟货币价格波动，选择最佳变现时机以最大化价值回收，成为司法机关的一大挑战。同时，如何在合法渠道与高效交易之间寻找平衡点，确保变现过程符合法律法规，亦是难题。在资金分配与归属的明确与复杂性方面，应合理分配变现所得，确保各利益相关方的权益得到妥善处理，涉及法律、经济与社会多方面考量，其复杂性不容小觑。虚拟货币的合法变现涉及变现时机的选择与市场风险的把控，司法机关需审慎选择最佳变现时机，建立健全风险管理机制，同时确保变现过程的合规性与安全性，通过选择国内外知名交易平台或司法拍卖平台，建立健全合规审查机制，确保所有操作符合法律法规要求，实现资金分配的透明与公正，保障所有利益相关方的合法权益，维护国家的金融秩序与社会公益。

涉案虚拟货币司法处置之所以出现两难困境是因为在认识上否认虚拟货币财产属性的同时，在涉案财物处理过程中又无法回避虚拟货币呈现出的财产价值。针对虚拟货币处置的复杂性与挑战，我国司法实践须尽快出台一套全面的虚拟货币司法处置指导意见，为这一新兴领域提供明确的法律依据与操作规范。这一指导意见应覆盖虚拟货币的法律地位、合规要求、资产处置程序、法律责任等多个维度，以构建一个更加公平、透明、安全的市场环境，促进虚拟货币行业的健康发展。

明确虚拟货币的法律地位是构建合规框架的基石。指导意见应界定不同类型虚拟货币的属性，如加密货币、稳定币、功能性代币等，明确其在法律体系中的位置，是否被视为财产、商品或是其他形式的资产。同时，确立虚拟货币的合规要求，包括注册备案、信息披露、反洗钱与反恐怖融资措施等，确保市场参与者的经营活动合法合规。

资产处置程序的规范是确保虚拟货币司法处置顺利进行的关键。指导意见应详细规定虚拟货币的冻结、查封、扣押、拍卖、变卖等环节的法律程序，明确司法机关、金融机构与第三方机构在处置过程中的职责与权限。同时，界定违反规定的法律责任，包括行政处罚、刑事责任等，形成有力的法律威慑，保障处置活动的公正性与合法性。

保障当事人权益是构建公平市场环境的核心。指导意见应确保在虚拟货币处置过程中，当事人的知情权、参与权与救济权得到充分尊重，处置过程的每一个步骤都应公开透明，接受社会监督。此外，规范第三方机构的选择与监管，通过公开招标或竞争性谈判等方式，确保第三方机构的专业性与公正性，避免暗箱操作与利益冲突。

为了提升虚拟货币处置的透明度与安全性，指导意见还应强调过程留痕与强化监管的重要性。第三方机构在处置虚拟货币时，需全程记录操作细节，确保每一个步骤都有据可查，便于后续审计与复核。同时，建立健全跨部门监管机制，包括司法机关、金融监管机构等，对处置过程进行全程监控，及时发现并纠正违规行为，维护市场秩序。

虚拟货币的跨境特性决定了其监管与处置需要国际合作。我国应积极参与国际规则的制定，与各国监管机构分享经验，协调政策，共同打击跨国虚拟货币犯罪，防范金融风险。同时，构建一个充满活力又安全可控的虚拟货币司法处置生态系统，不仅有利于促进数字经济的健康发展，也为全球虚拟货币治理贡献中国智慧。

综上所述，虚拟货币司法处置的合规路径探索与优化，对于维护金融稳定、促进市场健康发展具有重要意义。虚拟货币的监管与司法处置是一项系统工程，需要立法、司法与监管机构的协同努力，以及国际合作。虚拟货币的司法处置问题不仅考验着各国法律体系的适应能力和创新意识，也对全球监管合作提出了更高要求。面对这一新兴领域的挑战，如何在维护金融安全与促进科技创新之间找到平衡，成为全球范围内亟待解答的关键课题。面对虚拟货币带来的机遇与挑战，我国应继续秉持审慎原则，通过出台全面的指导意见，为虚拟货币司法处置提供明确的法律框架，构建一个健康、透明、高效的金融市场环境，为数字经济和数字金融的繁荣发展奠定坚实的法治基础。

原作者：Ansgar Dietrich ，Casparschwa，以太坊基金会

本文来自于Ansgar Dietrichs和Casparschwa在eth research论坛上针对以太坊质押机制与ETH增发模型的讨论。极客Web3对此进行了整理和删改。这些观点在2024年2月提出，部分数据可能存在偏差，但其关于以太坊质押经济模型的分析仍值得参考，且其中部分结论仍未过时。

正文：目前以太坊上质押的ETH已达3000万枚，占总量的1/4（这是今年2月的数据）这个比例相当可观，而且还在上升，没有任何放缓迹象。下图显示了ETH质押量随时间的变化，可以明显看出呈持续增长趋势，而这种趋势会长期持续下去。

未来，ETH的新增质押中将有很大部分受LST（流动性质押代币）影响，如stETH等。这会让LST的使用率和货币属性逐渐增强，但这可能带来负面效应。

首先，LST具备网络效应，规模较大的LST项目会蚕食该赛道中所有的流动性，最终形成赢家通吃，这会加剧LST赛道的竞争格局。此外，如果LST超越ETH，成为以太坊上除Gas Token的主流货币，届时用户将面临LST带来的对手方风险。以太坊上的货币应尽可能免信任，才能真正实现经济上的可扩展性。

（“对手方风险”指对方可能违约/无法履行义务。LST场景中“对手方风险”主要包括用户资产被盗、LST价格滑点、贬值）

目前，ETH质押没有硬性的上限规定，理论上所有ETH都可被质押以获得收益。而LST显著改变了质押的成本结构，几乎所有的ETH都可能被质押。因此我们认为，以太坊的经济模型与质押模式应当包含动态的调节政策，让质押比例在一定范围内调整，这样一来以太坊就能在可控的成本规模下确保安全，避免负外部性的产生。

在本文中，我们针对以太坊的经济模型提出了一些亟需解决的问题。

ETH代币发行策略的现状与未来趋势

在展开讨论前，我们先探讨当前的ETH代币发行政策下，哪些长期的质押模式是可行的。以太坊的安全依赖于一定比例的代币质押，可以概括为POS以太坊本身有“吸引质押的需求”。而对质押的需求在以太坊的货币政策中有明确规定，根据实际的质押权重，协议会相应调整ETH增发量，提高单个节点的质押奖励。

然而，ETH持有者的质押意愿是多样且复杂的，我们只能基于现有信息进行合理推测，粗略估计质押意愿变化对质押者参与情况的长期影响。

ETH质押的供需关系曲线：用增发的ETH换取安全保障

Validator节点质押ETH会让协议获得安全保障，协议再向ETH质押者分发代币奖励，这是一个双赢机制。（限于篇幅，本文对“安全性需要达到什么程度”等具体问题不加讨论，想要了解详情可以参考文章Paths toward single-slot finality）而Validator的收益主要来自两部分：

第一部分：协议根据固定的收益曲线发放的奖励；（就是以太坊每年通过增发ETH，分配给质押参与者的奖励）

第二部分：Validator在出块过程中获得的MEV收益。

（本图横轴为ETH的质押参与度，纵轴为质押收益率，描述了以太坊协议为满足不同的质押率，所愿意提供的质押收益 我们可以将以太坊协议视为买家 质押者视为卖家）

注：要理解下面的内容，可能需要读者对经济学中的供需关系曲线有简单的认知。

ETH增发收益曲线（绿色实线）：从该曲线中可以看出，随着质押者增加，以太坊提供给单个节点的质押奖励将逐步减少。ETH质押参与度较低时，系统需要更多奖励验证者，以鼓励更多人质押ETH；当越来越多人参与质押时，单个验证者对网络安全的边际贡献会降低，对质押奖励的需求也随之减少。

总质押收益曲线（绿色虚线）：ETH的固定增发收益加上MEV收益，构成了质押者的总质押收益。这里要注意，MEV收益率的计算方式为：MEV收益总量（去年约为30万个ETH）除以被质押的ETH总量。

由于MEV收益总量基本是固定的，所以随着验证者增多，MEV收益率会快速下降，最终使得质押收益率趋近于单纯的ETH增发率。值得注意的是，以太坊的MEV收益在过去一段时间内相当稳定（参考MEV-Boost Dashboard），虽然这在未来可能变化，但为了简化我们的讨论场景，暂时将其视为固定不变的。

从上述曲线中，我们可以读到两条关键信息：

• 为了避免质押参与度过低，以太坊在质押参与度较低时设置了高回报来吸引更多质押者。

• 每个质押者的边际效用递减，即随着质押参与度增加，ETH代币的增发率逐渐减少。

然而，上述质押收益率曲线未能理想的调节质押参与度。首先，该曲线无法有效限制质押比例的阈值，即使所有的ETH都被质押，质押激励仍会保持在约2%左右。换句话说，在激励设计层面，以太坊没有对最终实现的质押比例进行精准控制。总体而言，除了在初始阶段通过高激励来确保系统有最低的安全保障外，协议没有引导质押水平达到某个具体范围。

需要注意，上面提到的只是名义收益，未考虑增发ETH本身带来的稀释效应。随着更多ETH被增发，稀释效应将愈发显著。对此我们暂时忽略稀释效应的影响，放到后文详细讨论。

