原文作者：Stanford Blockchain Review （https://stanfordblockchainreview.substack.com/p/what-is-privacy-in-web3）

编译：Kingson

介绍

对于 Web3，隐私是无法忽视的问题。它既是加密货币的最大卖点，与去中心化、匿名和无需信任等原则密切相关，然而它最大的痛点是存在令人难以忍受的KYC、易于追踪的个人身份信息以及一直抱有怀疑态度的外界。

不幸的是，这个话题被大多数人误解和曲解，许多人认为加密货币的“隐私”仅仅视为资助恐怖分子和洗钱的借口。加密Twitter以其“匿名文化”而自豪，主流媒体常常有意或无意地强化这些偏见，进一步加剧了这些刻板印象。

因为 Web3 隐私是如此全面的概念，涉及从猿猴头像到密码学和零知识证明等方方面面，所以单纯地从总体上讨论它是好还是坏是没有意义的。相反，我们必须将问题分解为不同的小部分。在这篇文章中，我将首先在三个不同的层面上分析Web3的“隐私”基础设施——网络级隐私、协议级隐私和用户级隐私——然后探讨零知识证明等技术解决方案在 Web3 隐私未来发展中的作用。

网络级隐私

第一个隐私概念也是最古老的概念是在网络层面。网络级隐私是指通过区块链的底层共识机制和网络级设计选择，保证给定区块链网络上加密货币的每笔交易的隐私。因此，这些硬币也被称为“隐私币”。

这种隐私概念可以追溯到比特币协议，以及它将“钱包地址”匿名为160位加密哈希值[1]的想法。尽管比特币本身具有完全透明的交易，任何用户都可以检查其网络上的任何交易，比特币的去中心化和匿名化设计原则无疑激发了“网络级隐私”和隐私优先区块链发展的推动力。

建立网络级隐私的领先项目之一是Monero，这是2014年建立的隐私优先区块链。与比特币不同，Monero将用户钱包和交易隐藏在“环形签名”，之后，在该签名中，给定“环形”中的用户可以访问某个组签名，并使用该组签名来签署交易。因此，对于Monero网络上的任何给定交易，您只能知道它来自某个组，但不知道该组中的哪个用户实际签署了交易。本质上，这是一种“人群中的隐私”形式，用户聚集在一起，为每个人提供隐私。[２]

Monero中的环形签名。资料来源: https://blog.pantherprotocol.io/ring-signatures-vs-zksnarks-comparing-privacy-technologies/ [ 3 ]

另一个解决这一领域的项目是ZCash，它是zk-SNARKs零知识证明形式的早期开拓者，并近来变得流行起来。零知识证明背后的基本概念是，它是一种在不透露任何进一步信息(可能危及安全和隐私)的情况下证明某些事情是正确的。

零知识证明的一个简单例子是Gradescope自动评分器[5]。你需要“证明”你正确完成了 CS 的作业，但不需要告诉 autograder 你的代码实现的任何详细信息。相反，自动评分器通过运行一堆隐藏的测试用例来检查您的“知识”，并且您的代码必须匹配Gradescope自动评分器的“预期”输出。通过匹配“预期的”输出，您可以提供一个零知识证明(Zero Knowledge Proof)，证明您已经完成了工作，而无需显示实现的实际代码。

在ZCash的情况下，虽然交易默认是透明的，但用户可以选择使用这些“零知识证明”来创建私人交易。当用户想要发送交易时，他们会创建一个交易消息，其中包括发送方的公共地址、接收方的公共地址和交易金额，然后将其转换为zk-SNARK证明，这是发送到网络的唯一东西。这个zk-SNARK证明包含了证明交易有效性的所有必要信息，但没有透露交易本身的任何细节。这意味着网络可以在不知道是谁发送、谁接收或涉及的金额的情况下验证交易。

尽管它们的设计和实现存在差异，但对于门罗币和ZCash来说，交易隐私都是在区块链级别得到保证的，这样在网络上发生的所有交易都自动保证是隐私的。这种隐私保障很容易被不法分子滥用，进行洗钱、恐怖活动和贩毒，门罗币在暗网[6]上的受欢迎程度尤其臭名昭著。此外，随着门罗币和其他“隐私币”成为非法金融活动的代名词，出于合法隐私的考虑，这使得使用这些“隐私币”的用户离开，形成了一个负面的反馈循环，只会导致更有害的经济阴影。

这是在网络层面保证隐私的最大缺点：在设计上这是一种“有或无”的方法，在交易的透明度与交易的隐私之间存在零和权衡。正是由于这种透明度的缺乏，“网络级隐私”引起了监管机构最大程度地反感，这也是为什么几个主要的中心化加密货币交易所，如Coinbase、Kraken和Huobi在几个司法管辖区将Monero、ZCash和其他隐私币下架的原因。

