不讨论细节，旨在勾勒出区块链的轮廓。由于是以介绍为主，所以不会涉及细节，而且**肯定会有一些错误**。如果有兴趣的话可以自行查询资料。

故事

我们先讲个故事：张三是一个三年级的学生，他的父母是做生意的。有一天管帐本的妈妈把账本弄丢了，付出了很大的代价才搞清楚资金的来龙去脉，于是父母商量了一下决定，爸爸和张三每次收支都要告诉妈妈，由妈妈记录这一笔帐，并每天晚上将账本公布，账本开头写上昨日三人的期初余额，结尾写上三人的期末余额。爸爸和张三检查无误后各自抄走一份，如果公布的账本有误则认为是假账，则选择昨日公认的账本作为今天的账本，今日的所有支出作废，损失由妈妈承担。

检查账本时都要检查下列项目：

• 每笔交易是否有资金支出者的签名
• 资金支出者是否有足够的钱支付
• 今日的收支是否计算得出账本结尾声明的三人的期末余额
• 今日账本三人的期初余额和昨日账本三人的期末余额一致

Q：妈妈是否可以记录一些虚假的交易，比如妈妈擅自记录一笔爸爸转给妈妈 100 块钱的账？

A：不可能，因为这笔转账必须由爸爸的签名才行，如果没有签名则晚上爸爸和张三检查账本的时候会被认为是假账，而损失却由妈妈自己承担。

Q：张三是否可以假装爸爸发给妈妈一笔给自己买零食的交替？

A：不能，因为没有爸爸的签名。

时间一长，妈妈发现记账很累，于是要求每记一笔账都要求支出放支付一块钱给妈妈。后续爸爸和张三发现妈妈记账很赚钱，于是想要自己来记账。一家人商量后达成一致，每个人都将自己的交易发送给其它两人，到了晚上汇总的时候，通过抽签选择采用谁的账本，并给予记账人报酬

有一次爸爸妈妈一起出差了，抽签抽到爸爸记账，但是爸爸很忙，没时间把账本给张三看，导致张三无法抄写今天的账本。后来一家人商量后达成一致，当允许抄写记账人以外的账本。比如爸爸很忙，但是妈妈有空，妈妈抄完后可以让张三抄。

解释

这个故事描述了区块链的大致工作流程和特点。
区块链中的就是故事中的账本，每天产生一个账本就是每天产生一个「区块」。「链」对应的就是昨日账本的期末余额和今日账本的期初余额，两种余额将两个账本连接在一起，对应将「区块」连接依赖的「链」。

区块链的特点

• 分布式：对应故事中账本并不是只有记账人有，其它人也有一份。对应现实中数据不只有一份，而是有很多份，在不同的地方存储。
• 去中心化：对应故事中对账本起决定作用的人不是记账人，只有一家三口都认同的账本才是有效账本。对应现实中一份数据的内容究竟是什么不是一个人或者一个组织能够决定的，而是要大多数参与者达成共识才能决定。
• 点对点：对应故事中抄写账本时可以从任何持有账本的人手中抄写一份，而不是必须从记账人手中抄写。对应现实中一个节点请求数组不是请求中心节点，而是请求任意一个节点即可。
• 难以篡改：对应故事中任何人都无法伪造账本中的交易记录，因为必须要有签名。对应现实中依靠密码学保证的防篡改功能。

区块链的工作流程

1. 利用共识选择出一定时间段内的数据的管理员：对应故事中一家三口通过抽签决定记账人。
2. 当数据发生改动时要对所有的节点进行广播：对应故事中一家三口在晚上决定记账人钱必须将自己的交易告知其余两人。
3. 对于数据管理员公布的数据要进行检查：对应故事中要对账本进行的四种检查。
4. 如果检查错误则回滚数据：对应故事中如果检查有误，则选择昨日公认的账本作为今天的账本，今日的所有支出作废。
5. 如果检查无误则复制一份保存在本地：对应故事中没人都会抄写一份账本。