ETH质押的供给侧分析

上文讨论了质押的需求曲线，也就是以太坊协议为满足不同的质押比例，所愿意提供的质押收益。现在我们将目光转向供给曲线。质押供给曲线展示了ETH持有者在不同收益率下的质押意愿，揭示了不同质押参与度所需的条件。

一般情况下，该曲线会呈右上倾斜，这意味着网络要达到更高的质押参与度，需要更高的激励。然而，由于质押意愿无法被直接观测或准确测量，供给曲线的形状无法具体描绘，我们只能通过定性分析来推测。

此外，供给曲线并非一成不变，我们将探讨质押成本随时间的变化，以及这种变化如何影响ETH持有者的质押决策。换句话说，质押成本的变化将导致供给曲线的位移，使得ETH持有者对质押激励的需求发生变化。

我们只能将历史上可观察到的质押水平拟合成近似的的质押供应曲线，每个特定时间点上需求曲线和供应曲线的交汇点反映了历史上真实达成的质押参与率。

本图横轴仍为ETH质押参与度，纵轴为质押收益率。如图所示，自以太坊信标链启动以来，质押的ETH总量持续增加，质押量的供应曲线是向下移动的。即使在较低的质押收益下，ETH持有者的质押意愿依然会增加。从历史趋势看，短期内供应曲线持续下移属于合理预期。然而值得深入探讨的是长期质押平衡的问题，我们需要仔细分析供给端的构成。

任何ETH持有者在决定是否质押时，通常会考虑两个主要因素：质押收益以及所需成本。总体来看，验证者手中单位资产的质押收益是相同的，但不同类型的质押者却在成本结构上存在显著差异。下文将深入对比独立质押者和质押服务提供商（SSPs）之间的差异。

独立质押者vs质押服务提供商

SSPs接受用户的ETH，并代用户完成质押操作，收取一定的服务费用。通常情况下，他们会为用户提供LST作为质押凭证，用户可以把LST用于二级市场交易（比如stETH）。对于LST持有者而言，这些代币的流动性取决于LST的整体使用率，以及第三方协议对其的支持率。

我们要重点分析的，是Lido这类发行LST的SSPs。至于那些不发行LST的SSPs，可以将其视作LST流动性价值为零的特殊情况，不在本文讨论。

对于大多数人而言，单独质押不需要信任第三方，但参与门槛较高，操作繁琐；相比之下，LST需要一定程度的信任，但却具有显著的简易性和流动性优势。

在比较这两种质押方式后，我们可以得出两个重要结论：

1. 在不同的ETH持有者之间，独立质押的成本结构存在明显差异，技术含量的高低、硬件条件及运维成本的不同，以及对托管安全的信心，都使得独立质押者的供应曲线更为陡峭。这意味着，如果要让独立质押者的数量显著增加，要么大幅增加质押收益，要么改善质押操作的UX。

2. 相比之下，利用SSPs质押的用户成本结构基本相同，主要差异仅体现在对SSP运营风险的评估以及对LST与ETH之间兑换滑点的顾虑。因此，SSP的供应曲线较为平缓。这意味着，要吸引更多的ETH持有者进行LSD流动性质押，所需的收益率增幅相对较小，可以较为平滑地扩大质押参与率。

此外，独立质押的成本不受质押参与度的影响，而持有LST的成本则可能随着时间的推移以及SSPs使用率的提升逐渐降低，原因如下：

1. LST的“货币属性”增强：当某种LST的受欢迎程度提升时，我们可以预期其将得到越来越多项目的支持，超越原生ETH的使用场景，例如更多的DeFi协议集成LST，二层网络默认对桥接的ETH进行流动性质押等。当ETH质押比例足够高时，LST甚至可能在流动性方面超越未质押的ETH，反转二者的流动性差距。

2. 智能合约风险降低：随着时间的推移，LST的智能合约会经过大量的实践检验，并且通过形式化验证等方式进一步降低风险。

3. 治理系统稳健性的提升：随着使用率的增加，LST相关的治理机制也会变得更加成熟和稳健，例如LDO + stETH dual governance提案就反映了LST治理体系的进步。

4. 对大规模风险预期的降低：当某种LST占据整体市场足够大的比例时，它可能会被视为“太大而不能倒”的存在。所以用户相信市场上的各种力量会在SPPs出现问题时及时补救。

5. LSD服务提供商的盈利平衡：当LST的使用率足够高使其流动性足够好，SSPs可以降低单位服务费用来维持盈利，吸引更多用户参与。

整体来看，SSPs和LST的存在使得质押供应曲线被显著拉平，这意味着不需要继续提高质押激励，就可以推动以太坊质押总量的增加。由此可以推测，LSD将继续在推动质押量增长方面发挥重要作用。然而这样一来，长期的时间维度中，质押激励并不是ETH质押增长的桎梏，那么ETH质押究竟能达到多大规模呢？

质押率的长期均衡点

综合考虑需求和供应等因素，我们可以推测出ETH质押能维持的长期均衡状态。前面我们提到，当质押参与率较低时，需求曲线表现出明显的倾向性，但对于长期内可能达到的具体质押比例没有明确结论。

随后我们说明了随着质押成本和风险的降低，供应曲线会随时间逐渐下移，使得越来越多人愿意参与质押，其中起到主要推动作用的正是LST。然而，供应曲线本身的形状无法定量分析，其是否足够陡峭、能对质押参与度形成合理调节，目前并不明确。

因此，总体质押比例的均衡点并不能准确计算出来，存在广泛的可能性，甚至可能接近100%。下图反映了即使长期内的供应曲线差异很小，也可能导致质押比例的均衡点出现位移。

其实最关键的不在于质押参与率会达到多高，而是这种高质押率一旦出现，会带来一系列隐患。本文提出了一些政策上的调整建议，以防止这种情况发生。

质押比例分析：什么情况下质押率少反而更好

质押率可以定义为ETH质押量与ETH总供应量的比值，ETH当前总供应量约为1.2亿枚，其中大约有3000万枚被质押，质押率约为25%。在探讨高质押率可能带来的潜在问题之前，我们要先搞清楚一个标准：

到底质押率达到何种水平，就可以保证以太坊的安全性。根据此前以太坊基金会的一次讨论记录，我们可以知道当前的质押水平足够确保以太坊的经济安全了。

这就引出了一个问题——如果当前的质押率已经能够保障网络安全，是否有必要追求更高的质押率，达到“过度安全”？在我们看来，高质押率虽然能增强网络的安全，但可能带来一些负外部性，影响到ETH持有者、独立质押者，甚至整个以太坊协议的运行。

LST货币属性的网络效应（LST）：拒绝承担风险

LSTs在争夺货币属性这个问题上竞争很激烈。由于网络效应的存在，这种竞争往往呈现出“赢家通吃”的局面。随着LST的应用领域不断扩大，实用性随之提高，市占率也会逐步上升，LST的货币属性在多个方面都将得到加强，例如链上和链下的集成度、流动性、抵御治理攻击的能力等。

在高质押率的环境中，如果某单一SSP控制了大部分的质押比例，很可能会被视为“大而不倒”。如果大多数ETH都质押在该SSP处，很难有办法对其进行有效惩罚。如果一个占据主导地位的SSP渗透进以太坊协议治理的核心，但却不必对用户担负相应的责任，这种集中化的治理风险，无疑会对以太坊的去中心化产生深远影响。

如果大部分ETH都参与了流动性质押，实际上在除Gas Token之外的多数场景中，真正作为货币的将会是LST。然而，无论是由ETF、CEX还是链上质押池发行的LSTs，都伴随着不同的信任假设，具有显著风险。最终，用户将不可避免地承受来自运营商、治理、法律以及智能合约等方面的额外风险，这显然不是理想状态。

此外，LST虽然自夸可以还原被质押ETH的流动性，但其在DeFi中作为抵押物的效果肯定不如原生ETH。以太坊网络想要实现真正的经济可扩展性，其货币必须尽可能去信任化，最好是使用ETH本身。

最小可行发行量——服务于用户体验

以太坊的最小可发行量MVI是以太坊网络在维护其安全性和功能性前提下，所需的最低发行量，旨在平衡网络的安全性和ETH通胀率。根据MVI原则，必须确保有足够的质押参与来保障协议的安全性，但质押量不宜过多。

当质押水平达到某个临界点时，协议的安全性已经足够稳固，此时额外质押带来的边际效用会逐渐递减，甚至可能出现负面效应（例如，增加网络负载、稀释ETH持有者的权益等）。此外，质押是一项协议所需的基础服务，协议应为质押支付合理的报酬吸引用户参与，而不是因资产稀释压力使用户被迫参与。

若ETH发行量继续增加，会导致所有ETH持有者和质押者面临更大的稀释风险，然而SSP却不会受到负面影响。因为代质押ETH的所有权并不属于SSP，SSP只是通过收取服务费来获取收入，ETH价值稀释与其无关。不但如此，如果更多人为了对冲通胀而参与LSD质押，SSP收的服务费用能水涨船高。

假设一个情境：以太坊质押参与率为90%，质押年收益率2%，流动性质押占总质押价值的90%，且平均SSP费率为10%，换算下来每年将有相当于以太坊市值0.16%的费用支付给SSP，约为20万ETH，按当前价格计算，约合5.3亿美元。这5.3亿美元，实际上相当于是对所有ETH持有者的一种隐形税收。