协议级隐私

另一种保护隐私的方法是确保“协议级隐私”，即不是将私人交易硬编码到区块链网络的共识层面，而是在运行于区块链网络之上的“协议”或“应用程序”上处理私人交易。

由于早期的区块链网络(如比特币)的可编程性有限，构建“协议级隐私”是非常困难的，而分叉比特币网络并以新的区块链和“隐私币”的形式从头开始实现隐私要容易得多。但随着以太坊的出现和“智能合约”的兴起，这为隐私保护协议开辟了一条全新的道路。

“协议级隐私”最著名的例子之一是Tornado Cash，这是以太坊上的一个去中心化应用程序(dApp)，它将交易“混合”到一个池中，以确保交易隐私——在概念上与门罗币的“与人群融为一体”的方法有些类似。 Tornado Cash协议进程，来源:https://messari.vercel.app/article/on-chain-privacy [8]

Tornado Cash协议大致有三个主要步骤:

存款:用户将他们的资金发送到Tornado Cash智能合约。这将启动一个与其他同时进行交易的用户组成的随机生成的“匿名集”的私有交易。

混合:Tornado Cash将存入的资金与匿名集中的其他用户的资金混合，使其难以追踪原始发件人或收件人。这个过程被称为“混合”或“匿名化”。

提现:一旦资金被混合，用户可以将资金提现到他们选择的新地址，从而打破他们原始地址与目标地址之间的联系。然后，用户可以通过从“新”目标地址直接向收件人发送资金来完成交易。[9]

不幸的是，在2022年8月，Tornado Cash受到了美国政府的制裁，因为美国外国资产控制办公室(OFAC)指控朝鲜黑客使用该协议来清洗被盗资金。由于这次打击，美国用户、公司和网络不再能够使用Tornado Cash。USDC稳定币发行者Circle作出了进一步的行动，冻结了与Tornado Cash地址相关的超过75,000美元的资金，GitHub删除了Tornado Cash开发者[11]的账户。

这在加密领域引发了争议，许多人认为，绝大多数用户使用Tornado Cash进行合法的隐私保护交易，协议用户不应该因为少数人的不良行为而受到惩罚。更重要的是，由于Tornado Cash是以太坊上的“协议级隐私”，而不是“网络级隐私”解决方案，打击和影响仅限于以太坊网络上的这一协议，而不是影响整个网络——与Monero和ZCash不同，以太坊并没有因为这些制裁而从Coinbase下架。

由Aztec Network首创的另一种“协议级隐私”方法侧重于“rollup”，以保护用户资金并支持私人交易。Aztec Network的主要产品是zk.money。它使用两层深度递归零知识证明，既可以扩展性又可以保护隐私。第一个零知识证明证明了隐私交易的正确性，确保交易实际上是私有的，并且没有信息泄露。第二个零知识证明用于rollup本身，以捆绑批量交易的计算，并确保所有这些都被正确执行。[12]

虽然基于rollup的“协议级隐私”解决方案仍处于早期阶段，但它们代表了“协议级隐私”解决方案的下一个演变。与基于dapp的“协议级隐私”解决方案(如Tornado Cash)相比，rollup解决方案的一个关键优势是增强的可伸缩性，因为大量的计算工作主要发生在链下。此外，由于许多rollup研究只专注于增加计算量，因此在将这些技术应用和扩展到隐私领域上仍有充足的空间可供探索。

用户级隐私

第三种（也是最新的）探索 Web3 隐私的方法是通过探索“用户级隐私”，其中隐私保证是针对个人用户数据而不是用户交易数据的。在“网络”和“协议”层面上，我们看到少数不良行为者（如暗网交易和洗钱计划）影响了网络和协议的使用，而大多数无辜的人仅仅关心他们的个人数据隐私。

“用户级隐私”的关键点在于，通过关注网络本身的个人用户，我们进行了一种“有针对性”的过滤形式，良性用户和地址可以自由地私下与区块链网络进行交互，而不良用户则可以被快速过滤掉。你可以想象，这是一项艰巨的任务，在透明度和隐私之间走钢丝。这种以用户为中心的隐私观也引发了一场关于去中心化身份(DID)的角色和行业未来的争论，该身份与Web3隐私问题相邻并衍生而来。为了简洁起见，我将不讨论Web3中的KYC和身份验证问题。