写在最后

本文是指介绍了一下区块链的特点时大致工作流程，并未涉及细节问题，如果有兴趣的话可以自行查询资料。

现实中合约的有效性通常是通过法律来保证的，当合约出现纠纷，或者一方违约，可以通过法律手段解决，如起诉违约人等。
BTC 实现了去中心化的货币，而 ETH 则实现了去中心化的合约，即智能合约。
智能合约是存储在区块链上的一段代码，可以被调用，代码一般使用 Solidity 语言编写，运行在 EVM（Ethereum Virtual Machine）上，是图灵完备的语言，且代码一旦上链，则极难更改，这有效地保证了合约的有效性，但是如果合约代码有漏洞，也极难有修复，ETH 社区就曾经因为这个出现了 Hard Fork。
智能合约对帐户的更改，形成的交易和收据会存储在状态树、交易树和收据树中，并最终通过将三棵树的根哈希值写入 block header 来与其它全节点达成共识。
将介绍下列内容：

• 合约账户
• 嵌套调用
• 汽油费
• 其它特性

合约账户

智能合约的账户保存了合约的当前状态：

• balance：余额
• nonce：交易次数
• code：合约代码
• storage：存储，数据结构是一颗 MPT。

嵌套调用

• 智能合约的执行具有原子性，执行过程中出现错误会导致回滚。
• 嵌套调用是指一个合约调用另一个合约中的函数。
• 嵌套调用有时会触发连锁式的回滚，有时则不会。

汽油费

• 每条语句会消耗一定汽油费（gas）。
• 复杂的指令消耗的多，简单的指令消耗少，也有一些是免费的。
• 汽油费由发起调用的外部账户一次性支付，如果没有用完则退还。
• 如果汽油费耗尽但是合约未执行完毕，则回滚更改，但是不退汽油费。
• 最终获取记账权的矿工会获得执行合约的汽油费。
• 执行发生错误的交易依然要支付汽油费。

Q：为什么汽油费不足时不退还？

A：为了避免恶意的合约调用，如果退还的话，我就可以发布一个合约，里面是死循环代码，然后一直调用这个合约让矿工白白浪费算力，而我却几乎没有任何损失。

Q：为什么执行发生错误的交易依然要支付汽油费？

A：原因同上，主要是为了反之恶意的合约和恶意的调用。

Q：每个区块内部的合约调用消耗的总汽油费是否有限制？

A：有限制，记录在`header.gasLimit`字段，每个矿工在决定了要发布的区块时可以微调这个值，上调或下调$\frac{1}{1024}$。

其它特性

• 一个合约内的函数可以调用另一个合约内的函数。
• 一个外部账户也可以调用一个合约内的函数。
• 合约代码不支持try....catch，若执行时出现异常会触发回滚。
• 代码禁止 syscall。
• 合约代码只有被外部账户或者其它合约调用时才会执行，无法实现如定时执行等功能。
• 合约代码不允许多线程。

Q：为什么禁止 syscall？

A：因为执行代码的环境不同，syscall 返回的结果也可能不同，容易导致最终的状态不一致，不同全节点之间难以达成共识。

Q：为什么合约代码不允许多线程？

A：多个合约并发/并行执行可能会导致最终的状态无法一致。一个例子：

1. 合约 A：如果张三账户中至少有 100 个币则转给李四 10 个币。
2. 合约 B：如果张三账户中不足 100 个币则转给李四 5 个币。
3. 合约 A 中现在恰好有 100 个币。
4. 正常的执行顺序是先执行 A，后执行 B。运行结果是李四收到 15 个币，张三的账户剩余 85 个币。
5. 但是如果是并发/并行执行，则可能先执行 B，等待 B 完成后才执行 A，这种情况下李四收到 10 个币，张三的账户剩余 90 个币。
6. 也就是最终相关的状态会不一致，也就是状态的转移不确定。各个全节点之间无法达成共识。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

由于智能合约代码存储在区块链上，所以一旦其有漏洞也极难修复。TheDAO 是运行在 ETH 区块链平台上的一个智能合约，但是其代码存在漏洞，于是黑客发起了 Re-entrancy Attack 盗走了大量的以太币，最终导致了以太坊分裂为 ETH（Ethereum） 和 ETC（Ethereum Classic）。