实际收益率：名义收益率 — 稀释效应

类似于金融学中的名义利率与实际利率，实际收益率为剔除ETH名义质押收益中的稀释效应后得来的真实收益率。随着越来越多的人参与质押，以及以太坊的通胀，由ETH质押带来的名义收益将逐渐被稀释，实际收益能更清晰地反映出质押的真实激励，而我们之前讨论的质押收益曲线，均为名义收益曲线。

上图分别反映了稀释效应对质押者和非质押ETH持有者收益的影响。对于不进行质押的ETH持有者（图中红线所示），由于他们的名义余额保持不变，但承受了通胀带来的稀释效应，所以他们的实际收益显然是负的。为了清晰地描述这种影响，我们可以将质押比例“S”分为两种情况进行分析。

当质押比例较低时（曲线左侧部分），实际收益曲线（绿色实线）与名义收益曲线（灰色实线）较为接近，这是因为质押者数量较少，协议通过增发ETH而分配的奖励也少，所以ETH通胀率很低，稀释效应较轻。在这种情况下，质押的主要激励来自于正收益，即图中绿色区域。

当质押比例较高时（曲线右侧部分），实际收益与名义收益曲线之间的差距渐渐增大。随着越来越多的质押者参与，ETH的增发量增加，稀释效应更明显。除了实际收益的减少外，质押者的一部分激励来源于“稀释保护”，即通过质押对冲通胀。极端情况下，当质押比例接近100%时，质押的实际收益将仅由MEV收益构成，此时以太坊的通胀率将非常高，因为要不断的增发代币奖励质押者。

总结下来就是，质押比例高与低的最大区别，是质押收益的构成不同。低质押比例下，用户会获得实际的正向收益，质押比例提高后，由于通胀率较高，用户最后只能获得较少的收益用来抵消稀释效应，即“稀释保护”。以太坊质押比例越高，新发行的ETH就越多，质押用户的名义收益就越高，然而名义收益高并不意味着实际收益高。

需要强调的是，这种收益构成的变化并不会降低质押的激励作用。如果只看结果，稀释保护和真金白银的正收益，对于用户来说同样具有吸引力。然而，两种不同性质的收益对用户的意义截然不同：当质押比例较低时，质押是一项由以太坊协议为之买单的、有利可图的服务；相反，当质押比例升高时，质押变成了一种对冲通胀的无奈之举。

因此，如果质押比例向右移动到最高，我们可能会陷入一种最差的局面：质押提供的实际收益极为有限，还对那些不愿接受LST的人构成资产稀释的威胁。

任何质押者在同一质押政策下，一定会选择对自己来说实际收益更高的策略。但在以太坊的协议设计中，用户根本无法选择，因为协议的发行曲线决定了质押的最终均衡状态（长期质押供给曲线固定的情况下），出于收益考虑，任何用户只能选择参与质押这一种策略。

独立质押的可行性较差

SSP成本固定，质押越多单位成本就越低，天生具备规模经济优势。随着SSPs管理的ETH数量增加，其边际效率也会提升，能压低成本收取更低的服务费用，吸引更多用户，并实现更高的利润。基于这些优势，成功的SSP可能被视为“大而不倒”的存在，这降低了其面临的尾部风险，并进一步强化了规模效应。

（尾部风险：极端事件的发生风险，这些事件概率极低，但一旦发生往往会导致极大损失）

相反，独立质押者需要自行承担所有成本，成本不会因质押量的增加而减少，反而会因网络负载的增加而有所上升，这正是以太坊通过EIP-7514提案的原因之一。

按照前面的分析，随着越来越多的质押收益被用于对冲通胀，而非获取实际收益，质押者的实际收益越来越依赖于MEV，而MEV收益具有高波动性，会让独立质押者的总收益产生波动。相比之下，SSP能够将总的MEV收入按比例分配给其管理的所有Validator验证节点，有效降低了质押收益波动对其整体运营效果的影响。

随着LST的使用率上升及其货币属性的增强，独立质押和LSD质押间的差距将进一步拉开。换句话说，随着质押率上升，独立质押相较于LSD质押的竞争劣势愈加显著。

在许多司法管辖区，政府对质押收入征税时以名义收入为基础，而不是经过稀释效应调整后的实际收入。通过某些结构设计，LST能够为持有人提供一定的保护，避免这种税收影响，而独立质押通常无法做到这一点。随着名义收益与实际收益之间差距越来越大，独立质押者的收益水平也进一步被LSD质押者甩开。

基于此，我们提出以下观点：

1. 持有原生ETH应具备经济可行性，确保良好的用户体验，并避免因安全风险导致的价值稀释问题，从而更好地保护ETH持有者的利益。

2. 为了实现真正的经济可扩展性，以太坊的通用货币应尽可能免信任/无需信任。只有这样，才能确保整个系统的稳健和广泛的适用性。

3. 资产价值的稀释保护成为质押的主要激励构成，对质押者和ETH持有者来说都是不理想的结果。依赖稀释保护作为激励可能会带来不必要的市场波动，削弱了质押机制的初衷。

4. 高质押参与率会进一步加剧独立质押者在市场中的竞争劣势，可能让更多用户倾向于利用SSP进行质押，导致质押的集中化，不利于网络的去中心化和安全。

以太坊未来能达到的质押比例仍不确定，我们需要主动采取措施，确定一个最优的质押比例，防止比例过高产生负面影响。即使高质押比例对某些人来说可能是有利的，这个选择也应当是经过充分考量后做出的，而非受到市场外部因素的随机影响。

质押参与比例的最终目标

我认为，以太坊的质押政策应当以质押比例为基准，而非ETH的质押量。ETH的供应量受到EIP-1559和发行机制的影响而波动，以质押比例为标准能够适应这种供应变化。虽然目前ETH的供应变化非常缓慢，自The Merge以来每年下降约0.3%，但其长期影响不可忽视。设立以质押比例为基准的政策，能够在更长时间范围内保持稳定，无需频繁调整。

如前文所说，当前的发行曲线虽然确保了最低的质押水平，但缺乏限制质押比例上限的机制，这可能会导致质押比例过高。我们认为，一个完善的代币发行政策应当设定质押比例的上下限，来确保网络安全，并维持合理的参与度。具体而言，该政策应努力将质押比例保持在一个“既能确保网络安全，又能避免负面外部效应的最佳范围”内。

为此，以太坊可以对过低的质押比例设置超高奖励，对过高的质押比例设置超低奖励、甚至是负奖励，来调节质押比例。通过这种方式，以太坊可以调控质押参与度。这种政策设计的曲线可以参考Vitalik所提出的示例，该曲线展示了如何在不同质押比例下调节奖励，以引导质押行为。

如图中的发行曲线所示，质押参与度较低时奖励丰厚，与当前的政策一致。随着质押参与度的提高，质押收益逐渐减少，直至转为负值。换句话说，质押的收益最终将减少到不再具有任何吸引力，从而抑制质押行为。然而，这种负收益状态不会长期持续，质押参与度会因为这种机制的调节逐渐降低，并在某个合适的水平达到均衡。因此，呈现出这种收益曲线规律的模型，能够确保质押比例维持在合理范围内。

事实上，要达到合理的质押比例范围，并不需要选择一条收益迅速转为负值的曲线，那些在某个临界点之后仅将质押奖励控制在零或接近零的曲线，可能已经足够达到同样效果，既能抑制过度质押，又能维持系统的稳定性。

确定合理质押比例范围带来的影响

确定合理的质押比例的优势在于，能有效避免高质押率带来的各种负面影响。不过，这种策略并非没有缺点，一个明显的例子是，独立质押者在此情况下面临的奖励具有波动性。与高质押率的环境类似，在确定合理质押比例的策略下，激励来源有很大一部分是MEV收益，这会加强其波动性。

因此，尽管确定质押比例范围的优点很多，但也可能加剧本就存在的收益波动性。MEV风险可以通过引入Execution Tickets或MEV Burn等机制来解决，或设置质押费用的方式来缓解，在一定程度上平衡收益的波动性。也有一些人反对将质押比例确定在某一范围内，其中一个具有代表性的观点是，这样做可能会降低整体的均衡收益，从而加剧独立质押者与SSPs的竞争，以及不同SSPs之间的竞争。

反对者的逻辑是，整体均衡收益降低导致资金供应不充足，一些SPPs采用的质押形式可能对以太坊协议更有益，但由于其项目竞争力不足，难以持续盈利而存活下去，导致以太坊的整体效用更低。要应对这一问题，仍然要分清名义收益和实际收益。

虽然确定质押比例范围的策略可能降低名义收益，但实际收益未必会受到影响，。以下示意图进一步了说明这一点。

上图表示采用确定的质押比例范围时，系统达到长期均衡的情景，下图则大致展示了当前以太坊代币发行曲线下的情景。这两个例子都基于相同的假设：约1亿ETH参与了质押，即长期质押供给保持一致，这样的对比才有意义。

下图中，大部分质押激励用于稀释保护，因此实际收益率仅维持在约0.5%左右。而在左图情境中，系统会达到一个较低的名义收益率均衡点，但由于通胀率较低，实际收益率会提高至约1.4%。

这一例子清楚地说明了，确定质押比例范围会合理地提升实际收益率，可以缓解质押者之间的竞争压力。此外，这也有利于不参与质押的ETH持有者，因为能最大限度地减少稀释风险。