“用户级隐私”的核心洞见是分离并重新想象用户自身与其链上钱包地址之间的关系，因为钱包地址是区块链网络上的原子标识符。重要的是，用户与链之间存在一对多的映射：用户通常在与每个区块链网络进行交互时控制多个钱包地址。这就是“链上身份碎片化”的概念。因此，“用户级隐私”的关键是找到一种安全的方法，将用户的个人身份信息(PII)映射到所有这些碎片化的链上身份。

在这方面的一个关键项目是Notebook Labs，它试图使用零知识证明将碎片身份与用户的PII[14]联系起来，同时提供以下保证:

1.用户可以证明其人类身份与任何碎片化的链上身份

2.不可能将这些身份链接在一起(除非用户的秘密密钥泄露)

3.任何第三方或对手都不可能将碎片化的链上身份与用户的真实身份联系起来

4.凭证可以跨身份聚合

5.每个人都接收到一组链上的碎片身份[15]

虽然协议的加密细节超出了本文的范围，但Notebook Labs演示了“用户级隐私”的两个核心原则——解决重构碎片化的链上身份与真实人类用户之间的关系的重要性，以及零知识证明在聚合和链接所有这些身份方面发挥的重要作用。

“用户级隐私”问题的另一个新兴解决方案是“隐形钱包”的想法。同样，“隐形钱包”的想法利用了链上身份的碎片化，利用了用户通常在链上有多个身份的事实。与Tornado Cash和其他试图掩盖交易数据本身的“协议级隐私”解决方案不同，隐形地址试图掩盖发件人和收件人地址背后的真实身份。这基本上是通过寻找一种算法来实现的，该算法可以快速自动地为用户的交易[17]生成“一次性钱包”。

“隐形钱包”与之前讨论过的隐私解决方案(如Monero和Tornado Cash)之间的一个重要概念区别是，这不是一种“人群中的隐私”形式。这意味着，与Tornado Cash只能为ETH等主流代币转账提供隐私保障不同，隐形钱包还可以为小众代币和NFT或没有“群体”可以混合的独特链上资产提供安全保证[17]。尽管如此，到目前为止，关于以太坊上“隐形钱包”的讨论还停留在理论阶段，这种新颖的技术解决方案的实施有效性和法律影响还有待观察。

Web3中的零知识证明（ZKPs）和隐私的未来

正如我们所看到的，隐私在Web3中是复杂的。在网络层面、协议层面和用户层面采取不同的方法，需要不同的解决方案，并探索了透明度和隐私之间的不同权衡。也就是说，如果不考虑硬币的另一面：透明度和问责制，任何关于隐私的讨论都是不完整的。

不管是好是坏，监管机构说加密货币交易需要更大的问责制是正确的。参与洗钱、恐怖活动和金融欺诈的不良行为者应该被追究责任，无论他们是使用法定货币还是加密货币来完成交易。但希望在Web3中，这种问责制可以实现，而不需要政府求助于完全关闭隐私网络，强迫人们“赤裸裸地”使用这些区块链。隐私应该被视为一项基本权利，是数字尊严的衡量标准。

在很长一段时间里，隐私和责任被视为一种零和游戏，你可以隐藏你的数据并拥有隐私，也可以展示你的数据并拥有透明度。Web3的创新性在于它开创了优雅的技术解决方案，特别是零知识证明，以克服这种零和困境。但是重担在Web3社区，而不是监管机构，要证明这些技术在确保隐私和问责方面确实有效。

太多时候，零知识证明被吹捧为任何隐私问题的终极解决方案。但是，尽管零知识具有数学上的神奇性，但它远不是解决Web3隐私问题的灵丹妙药，它还有几个关键的缺点。首先，零知识经常是用于证明特定结构化信息的高度专业化电路。一般来说，它们缺乏可伸缩性和兼容性。其次，它们的创建、运行和维护成本非常高，需要比等效的非零知识程序多出几个数量级的计算功率来创建、运行和维护。

因此，当在隐私领域考虑零知识时，重要的问题总是“你要证明什么”，以及“为什么”?毕竟，天下没有免费的午餐，设计零知识总是要付出代价的。技术传播者宣称零知识将解决隐私方面的一切问题，就像监管机构关闭所有隐私协议一样，是不负责任的。

从根本上说，Web3中的隐私不仅仅是一个工程问题；这是一个基本原则。自从比特币白皮书的发布和区块链的商业采用以来，Web3的一个基本原则就是强调无需信任——你无需将信息信任给到任何可能使这种信任对您不利的一方。只有当用户的隐私通过去中心化、透明和公正的方式得到保障时，网络才能真正变得不可信。

那么Web3中的隐私应该是什么样的呢?这是我们需要决定的最紧迫的问题。