本系列的文章不会着重于细节讲解，对于本次攻击的详情可以参考这篇文章：Analysis of the DAO exploit。

将介绍下列内容：

• TheDAO
• 补救措施
• 以太坊的分裂

TheDAO

DAO 是 Decentralized Autonomous Organization（分布式自治组织）的简称，TheDAO 是一个基于 ETH 区块链平台的众筹项目。其目的是让持有 TheDAO 代币的参与者通过投票的方式共同决定被投资项目，整个社区完全自制，其功能通过智能合约实现。众筹完成时共募集 1150 万以太币，在当时的价值达到 1.49 亿美元。

Child DAO

允许 TheDAO 代币的持有者调用 TheDAO 合约中的 `split` 函数，创建一个子合约，持有者在原有 TheDAO 智能合约中的 TheDAO 代币被销毁，存储在原 TheDAO 智能合约中对应的以太币被转移到新的 TheDAO 智能合约中。
Child DAO 是为了保护处于弱势地位了 TheDAO 代币持有者，使他们也可以有一个可以投票和分红的 DAO。黑客发起攻击后 ETC 就锁定在了 Child DAO 内。

补救措施

Child DAO 创建后有 28 天的锁定期，这段时间无法将以太币转走，就是段时间给了以太坊社区补救的机会。

以太坊团队设计了两步走方案：

1. 锁定黑客账户。
2. 设法将盗取的以太币退还。

以太坊首先发布了一个软分叉方案，新的软件升级中加入了一条规则：凡是和 TheDAO 相关的账户一律不允许交易。升级发布后大多数矿工都升级的软件。但是新的软件有一个 bug。
当新的软件执行某个交易与 TheDAO 相关时，这个交易失败，但是没有收取汽油费。这就导致了整个系统中充斥着大量的与 TheDAO 相关的交易，消耗了大量的资源，因此大多数矿工又将软件版本退回了更新前。
软分叉的措施失败了，此时距离 28 天的锁定期结束已经很近了。于是以太坊团队发布了一个硬分叉方案，所有 TheDAO 账户中的以太币都被强制转到另一个账户，事后再想办法将其退还。
这次没有出现意外，最终被盗取的以太币都退还了

以太坊的分裂

在攻击发生后，以太坊社区有两个观点，双方进行了激烈讨论，最终没能达成一致，导致了分裂。

应该采取措施

这一派认为应该采取措施方式黑客将以太币盗走，原因是 TheDAO 是太大而不能倒的合约，TheDAO 筹集的以太币大概占有当时总流通量的 10% 左右。以太坊开发团队也持有这种观点。
但是不要认为合约出了问题以太坊团队就会介入，主要还是因为这个合约的影响太大了。

不应采取措施

这一派认为黑客的行为并没有违反任何规则，因为智能合约的代码就是规则，按照规则行事何谈违反？
更重要的观点是，如果出了问题就要回滚，那么还谈什么去中心化的不可篡改的账本？开发团队一句话就能强行更改账本，这和中心化有何区别？

分裂

两派的矿工都没能说服对方，最终导致以太坊分裂成了两条链，一条就是采取了措施的链，称为 ETH（Ethereum），另一条是没有采取任何补救措施的链，称为 ETC（Ethereum Classic）。直到现在这两条链依旧存在，只是 ETH 上的算力更强。
在 ETC 上挖矿人一部分是出于投机目的，因为这条链算力更少，更容易挖出区块。另一部分人是纯粹出于信仰，这些坚持十分纯正的去中心化理念，认为 ETC 才是正宗的以太坊，而 ETH 已经偏离的去中心化的初衷。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 状态树
• 交易树和收据树

状态树

ETH 采用的是基于账户的模式，也就是说系统中显示记录着每个账户的当前状态信息。

每个账户都是由一个 160bit 的地址组成，外部账户中的状态包含余额（balance）、交易次数（nonce），合约账户包含 code(代码)、存储(stroge)。
对于一个出块时间只有十几秒的系统，如何高效地维护这些状态就成了十分重要的事情。