开放性问题

本文提出的策略是确定合理的质押比例。然而，这存在一些亟待解决的问题。

1. 质押比例的理想范围是多少？

对于质押比例，我们已经讨论了不理想的范围，但并未明确提出理想化的质押比例区间。其实这个问题相当复杂，需要在社区内进行深入讨论，并会参考Vitalik和Justin的一些意见。

该问题的核心在于权衡——较低的质押参与度会增加协议受到攻击的风险，而过高的质押参与度则可能带来负外部效应。为了更好地确定质押区间，我们可以对不同质押比例下的效用进行建模。一种可能的效用曲线如下所示：

2.如何选择合适的质押收益曲线以达成目标范围？

确定合理的质押比例后，设计者还要选择合适的质押曲线，来实现以太坊质押参与度的均衡。设计者要仔细评估不同曲线的优缺点，挑出最合适的方案。同时，设计者可以继续探索其他机制，例如类似于EIP-1559的反馈控制系统，根据网络状况动态调整质押发行曲线，以确保曲线与网络需求间的匹配度达到最优。

3.如何确保在近零或负发行情况下的激励相容？

激励相容由诺奖得主利Leonid Hurwicz提出，是机制设计的重要原则，具体是说如果某种机制可以将系统内的个人利益与系统整体利益统一起来，该系统就是激励相容的。

以太坊PoS发行的初衷是通过经济激励吸引验证者参与共识，然而在某些质押参与率下，发行收益可能趋近于零，甚至出现负值。尽管在这种情况下，验证者可能为了MEV收益继续质押，但如果缺乏常规的质押奖励，验证节点可能在出块和验证时缺乏足够动力，也就是说当质押发行量过低时，共识机制可能面临失效的风险。

为了解决这一问题，以太坊协议可以对所有验证者收取一定费用，并根据验证者是否称职进行再分配，重新建立激励相容性。然而，这种方案的实施将增加协议的复杂性，因此需要进一步探讨其可行性和有效性。

4.如何以相对（质押比例）而非绝对（固定ETH数量）方式来设定目标范围？

其实也可以将质押发行水平设置为某一绝对的ETH数量，比如3000万枚，或4000万枚ETH，然而为了让发行政策更具前瞻性和适应性，最好直接把质押比例作为考核参数。为了让发行政策以某一特定的质押比例为目标，协议需要掌控ETH质押量和供应量。

5.当质押参与率超出目标区间，如何使其恢复到目标值？

如果当前的质押参与率就在目标区间内，当然是最理想的情况，但如果超出该区间，就必须采取一定措施降低质押参与度，使一部分质押者收益不足进而退出质押。即使我们用最温和的手段降低参与度，这个过程也会对一些质押者产生不利影响。如何尽量降低这种影响仍然是一个需要解决的问题。

结论

我们讨论了当前的以太坊质押激励政策与代币发行方案，详细解释了该发行方案存在的负外部性，探讨了一种可以解决问题的新政策，就是将质押比例设定在一个目标范围内。

然而，鉴于一些尚未解决的问题，尤其是在验证者费用机制和链上MEV捕获机制上的缺失，实现该政策还需要一段时间的过渡。我们提议在这段时间内，对现行的ETH质押与代币发行政策进行革新，作为迈向目标政策的关键一步。

为此，我们在即将到来的Electra升级中，提出了一项关于改革质押发行政策的提案（相关内容可以参考文章Electra:Issuance Curve Adjustment Proposal）。

最近的加密市场涨跌起伏就像坐过山车，前一秒牛市冲天，后一秒熊市压顶。搞得大家都手足无措。有的人决定退出观望，有的人索性躺平不动，有的去冲meme，还有的去合约市场赌大小。

但老实说，面对这种不明朗的市场局面，盲目操作只会让人越做越乱、越亏越多。这时候，建议大家不如停下来思考，看看有没有更稳健的方式管理你的资金。毕竟，投资不只是为了冒险，更多时候是为了保值增值。比起焦头烂额地盯盘，不如考虑一下理财，让你的资金在休息的同时还能为你赚钱。尤其是现在各大交易所都推出了不少保本的理财产品，只要你根据自己的资产结构和风险承受能力，挑选合适的理财方案，既稳健又省心。

4E理财：轻松上手，收益稳健，任你选择

说到理财产品，4E新上线的4个理财产品可以说是首选，不用花太多精力就能赚到不错的收益。而且，无论是活期还是定期，它们的收益率在整个市场里都算是相当高的。

活期理财：随存随取，年化2.5%，市场中少见的高回报

先说说活期理财，4E年化收益率高达2.5%，这个数字在加密市场里可以算得上是“高能收益”了！而且4E的活期理财没有那些让人头疼的“阶梯利率”套路。无论你存入的是500USDT，还是10000USDT，享受的年化收益率都是一样的，统统2.5%！这比很多平台动不动就分级计算利率、搞复杂规则玩文字游戏来得简单透明多了。

想想看，如果你的资金放在钱包里什么都不做，是不是纯粹浪费机会？放在4E的活期理财里，还能让你的资金稳稳生钱。

很多经常关注市场的朋友，对流动性要求很高。有了4E的活期理财，资金可以随时提取，完全不耽误在行情好的时候重新入场。这种随时可以操作的自由度，安心又方便。

定期理财：兼顾高收益与灵活性，年化最高达5.5%

如果觉得近期市场波动不大，没有多大交易欲望，那4E的定期理财非常适合你。平台目前提供了14天、30天、90天三种定期产品，年化收益率分别是5%、5.5%和5.5%。

说实话，这种收益率在市场上已经非常稀有了。市面上很多类似的定期产品，最高不过3%-4%年化，而4E给出的5%-5.5%的年化收益简直可以说是“良心满满”。特别是如果你喜欢短期理财，那14天的定期理财简直是量身定做。锁定两周时间，坐等到期拿收益，资金在这段时间里安稳地生钱，即有高收益又兼顾了资金灵活性。

为什么是4E？AFA官方首推理财产品

在币圈，大家对资金安全的关注尤为重要。4E之所以值得推荐，是因为它不仅拥有强大的平台背书，还具备了严格的风险管理机制。作为阿根廷国家足球队（AFA）的官方首推理财产品，4E获得了国际权威的认可。你可以想象，连梅西都关注的4E，这对我们来说无疑是一个强大的信任背书。AFA选择4E作为官方推荐，证明了平台的可靠性和市场声誉。更重要的是，为了应对可能出现的黑天鹅事件，4E专门设立了1亿美金的风险保证基金。这种高水平的保障，进一步增强了平台的信任度。

另外，4E平台的操作界面也非常友好，设计简洁明了。即使你是第一次接触理财产品，也完全不必担心会操作不来。平台在用户体验上的用心，使得所有操作步骤一目了然，简单易懂。无论是设置活期理财还是定期理财，整个过程都非常顺畅，上手速度极快。这样一来，即使没有理财经验的，也能轻松享受4E带来的稳健收益。

如果你对当前市场的波动感到疲惫，不妨考虑一下4E的理财产品，让你的资金在休息的同时也为你创造收益。

花光100亿美元的OpenAI，又双叒开始融资了！

8月30日，CNBC和《华尔街日报》双重报道称，OpenAI正在筹划新一轮数十亿的融资，本轮融资将由美国Thrive Capital领投10亿美元，其对OpenAI的估值跃升至1000亿美元以上。

目前，新一轮押注已经开始。除了Thrive Capital之外，微软、英伟达、苹果都开始蠢蠢欲动。

不到两年，烧光100亿美元

不得不说，OpenAI的“烧钱”速度真是快。

上一轮OpenAI融资记录还是在2023年1月，微软投资约100亿美元，也是至今为止AI领域最大的一笔融资记录。

2023年1月到2024年9月，20个月的时间，OpenAI用100亿美元换来了超过1000亿美元的估值，以及突破2亿的ChatGPT用户（截止2024年中期）。

如果把时间线放长，在成为AI世界的领头羊之前，OpenAI在十年时间里，一共经历了7轮融资，包括种子前融资、种子轮融资、二级市场融资和企业融资，总募集资金超过200亿美元，是名副其实的“吞金巨兽”。

2015年，刚刚成立的OpenAI，就获得了不少资本大佬的青睐，尤其是现任世界首富埃隆·马斯克。

在2015年6月，由马斯克为首，风险投资家彼得·蒂尔（Peter Thiel）、里德·霍夫曼（Reid Hoffman）、YCombinator创始合伙人杰西卡·利文斯顿（jessica Livingston）、咨询公司Infosys、公共云市场领导者Amazon Web Services、YC Research、山姆·奥特曼（Sam Altman）向OpenAI融资10亿。

虽然开了个好头，但在2015-2018的三年内，OpenAI的发展陷入瓶颈期，同时又因为自身属于非营利组织，在商业化的进程上非常不符合马斯克的计划。

最终导致马斯克与OpenAI决裂，2018年2月20日宣布离开OpenAI。

马斯克和山姆·奥特曼

在2019年之前，OpenAI对融资的态度颇为谨慎，但随着马斯克的离开，以及AI大模型正处于GPT-2迈向GPT-3的关键阶段，OpenAI开始对融资保持相对开放的态度。

2019年OpenAI连续拿到三次融资，分别由Khosla Ventures、Reid Hoffman Foundation、Matthew Brown、微软投资。

其中，微软作为日后最大金主，在2019年7月投资了10亿美元。

为了获取大规模投资完成GPT大模型的搭建，OpenAI从非营利性企业转变为具有利润上限的营利实体OpenAI LP。在新的公司结构下，OpenAI吸引了大波风头机构。