为何不使用 HashTable？

由于每个账户都是一个 160bit 的地址，所以很容易想到用 HashTable 来建立地址到账户状态的映射，在不考虑哈希碰撞的情况下，增删改查都是常数时间。国安民乐，岂不美哉？

那么为什么 ETH 没有使用 HashTable 呢？原因就是建立共识代价太大。

BTC 建立共识是通过将区块内的交易组织成一颗 Merkle Tree，并将根哈希值写入 Block Header，其它全节点验证时只需要重新计算区根哈希值即可，同时因为一个 Block 的大小有限制，所以达成共识的代价比较小。
ETH 如果使用 HashTable 管理账户状态的话，两个全节点要达成共识代价都很大，因为要遍历整个 HashTable 才可以。

为何不使用 Merkle Tree？

那么如果把账户的状态组织成一颗 Merkle Tree 怎么样呢？这样是不是就可以像 BTC 一样方便了？
看起来我们可以直接将根哈希值写入到 Block Header 里，以求向 BTC 一样达成共识。

Q：如果两个全节点记录的账户状态完全一致，它们的根哈希值一定相同么？

A：不一定，因为两个全节点听到各个账户的顺序可能不同，如果不对 Merkle Tree 进行排序的话，两个全节点构造出来的 Merkle Tree 的根哈希值很可能不同。如果不同，也就无法达成共识。

Q：如果使用排序的 Merkle Tree 是不是就没问题了？

A：如果监听到了一个新的账户，由于 Merkle Tree 时排序的，所以就要将其插入到合适的位置，那么就需要重新组织 Merkle Tree，代价过大，不能接受。

MPT（Merkle Patricia Trie）

最终 ETH 使用了 MPT 管理各个账户的状态，MPT 是 Merkle Tree 和 Patricia Trie 组合而成的数据结构。

Patricia Trie 就是经过路径压缩的 Trie。

Q：新增一个账户时的代价是否可以接受？

A：可以，因为 160bit 的账户地址很容易地就能添加到 Patricia Trie，且由于 Patricia Trie 的特点，对其更新都是局部的，不会导致整棵树的重组。

Q：更改一个账户状态时的代价是否可以接受？

A：可以，因为 Patricia Trie 的查找仅需对数时间，同时由于 Patricia Trie 的特点，其更改也是局部的，同样不会导致整棵树的重组。

Q：达成共识的代价是否可以接受？

A：Merkle Patricia Trie 中 将 Patricia Trie 中的传统的地址指针改成了哈希指针，且由于只要存储的地址完全一致，则无论存储顺序的先后，Patricia Trie 只有一种形态，所以可以算出 Merkle Patricia Trie 的根哈希值并写道 Block Header 中，达成共识十分简单。

每个区块都会保存完整的状态树，而不是仅和当前区块内交易有关的节点。因为这样可以便于回滚。也可以这么考虑：

1. 账户 A 转账给 账户 B 一个币。
2. 那么就应该先知道两个账户的余额。
3. 如果每个区块只保存与当前区块有关联的账户的状态树节点。
4. 且假设 B 是一个新的账户。
5. 那么这个新账户肯定不会存在于状态树中。
6. 由于每个区块没有保留完整的状态树，所以只能顺着区块链去找。
7. 那么查询账户 B 的状态，最终会找到 Genesis Block，才会发现这是一个新账户。
8. 代价太大，不能接受。

交易树和收据树

ETH 每次发布区块的时候其包含的交易会被组织成一颗交易树，每笔交易执行完后会产生一个收据，记录相关信息，最终也会被组织成收据树，这两棵树均为 MPT。
交易树和收据树也可以提供根哈希值。同时 ETH 也提供了比较复杂的查询操作，如查询 10 天内和某个智能合约有交易的账户等。为了降低这类查询操作的代价，ETH 使用了 Bloom Filter ，它可以让矿工在沿着区块链查找交易等信息时快速地排除不可能包含所需信息区块。

Bloom Filter

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

ETH 的出块时间大概只有十几秒，如此短的出块时间如果照搬 BTC 的共识机制就会造成大量的分叉，分散全网算力，降低系统的安全性。因此 ETH 采用了新的 GHOST 协议，可以很好地适应十几秒地出块时间，保证系统的安全性，同时也在一定程度上平衡了收益，使得大型矿池相对于 BTC 不再那么占便宜。
使用基于 GHOST 的协议主要出于两个目的：

• 维护系统安全性
• 平衡收益

维护系统安全性

出块时间只有十几秒，由于 Flooding 的时候没有考虑底层拓扑，如此短的时间一个区块难以广播给全网，容易造成大量分叉，如果继续使用 BTC 的共识协议，极其容易分散算力，降低系统安全性。

平衡收益

以下图所示情况为例说明

我们假设 A、C 两个 Block 时个人矿工所挖出的，B 是大型矿池挖出的 Block。假设三个 Block 同时挖出。

1. 显然大型矿池的所在的链最有可能成为最合法链，也就是 B 所在的链。
2. 同时其它矿工出于不想浪费算力的目的，通常会选择跟在大型矿池的后面继续挖矿，而不是跟在个人区块后面。
3. 理想情况下如果一个矿工占有 n% 的算力，那么他的收益也应该是所有矿工收益的 n%。
4. 现在 B 所在的链成为最长合法链的概率会超过 n%。
5. 因为个体矿工愿意跟随大型矿池进行挖矿。
6. 那么大型矿池的期望收益就会超过 n%。
7. 我们不希望这种情况出现。

上图这种情况下，ETH 规定，D 在发布的时候可以将 A、C 作为 Uncle Block 包含进 D 中，那么 A 和 C 的其所有者会获得 7/8 的出块奖励。一个区块中最多只能包含两个 Uncle Block。

对于上图这种情况，能被包含进 J 的 Uncle Block 只能是 A 和 C。而 E、G、F、H 不能作为 Uncle Block，否则这会降低矿工合并分支的积极性。

Uncle Block 最多往前追溯七代，收益每隔一代减少 1/8，七代之前的区块不允许作为 Uncle Block。

这么做就可以在一定程度上平衡了收益，也能鼓励分叉尽快进行合并。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 外部账户（Externally Owned Accounts）
• 合约账户（Smart Contract Accounts）

BTC 采用基于交易的模型，一个账户有多少币没有显式记录，如果想要知道只能顺着区块链去查 UTXO 才能知道。

ETH 采用基于账户的模型，就像现实中的银行账户一样，一个账户有多少币是显式记录在区块链上的，每次支付的时候就检测余额并修改余额即可，无需关注币的来源。

为什么 ETH 会使用这种模式呢？因为 ETH 要支持智能合约（Smart Contract），这就要求参与者的身份要比较稳定，否则很难知道合约的参与者究竟是哪个账户

外部账户（Externally Owned Accounts）

外部账账户内记录的下列内容：

• balance：余额
• nonce：不同于 BTC，这里则表示该账户发起过多少笔交易。

账户的信息都会记录到一种名为「状态树」的数据结构中，每次交易都会更新状态树的对应节点。

重放攻击（Replay Attack）

基于账户的模式天然地对双花攻击（Double Spending Attack）有防范作用，但是容易成为重放攻击的目标。

重放攻击就是将一个已经上链的交易重新放送一次，由于这笔交易具有被攻击账户的签名，所以全节点会认为其是有效的，所以会导致一笔交易重复执行。对此 ETH 通过`nonce`字段来防范，这个字段记录了该账户发起过多少笔交易，每笔交易都要记录当前的`nonce`值，这样就可以有效防范重放攻击了。因为当一笔交易被重放时，其`nonce`值会比账户中记录的`nonce`值小，由此可以判断该账户没有发起过这笔交易。

合约账户（Smart Contract Accounts）

合约账户记录下列内容：

• Code：即合约代码
• Storage：相关数据

合约内的代码可以被其它用户所调用，也可以被其它合约调用，用以完成合约的功能。创建合约的时候会返回一个地址，根据这个地址即可调用合约代码。
智能合约代码一般使用 Solidity 语言编写，运行在 EVM（Ethereum Virtual Machine）上，且代码一旦上链，则极难更改。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• ASIC Resistance
• GHOST 协议
• 基于账户的交易模式（Account-based ledger）
• 权益证明（Proof Of Stake）
• 智能合约（Smart Contract）