2021年1月，OpenAI拿到老虎全球管理、Bedrock Capital、Andreessen Horowitz投资，具体金额不明。

2021年和2023年1月，微软分别投资了20亿美元和100亿美元。

2023年4月，OpenAI继续拿到了红杉资本、Thrive Capital等机构的3亿美元融资。

在近200亿融资的供养下，OpenAI逐渐诞生出ChatGPT 4.0，开启了AI新时代。

如果说，谁才是OpenAI和ChatGPT的最大功臣？答案并不是CEO山姆·奥特曼，而是微软。

山姆奥特曼和萨提亚·纳德拉

在过去五年的时间里，OpenAI从微软手里拿到了三笔融资，总计120亿美元。OpenAI 80%的资金来源，都来自于微软。

不仅是投资，微软为OpenAI提供了很多资源。例如，OpenAI所有技术都运行在微软Azure云服务器上，微软则为OpenAI搭建了大模型算力中心。

微软还将OpenAI整合到Windows体系，从Bing搜索、Microsoft 365办公软件，再到GitHub编码工具、营销软件，都在使用OpenAI构建AI服务体系。

可以说，微软不但是OpenAI的第一投资人，还是它的第一忠实用户。

但是，作为OpenAI背后最大的金主，微软却在OpenAI新一轮融资既不是领头机构，也没有确定跟投，这就有些耐人寻味了。

OpenAI的“新金主”

OpenAI本次融资的领头机构是Thrive Capital，可以说是OpenAI的新任金主。

据公开资料显示，Thrive Capital的创始人是约书亚·库什纳 (Joshua Kushner），是一名85后新生代投资人，也是美国“老钱家族”的一员。

而约书亚·库什纳的哥哥贾里德·库什纳（Jared Kushner）名气更大，是美国前总统唐纳德·特朗普的女婿、伊万卡·特朗普的丈夫。

Thrive Capital最辉煌的成绩，莫过于在2012年参与了Instagram的B轮融资，并在Facebook宣布10亿美元收购Instagram后，拿下了100%的回报率。

约书亚·库什纳和OpenAI CEO山姆·奥特曼私交甚笃，是OpenAI最著名的支持者之一，一直尝试投资OpenAI。

在2023年，Thrive Capital领投了OpenAI的新一轮融资，红杉资本、a16z、K2等机构跟投。该轮融资中，Thrive Capital投资了近1.3亿美元，当时OpenAI估值270亿美元。

不仅仅参与投资，Thrive Capital还深入介入了OpenAI公司内部问题。

在山姆·奥特曼因为公司内斗，在2023年底被董事会解雇之时，约书亚·库什纳就是山姆·奥特曼最大支持者。在五天时间内，约书亚·库什纳在董事会发挥积极作用，直到山姆·奥特曼回归。

山姆·奥特曼对约书亚·库什纳和Thrive Capital非常信任，甚至在社交平台上，公开“吹捧”：“我有幸与许多优秀的投资者合作过，但我最想推荐的人莫过于乔希（约书亚·库什纳）。”

为了增加自己的回报率，约书亚·库什纳在提升OpenAI估值这件事上非常努力。

在今年4月，Thrive Capital曾主导过一次OpenAI前员工股权出售。当时Thrive Capital对OpenAI的估值就从270亿美元提升至860亿美元。

等到OpenAI本次新一轮的融资，Thrive Capital更是为OpenAI估值1000亿美元，甚至还在华尔街散布OpenAI估值可能触及1250亿美元高点的传言。

不得不说，除了马斯克之外，OpenAI每一任金主，都是良人。

OpenAI或许要IPO？

金主虽多，但奈何ChatGPT太过于烧钱。

在拿到微软100亿美元的融资之时，外界推测这笔钱能让OpenAI支持2-3年的时间。结果却仅仅只用了20个月，便在竞争越发激烈的AI世界里弹尽粮绝。

目前，OpenAI目前正在开发下一代型号GPT-5，成本只会比GPT-4和GPT-4o更高。

融资只能解燃眉之急，但是并不解渴，想要拿到更多的钱，最好的选择就是IPO。

今年6月，美国媒体报道，山姆·奥特曼已告诉部分股东，OpenAI正在考虑将其治理结构转变为一家营利性企业，OpenAI的非营利董事会无法控制该企业。

而转型为营利性企业，OpenAI就能凭借自身过1000亿的估值敲开IPO的大门。

这并不是空穴来风的谣言，就在6月，OpenAI招募到了重量级财务专家萨拉·弗莱尔（Sarah Friar）担任其首席财务官。

萨拉·弗莱尔曾两次带领公司完成IPO，第一次是Square，第二次Nextdoor。

作为“IPO专家”，萨拉·弗莱尔的加入无疑为OpenAI的上市筹备工作注入了强心针。面对审计、财务预测及治理结构变革等繁重任务，她无疑是推动OpenAI迈向上市目标的理想人选。

在这个大背景下，这一次的OpenAI新一轮融资，很可能将会是它最后一次融资。

来源：道说区块链

关于留言提问的一些杂感：

我在现在的疑问解答中已经越来越少回复关于具体某个代币、某个项目的问题了。

一个主要原因是这些代币和项目绝大部分都是以前有读者问过并且我也解答过的，而且这些项目的后续发展并没有什么新的亮点和进展，所以如果读者翻翻我前面的文章都能看到曾经的解答。我当时对它们的观点至今也没变。

另外，我特别注意到一些读者开始有了自己的思考，并且开始跳脱具体的项目和代币，开始在投资逻辑和投资思路上产生了自己的想法、有了自己的观察。如果这种变化是因为看我的文章而产生的，那简直就是对我莫大的鼓舞和激励。

因为这才是我写文章的终极目的。

网上有很多文章今天讨论币价涨跌、明天讨论哪个项目可以冲、后天讨论XX准备上什么币。

诚然这些都是绝大多数投资者高度关注和感兴趣的话题。

但我很少在文章里写这些，一个重要的原因是我不太习惯这种跟风走、四处打游击的方式。

我更喜欢的方式是找到一种可靠的投资框架，用这种框架不仅能牢牢地从“压舱石”上面挣到安全可靠的利润；也可以在一个新蓝海出现时，迅速找到适合自己的领域并在其中大展拳脚。

而当这样的蓝海没有出现时，那就让自己彻底松弛下来，安心地读书、学习，尤其是读经典的书、学习前辈的经验。

而当这种蓝海渐渐变成红海时，我也会减小关注度，对红海里出现的新项目渐渐淡化兴趣——因为这些所谓的新项目绝大部分在我看来都没有创新。

下面继续疑问解答。

1. 我好奇的还是估值问题，加密和公司股票的盈利这些不同，高估和低估，该怎么定义和估算呢？

这个问题也是我长期以来一直在探索的。

最近，DeFi生态中我认为创新能力属于顶流的AAVE推出了一系列改革措施，其中最重要的在我看来就是把代币赋能与项目盈利挂钩了。

我正好趁这个机会，按照传统股市的盈利估算方法（比如P/E、ROE等指标）核算了一下AAVE改革后的财务状况。

但计算的结果可以说是惨不忍睹。如果把这样的“公司”放在股市里衡量，那简直就是垃圾股，现在AAVE的“股价”就是泡沫中的泡沫。

因此，至少当下看，用传统股市的方式来衡量加密项目恐怕还行不通。但我非常笃定地相信，至少对于有清晰盈利模式的项目，走向传统股市的评价标准是个大趋势。但是具体到用什么标准来衡量加密项目的盈利，或许会和传统股市有较大的不同。

但这个方向已经越来越明显了。我们总不能说代币没有任何盈利赋能，永远只凭借治理功能就能维持当下的币价吧？

此外，最近我所读的费舍尔的书中所描述的情形也非常类似我们今天在加密生态中所面临的问题。

比如他在1950年代所投资的一些当时新兴行业的股票如果单纯用我们今天所熟知的盈利模式来衡量也是很难经得起考验的。

但他为什么敢于投资那些股票？他的的思考方式和策略是什么？这些都是很值得今天的我们学习和借鉴的。等我详细看完他的书会找机会在文章里分享。

2. 未来就怕美联储就算降息，币圈也不一定有牛市了。

我觉得不用太担心这些。重要的还是我们自己有没有应对这些状况的相应策略。

如果这一轮没有牛市？我以前在文章中也写过好几次——–我的做法就是继续持有下去，继续等下一个牛市。

另外我始终认为，币圈真正的大牛市还是要发自生态内的应用创新，而不是单纯的外部放水。

这几年美股的大牛是在美联储加息的情况下走出的。

为什么能这样？

根本原因是人工智能的创新带来了一系列巨大的红利。这股内在的强大动力极大抵消了外部金融环境的压力。

所以在我看来，内在要素的重要性远大于外在要素。

作者：anymose 来源：X，@anymose96

TL;DR

• 一个基于以太坊的新 DEX 标准

• 创新的 LP 和费用机制

• LP 锁定 5 天，第一个代币明天解锁（可能引发抛压）

• 被戏称为以太坊上的 Pumpfun

• 一个彩蛋

在发布短短 3 天后，EtherVista 的主代币从 $0.12 飙升至 $16.8，完全稀释市值（FDV）达到 $16.2M，流动性池的总金额为 $2.1M。

这只是一个普通的、昙花一现的土狗项目吗？仔细研究白皮书后发现，开发者在以太坊虚拟机（EVM）市场的创新窘境中做出了一些独特尝试，虽然不算大创新，但确实产生了不错的效果。

项目概述

与 Pump 类似，EtherVista 提供了公平的启动模式，100% 的代币供应会分配给流动性提供者（LP）并锁定 5 天。与其他项目不同的是，用户需要自己创建代币，LP 销毁也不受平台管理。EtherVista 更像一个去中心化交易所（DEX），它改变了传统按金额收费的模式，采用每次交易收取固定费用的方式，费用奖励给 LP 和开发者。

项目的核心目标是通过奖励流动性提供者和协议费用，激励长期项目的成功。

$VISTA 代币机制

平台代币 $VISTA 是一个通缩代币，总量为 100 万个，每天销毁一定数量的代币，通过手续费减缓抛压和死亡螺旋效应。值得注意的是，LP 锁定期为 5 天，明天将迎来首次解锁，可能会面临较大的抛压风险。

其中，最大的单一持币地址（合约）占有 6.2880%。

更大的规划：Beyond DEX

DEX 只是 EtherVista 规划的一部分，网站上还有多个未开放的入口，包括闪电贷、期货合约、借贷等功能。此外，平台还推出了类似 Pumpfun 的 Superchat。从产品架构来看，EtherVista 更像一个集成了多种功能的“缝合怪”。

如何参与？

1. 买币：最简单的方法是直接购买平台代币。除了平台币 $VISTA 外，还有很多其他代币在这里发射，但需要特别注意交易风险。平台更倾向于奖励项目方和 LP，短期交易的博弈风险较高。

2. 发行自己的代币：使用平台的「launcher」功能，可以自己规划和发行代币，这个功能相对复杂，建议自行研究。

总体评价

总体来看，EtherVista 是一个融合和迭代了 Uniswap、Pumpfun 以及各类借贷协议的“缝合怪”。虽然算不上重大创新，但它通过固定费用模式为大额操作提供了奖励，同时让小额参与者可能望而却步。这种尝试颇有趣味，值得列入观察清单。毕竟，在过去大半年，以太坊上鲜有有趣的新项目，而 EtherVista 则是个不错的探索。

一个彩蛋

值得一提的是，EtherVista 白皮书的作者名字署名为 Vitalik Nakamoto，这也为项目增添了几分神秘感。

来源：登链社区

为工作程序员提供的 ZKP 教程介绍。

你知道为什么斑马有条纹吗？一种理论是这是一种伪装。当斑马聚集在一起时，这使得狮子更难以区分它们的猎物。狮子必须将猎物从群体中隔离出来才能追捕它[^1]。

人类也喜欢在人群中隐藏。一个具体的例子是，当多个人在一个集体名称下作为一个整体行动时。《联邦党人文集》就是这样创作的[^2]。 另一个例子是 Bourbaki，这是 1930 年代一群法国数学家的集体笔名。这导致了现代数学大部分内容的彻底重写，重点在于严谨性和公理化方法[^3]。

在数字时代，假设你在一个群聊中，想要发送一条有争议的信息。你想证明你是其中的一员，而不透露是哪一位。我们如何在数字领域使用密码学来做到这一点？我们可以使用一种叫做 群签名 的东西。

从传统上讲，群签名在数学上相当复杂且难以实现。然而，使用零知识证明（ZKP），这个数学问题变成了一个简单的编程任务。在本文结束时，你将能够自己编写群签名。

介绍

这篇文章将向你展示如何从零开始编写基本的零知识证明（ZKP）。

在学习新的技术栈时，我们希望尽快掌握编辑-构建-运行的循环。只有这样，我们才能开始从自己的经验中学习。

我们将首先让你设置环境，编写一个简单的程序，执行所谓的可信设置，然后尽快生成和验证证明。之后，我们将识别一些改进我们程序的方法，实施这些改进并进行测试。在此过程中，我们将建立一个更好的心理模型，以便在实践中编程 ZKP。最后，你将熟悉（某种方式）从零开始编写 ZKP。

我们将逐步构建一个简单的签名方案，你可以证明你发送了特定的消息。你将能够理解这段代码的作用及其原因：

<span 1="" 9="" 18="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" template="" signmessage="" signal="" input="" output="" component="" identityhasher="Poseidon(<span" span="" identity_commitment="==" signaturehasher="Poseidon(    # 克隆仓库并运行准备脚本
    git clone git@github.com:oskarth/zkintro-tutorial.git
    cd zkintro-tutorial
    
    # 在执行之前浏览此文件的内容
    less ./scripts/prepare.sh
    ./scripts/prepare.sh

我们建议你浏览 ./scripts/prepare.sh 的内容，以查看这将安装什么，或者如果你更喜欢手动安装。执行后，你应该看到 Installation complete 并且没有错误。

如果你遇到问题，请查看最新的官方文档 这里^[7]。完成后，你应该安装以下版本（或更高版本）：

    pragma circom 2.0.0;
    
    template Multiplier2 () {
      signal input a;
      signal input b;
      signal output c;
      c <== a * b;
    }
    
    component main = Multiplier2();

这就是我们的特殊程序或 _电路_。 [^6] 按行分析：

• pragma circom 2.0.0; – 定义所使用的 Circom 版本

• template Multiplier() – 模板是大多数编程语言中对象的等价物，是一种常见的抽象形式

• signal input a; – 我们的第一个输入，a；输入默认是私有的

• signal input b; – 我们的第二个输入，b；同样默认是私有的

• signal output b; – 我们的输出，c；输出始终是公共的

• c <== a * b; – 这做了两件事：将信号 c 赋值 并 约束 c 等于 a 和 b 的乘积

• component main = Multiplier2() – 实例化我们的主组件

最重要的行是 c <== a * b;。这是我们实际声明约束的地方。这个表达式实际上是两个的组合：<--（赋值）和 ===（等式约束）。 [^7] Circom 中的约束只能使用涉及常量、加法或乘法的操作。它强制要求方程的两边必须相等。 [^8]

关于约束

约束是如何工作的？在类似数独的上下文中，我们可能会说一个约束是“一个介于 1 和 9 之间的数字”。然而，在 Circom 的上下文中，这不是一个单一的约束，而是我们必须使用一组更简单的等式约束（===）来表达的东西。 [^9]

为什么会这样？这与底层的数学原理有关。从根本上讲，大多数 ZKP 使用 _算术电路_，它表示对 多项式 的计算。在处理多项式时，你可以轻松引入常量，将它们相加、相乘并检查它们是否相等。 [^10] 其他操作必须用这些基本操作来表达。你不必详细了解这一点才能编写 ZKP，但了解底层发生的事情可能会很有用。 [^11]

我们可以将电路可视化如下：

构建我们的电路

供你参考，最终文件可以在 example1-solution.circom 中找到。有关语法的更多详细信息，请参见 官方文档^[9]。

我们可以通过运行以下命令来编译我们的电路：

这是调用 circom 创建 example1.r1cs 和 example1.wasm 文件的一个简单包装。你应该会看到类似以下内容：

    {
      "pi_a": ["15932[...]3948", "66284[...]7222", "1"],
      "pi_b": [
        ["17667[...]0525", "13094[...]1600"],
        ["12020[...]5738", "10182[...]7650"],
        ["1", "0"]
      ],
      "pi_c": ["18501[...]3969", "13175[...]3552", "1"],
      "protocol": "groth16",
      "curve": "bn128"
    }

这以一些数学对象（三个椭圆曲线元素）pi_a、pi_b 和 pi_c 的形式指定了证明。[^20] 它还包括有关协议（groth16）和使用的 _curve_（bn128，我们暂时忽略的数学实现细节）的元数据。这使得验证者知道如何处理此证明以正确验证。

请注意，证明是多么简短；无论我们的特殊程序多么复杂，它的大小都只有这个。这展示了我们在 _友好的零知识证明介绍_^[10] 中讨论的 ZKP 的 succinctness 属性。上述命令还输出了我们的 _公共输出_：

这是与我们的见证和电路对应的所有公共输出的列表。在这种情况下，有一个公共输出对应于 c：33。[^21]

我们证明了什么？我们知道两个秘密值 a 和 b，它们的乘积是 33。这展示了我们在上一篇文章中讨论的 隐私 属性。

请注意，证明在孤立状态下没有用，它需要随之而来的公共输出。

验证证明

接下来，让我们验证这个证明。运行：

just verify_proof example1

这需要验证密钥、公共输出和证明。通过这些，我们能够验证证明。它应该打印“证明已验证”。请注意，验证者从未接触到任何私有输入。

如果我们更改输出会发生什么？打开 example1/target/public.json，将 33 更改为 34，然后再次运行上述命令。

你会注意到证明不再被验证。这是因为我们的证明并没有证明我们有两个数字，其乘积是 34。

恭喜你，你现在已经编写了你的第一个 ZKP 程序，进行了可信设置，生成了证明并最终验证了它！

练习

1. ZKP 的两个关键属性是什么，它们意味着什么？

2. 证明者的角色是什么，她需要什么输入？验证者呢？

3. 解释 c <== a * b; 这一行的作用。

4. 为什么我们需要进行可信设置？我们如何使用其产物？

5. 代码：完成 example1，直到你生成并验证了一个证明。

第二次迭代

通过上述电路，我们证明了我们知道两个（秘密）数字的乘积。这与 质因数分解 问题密切相关，这是许多密码学的基础。[^22] 这个想法是，如果你有一个非常大的数字，找到两个质数使其乘积等于这个大数字是很困难的。相反，检查两个数字的乘积是否等于另一个数字是非常简单的。[^23]

然而，我们的电路存在一个大问题。你能看到吗？

我们可以轻松地将输入更改为“1”和“33”。也就是说，一个数字 c 始终是 1 和 c 的乘积。这一点并不令人印象深刻，对吧？

我们想要做的是添加另一个 _约束_，使得 a 或 b 不能等于 1。这样，我们就被迫进行适当的整数因式分解。

我们如何添加这个约束，需要做哪些更改？

更新我们的电路

我们将为这些更改使用 example2 文件夹。不幸的是，我们不能仅仅写 a !== 1，因为这不是一个有效的约束。[^24] 它不是由常量、加法、乘法和等式检查组成的。我们如何表达“某物不是”？

这并不是立即直观的，这种类型的问题是编写电路的艺术所在。发展这种技能需要时间，并超出了本初始教程的范围；幸运的是，有许多好的资源可以参考。[^25]

不过，有一些常见的习语。基本的想法是使用 IsZero() 模板来检查一个表达式是否等于零。它对真值输出 1，对假值输出 0。

使用真值表[^26] 来显示可能的值通常是有帮助的。以下是 IsZero() 的真值表：

这是一个如此有用的构建块，以至于它被包含在 Circom 的库 circomlib 中。在 circomlib 中还有许多其他有用的组件。[^27]

我们可以通过创建一个 npm 项目（JavaScript）并将其作为依赖项添加来包含它。在 example2 文件夹中，我们已经为你完成了这一步。要导入相关模块，我们在 example2.circom 的顶部添加以下行：

include "circomlib/circuits/comparators.circom";

使用 IsZero()，我们可以检查 a 或 b 是否等于 1。修改 example2.circom 文件，使其包含以下行：

<span 1="" 12="" 4000="" 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" iszerocheck="IsZero();
    just generate_proof example2
    just verify_proof example2

它仍然按预期生成和验证证明。

如果我们将 example2/input.json 的输入更改为 1 和 33 并尝试运行上述命令，我们将看到一个断言错误。也就是说，Circom 甚至不会让我们生成证明，因为输入违反了我们的约束。

完整流程图

现在我们已经经历了整个流程两次，让我们退后一步，看看所有部分是如何结合在一起的。

希望事情开始变得有些明朗。接下来，让我们提升一下，让我们的电路更有用。

练习

6. 为什么我们必须运行 example2 的第 2 阶段，而不是第 1 阶段？

7. 上一个例子的主要问题是什么，我们是如何解决的？

8. 代码：完成 example2，直到你无法生成证明。

第三次迭代

通过上述电路，我们已经证明了我们知道两个秘密值的乘积。单靠这一点并不是很有用。在现实世界中，有用的是 _数字签名方案_。通过它，你可以向其他人证明你写了特定的消息。我们如何使用 ZKP 来实现这一点？要实现这一点，我们必须首先涵盖一些基本概念。

现在是短暂休息的好时机，去喝一杯你最喜欢的饮料。

数字签名

数字签名已经存在，并且在我们的数字时代无处不在。现代互联网没有它们是无法运作的。通常，这些是使用 公钥密码学 实现的。在公钥密码学中，你有一个私钥和一个公钥。私钥仅供你自己使用，而公钥是公开共享的，代表你的身份。

数字签名方案由以下部分组成：

• 密钥生成：生成一个私钥和相应的公钥

• 签名：使用私钥和消息创建签名

• 签名验证：验证消息是否由相应的公钥签名

虽然具体细节看起来不同，但我们编写的程序和上述密钥生成算法共享一个共同元素：它们都使用 _单向函数_，更具体地说是 _陷门函数_。陷门是容易掉进去但难以爬出来的东西（除非你能找到一把隐藏的梯子） [^30]。

对于公钥密码学，从私钥构造公钥是容易的，但反过来却非常困难。我们的前一个程序也是如此。如果这两个秘密数字是非常大的质数，那么将该乘积转回原始值是非常困难的。现代公钥密码学通常在底层使用 _椭圆曲线密码学_。

传统上，创建像这些数字签名方案这样的密码协议需要大量的工作，并需要提出一个涉及一些巧妙数学的特定协议。我们不想这样做。相反，我们想使用 ZKP 编写一个程序，以实现相同的结果。

而不是这样：[^31]

我们只想编写一个程序，生成我们想要的证明，然后验证这个证明。

哈希函数和承诺

我们将使用两个更简单的工具：_哈希函数_ 和 _承诺_，而不是使用椭圆曲线密码学。

哈希函数也是一种单向函数。例如，在命令行中，我们可以这样使用 SHA-256 哈希函数：

    commitment = hash(some_secret)
    signature = hash(some_secret, message)

此时你可能有一些问题。让我们解决一些你脑海中可能存在的问题。

首先，为什么这有效，我们为什么需要 ZKP？当有人验证证明时，他们只能访问承诺、消息和签名。没有直接的方法可以验证承诺是否对应于秘密，而不揭示秘密。在这种情况下，我们只是在生成证明时“揭示”秘密，因此我们的秘密保持安全。

其次，为什么在 ZKP 内部使用这些哈希函数和承诺，而不是公钥密码学？你绝对可以在 ZKP 内部使用公钥密码学，并且这样做是有合理理由的。就约束而言，它的实现成本远高于上述方案。这使得它比上述更慢，更复杂。正如我们将在下一节中看到的，哈希函数的选择非常重要。

最后，为什么在我们已经拥有公钥密码学的情况下还要使用 ZKP？在这个简单的例子中，没有必要使用 ZKP。然而，它作为更有趣的应用的构建块，例如本文开头提到的群签名示例。毕竟，我们想要 _编程密码学_。

这真是太多了！幸运的是，我们已经过了难关。让我们开始编码吧。如果你一开始没有完全理解上述内容，也不用担心。习惯这种推理方式需要一些时间。

回到代码

我们将从 example3 目录开始工作。

要实现数字签名，我们需要做的第一件事是生成我们的密钥。这些对应于公钥密码学中的私钥和公钥。由于密钥对应于一个身份（你，证明者），我们将分别称其为 identity_secret 和 identity_commitment。它们共同形成一个身份对。

这些将作为电路的输入，与我们要签名的消息一起使用。作为公共输出，我们将拥有签名、承诺和消息。这将允许某人验证签名确实是正确的。

由于我们需要身份对作为电路的输入，因此我们将单独生成这些：just generate_identity

这会产生类似于以下内容：

    include "circomlib/circuits/poseidon.circom";

Poseidon 哈希模板的使用如下：

<span 10px="" 40px="" no-repeat="" height:="" width:="" margin-bottom:="" border-radius:="" code="" component="" hasher="Poseidon(2);
    component main {public [identity_commitment, message]} = SignMessage();

默认情况下，我们电路的所有输入都是私有的。通过这个，我们明确标记 identity_commitment 和 message 为公共。这意味着它们将成为公共输出的一部分。

有了这些信息，你应该有足够的知识来完成 example3.circom 电路。如果你仍然卡住，可以参考 example3-solution.circom 获取完整代码。

像之前一样，我们必须构建电路并运行受信任设置的第 2 阶段：

    {
      "identity_secret": "21879[...]1709",
      "identity_commitment": "48269[...]7915",
      "message": "42"
    }

随意将身份对更改为你自己使用 just generate_identity 生成的身份对。毕竟，你想把身份秘密保留给自己！

你可能会注意到消息只是一个作为字符串引用的数字 ("42")。不幸的是，由于约束在数学上的工作方式（使用线性代数和 _算术电路_），我们只能使用数字而不能使用字符串。电路内部支持的唯一操作是基本的算术操作，如加法和乘法。[^37]

我们现在可以生成和验证一个证明：

    ["48968[...]5499", "48269[...]7915", "42"]

这分别对应于签名、承诺和消息。

让我们看看如果我们不小心，事情可能会出错。 [^38]

首先，如果我们将身份承诺更改为 input.json 中的随机内容，会发生什么？你会注意到我们无法再生成证明。这是因为我们还在电路内部检查身份承诺。保持身份秘密和承诺之间的关系至关重要。

其次，如果我们不将消息包含在输出中，会发生什么？我们确实得到了一个证明，并且它得到了验证。但消息可以是 _任何东西_，因此它实际上并不能证明你发送了特定的消息。类似地，如果我们不将身份承诺包含在公共输出中，会发生什么？这意味着身份承诺可以是任何东西，因此我们实际上不知道 谁 签署了消息。

作为思考练习，想想如果我们省略这两个关键约束中的任何一个会发生什么：

• identity_commitment === identityHasher.out

• signature <== signatureHasher.out

恭喜你，现在你知道如何编程加密了！[^39]

练习

9. 数字签名方案的三个组成部分是什么？

10. 使用像 Poseidon 这样的 “ZK-Friendly hash function” 的目的是什么？

11. 什么是承诺？我们如何将它们用于数字签名方案？

12. 为什么我们将身份承诺和消息标记为公共？

13. 为什么我们需要身份承诺和签名约束？

14. 代码：完成 example3，直到你生成并验证了一个证明。

下一步

通过上述数字签名方案，以及我们在文章中看到的一些技巧，你拥有了实现文章开头提到的 群签名方案 的所有工具。[^40]

在 example4 中存在骨架代码。你只需要 5-10 行代码。唯一的新语法是 for 循环，它的工作方式与大多数其他语言相同。[^41]。

这个电路将允许你：

• 签署一条消息

• 证明你是三个人之一（身份承诺）

• 但不透露是哪一个

你可以把它看作一个谜题。关键的见解基本上归结为一个算术表达式。如果可以的话，尝试在纸上解决它。如果你卡住了，可以像之前一样查看解决方案。

最后，如果你想要一些额外的挑战，这里有一些扩展的方法：

1. 允许组内任意多的人

2. 实现一个新的电路 reveal，证明你签署了特定的消息

3. 实现一个新的电路 deny，证明你没有签署特定的消息

使用经典工具创建这样的加密协议将是一项巨大的任务，需要大量的专业知识。[^42] 使用 ZKP，你可以在一个下午变得高效和危险，将这些问题视为编程任务。这只是我们可以做的冰山一角。

练习

15. 群签名与普通签名有什么不同？它们可以如何使用？

问题

这些问题是可选的，需要更多的努力。

1. 找出 IsZero() 是如何实现的。

2. 代码：完成上述群签名方案（见 example4）。

3. 代码：扩展上述群签名示例：允许更多人并实现 reveal 和/或 deny 电路。

4. 你将如何设计一个 “ZK 身份” 系统来证明你已满 18 岁？你可能想证明的其他属性是什么？从高层次来看，你将如何实现它，以及你看到的挑战是什么？研究现有解决方案以更好地理解它们是如何实现的。

5. 对于像以太坊这样的公共区块链，有时会使用 Layer 2 (L2) 来允许更快、更便宜和更多的交易。从高层次来看，你将如何使用 ZKP 设计一个 L2？解释你看到的一些挑战。研究现有解决方案以更好地理解它们是如何实现的。## 结论

在本教程介绍中，我们熟悉了如何从头开始编写和修改基本的零知识证明（ZKPs）。我们设置了编程环境并编写了一个基本电路。然后我们进行了可信设置，创建并验证了证明。我们识别了一些问题并改进了电路，确保测试我们的更改。之后，我们使用哈希函数和承诺实现了一个基本的数字签名方案。

我们还学习了足够的技能和工具，以便能够实现群体签名，这在没有零知识证明的情况下是很难实现的。

我希望你对编写零知识证明所涉及的内容有了更好的心理模型，并对实际中的编辑-运行-调试周期有了更好的理解。这将为你将来可能编写的任何其他零知识证明程序打下良好的基础，无论你最终使用什么技术栈。

致谢

感谢 Hanno Cornelius、Marc Köhlbrugge、Michelle Lai、lenilsonjr 和 Chih-Cheng Liang 阅读草稿并提供反馈。

图片

• Bourbaki Congress 1938 – 未知，公有领域，通过 Wikimedia^[11]

• Hartmann’s Zebras – J. Huber，CC BY-SA 2.0，通过 Wikimedia^[12]

• Trapdoor Spider – P.S. Foresman，公有领域，通过 [Wikimedia](https://commons.wikimedia.org/wiki/File:Trapdoor_(PSF “Wikimedia”).png)

• Kingsley Lockbox – P.S. Foresman，公有领域，通过 Wikimedia^[13]

参考资料

[1] AI翻译官: https://learnblockchain.cn/people/19584

[2] 翻译小组: https://learnblockchain.cn/people/412

[3] learnblockchain.cn/article…: https://learnblockchain.cn/article/9178

[4] 零知识的友好介绍: https://learnblockchain.cn/article/6184

[5] git 仓库: https://github.com/oskarth/zkintro-tutorial

[6]git 仓库: https://github.com/oskarth/zkintro-tutorial

[7]这里: https://docs.circom.io/getting-started/installation/

[8]zkrepl.dev: https://zkrepl.dev/

[9]官方文档: https://docs.circom.io/circom-language/signals/

[10]友好的零知识证明介绍: https://learnblockchain.cn/article/6184

[11]Wikimedia: https://commons.wikimedia.org/wiki/File:Bourbaki_congress1938.png

[12]Wikimedia: https://commons.wikimedia.org/wiki/File:Hartmann_zebras_hobatereS.jpg

[13]Wikimedia: https://commons.wikimedia.org/wiki/File:Kingsley_lockbox.jpg

[14]AI 翻译官: https://learnblockchain.cn/people/19584

[15]这里: https://github.com/lbc-team/Pioneer/blob/master/translations/9178.md

[16]^2]:  参见 [联邦党人文集（维基百科）: https://en.wikipedia.org/wiki/The_Federalist_Papers#Authorship

[17]^3]:  参见 [Bourbaki（维基百科）: https://en.wikipedia.org/wiki/Nicolas_Bourbaki#Membership

[18]^8]:  这使得编写约束相当具有挑战性，正如你可以想象的那样。有关 Circom 中约束的更多详细信息，请参见 [https://docs.circom.io/circom-language/constraint-generation/: https://docs.circom.io/circom-language/constraint-generation/

[19]^12]:  线性约束意味着它可以仅通过加法表示为线性组合。这相当于使用常数进行乘法。需要注意的主要是线性约束比非线性约束更简单。有关更多详细信息，请参见 [约束生成: https://docs.circom.io/circom-language/constraint-generation/

[20]算术电路: https://docs.circom.io/background/background/#arithmetic-circuits

[21]^13]:  从数学上讲，我们所做的是确保方程 Az * Bz = Cz 成立，其中 Z=(W,x,1)。A、B 和 C 是矩阵，W 是见证（私有输入），x 是公共输入/输出。虽然知道这一点很有用，但编写电路时并不需要理解这一点。有关更多详细信息，请参见 [Rank-1 约束系统: https://docs.circom.io/background/background/#rank-1-constraint-system

[22]^15]:  正如在 友好的介绍 文章中提到的那样，2016 年 Zcash 举办的仪式有一个很好的外行播客，你可以在 [这里: https://radiolab.org/podcast/ceremony

[23]^17]:  我们称之为 1-out-of N 信任模型。还有许多其他信任模型；你最熟悉的可能是多数规则，即你信任大多数人做出正确的决定。这基本上就是民主和大多数投票的运作方式。 [↩: #user-content-fnref-17

[24]^22]:  也称为 _密码学难度假设_。请参见 [计算难度假设 (维基百科): https://en.wikipedia.org/wiki/Computational_hardness_assumption#Common_cryptographic_hardness_assumptions

[25]^23]:  有关更多信息，请参见 [https://en.wikipedia.org/wiki/Integer_factorization: https://en.wikipedia.org/wiki/Integer_factorization

[26]^24]:  虽然我们可以添加 _asserts_，但这些实际上不是约束，仅用于清理输入。有关其工作原理，请参见 [https://docs.circom.io/circom-language/code-quality/code-assertion/: https://docs.circom.io/circom-language/code-quality/code-assertion/

[27]https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions: https://www.chainsecurity.com/blog/circom-assertions-misconceptions-and-deceptions

[28]^25]:  这份由 0xPARC 提供的资源非常出色，如果你想深入了解编写 (Circom) 电路的艺术： [https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/: https://learn.0xparc.org/materials/circom/learning-group-1/circom-1/

[29]^26]:  由于编写约束的性质，这种情况经常出现。请参见 [https://en.wikipedia.org/wiki/Truth_table: https://en.wikipedia.org/wiki/Truth_table

[30]^27]:  有关 circomlib 的更多信息，请参见 [https://github.com/iden3/circomlib: https://github.com/iden3/circomlib

[31]^28]:  请参见 [https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom: https://github.com/iden3/circomlib/blob/master/circuits/comparators.circom

[32]^29]:  人们通常在项目之间共享这些 ptau 文件以提高安全性。有关详细信息，请参见 [https://github.com/privacy-scaling-explorations/perpetualpowersoftau: https://github.com/privacy-scaling-explorations/perpetualpowersoftau

[33]https://github.com/iden3/snarkjs: https://github.com/iden3/snarkjs

[34]^30]:  这里的梯子代表某种值，使我们能够以相反的“困难”方式进行。另一种思考方式是将其视为一个挂锁。你可以轻松锁定它，但很难解锁，除非你有钥匙。陷门函数也有更正式的定义，请参见 [https://en.wikipedia.org/wiki/Trapdoor_function: https://en.wikipedia.org/wiki/Trapdoor_function

[35]^31]:  来自维基百科的截图。请参见 [ECDSA (维基百科): https://en.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm#Signature_verification_algorithm

[36]^38]:  在现实世界的数字签名方案中，当多个消息交换时，我们可能还希望引入一个加密随机数。这是为了避免重放攻击，即某人可以在稍后时间重用相同的签名。请参见 [https://en.wikipedia.org/wiki/Replay_attack: https://en.wikipedia.org/wiki/Replay_attack

[37]^40]:  在 ZKP 中实现群签名的灵感来自 0xPARC，请参见 [https://0xparc.org/blog/zk-group-sigs: https://0xparc.org/blog/zk-group-sigs

[38]^41]:  请参见 [https://docs.circom.io/circom-language/control-flow/: https://docs.circom.io/circom-language/control-flow/

[39]^42]:  相比之下，实施群签名的论文如 [https://eprint.iacr.org/2015/043.pdf: https://eprint.iacr.org/2015/043.pdf