ASIC Resistance

BTC 起初的设计目的包括让通用计算机加入到挖矿过程，但是目前 BTC 的挖矿主要是由 ASIC 矿机完成的，使用通用计算机挖矿几乎是无利可图的。

而 ETH 希望避免这种情况，其设计了 Member hard mining puzzle，因为 ASIC 矿机的访存效率不一定有通用计算机高，如果 Mining puzzle 对内存的要求较高，则可以很好地对抗 ASIC 矿机。

GHOST 协议

ETH 的出块时间大概只有十几秒，如此短的出块时间如果照搬 BTC 的共识机制就会造成大量的分叉，分散全网算力，降低系统的安全性。因此 ETH 采用了新的 GHOST 协议，可以很好地适应十几秒地出块时间，保证系统的安全性。

基于账户的交易模式（Account-based ledger）

BTC 中一个矿工有多少币是没有显式记录的，想要知道余额只能去查 UTXO，而 ETH 是基于账户的交易模式，自己有多少币很容易就知道了。所有账户的信息存储在全节点的状态树，当某个账户发起交易时，全节点会检查账户信息以确定交易的合法性。当然这种模式的优点不止一个，当然有了新的缺点，笔者将会在其它文章中说明。

权益证明（Proof Of Stake）

BTC 采用的是 Proof Of Work，即「工作量证明」，而 ETH 则计划逐步转为 Proof Of Stake，即「权益证明」，这也是 ETH 对抗 ASIC 矿机的一种方式。权益证明简单来说就是持有的币越多，在系统中的话语权越大。详细情况笔者将会在其它文章中说明。

智能合约（Smart Contract）

智能合约是存储在区块链上的一段代码，可以被调用。
BTC 的脚本语言只能实现一些简单的操作。而 ETH 常常用于书写智能合约的语言 Solidity 是图灵完备的，这代表其可以又有十分强大的功能。
智能合约作为去中心化的合约，其合约的有效性是靠 ETH 系统的安全性保证的。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• Double spending attack（双花攻击）
• Boycott

Double spending attack

即双花攻击，一个比特币可以花至少两次。

攻击举例

Boycott

即可以通过拒绝某些或某个账户的交易来达到封锁这个账户的目的。

攻击举例

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 何为匿名
• 如何提高比特币用户的匿名性
• 什么情况下会破坏比特币的匿名性
• 典型案例
• 零知识证明
• 零币和零钞

何为匿名

比特币的匿名性个人我个人理解就是如果我自己不说，别人不会知道这个哪些账户是我的，以及这些我和某个具体人的发生了比特币交易。

什么情况下会破坏比特币的匿名性

• 当比特币和实体世界发生联系的时候，比如我用比特币换了现实中流通的货币，或者用比特币买了某件商品，甚至是用某台电脑登录了比特币账户。
• 区块链中交易信息是完全公开的，可以通过时间来找出账户对应的使用者。如我早上八点看见张三用比特币一杯豆浆，中午十二点看见张三用比特币点了一份外卖。这时我去查区块链中的对应时间点的交易记录，则就可以大大缩小寻找范围，长此以往，很容易就能知道张三使用的时哪个账户。

典型案例

Silk Road，（丝路）是一个利用Tor的隐密服务来运作的黑市购物网站，Tor的服务保证了网站用户的匿名性。你能想到的东西都有可能在里面找到。只要你情我愿，就可以形成一笔买卖。毒品、性奴、儿童色情、私人杀手，这里没有“非法交易”，用比特币结算还使得交易变得无法追踪，从而受到了大量毒贩的青睐。

https://baike.baidu.com/item/Silk%20Road

最终幕后老板在旧金山被捕了，更重要的一点是此人一个比特币都没有花，也就是说没有用比特币换取过实体世界的任何物品和货币。后来出现了 Silk Road 2，没几年也被查封了

零知识证明

零知识证明是指一方（证明者）向另一方（验证者）证明一个陈述是正确的，而无需透露除该陈述是正确的外的任何信息。

同态隐藏

• 如果 $x \neq y$，那么它们的加密函数值 $E(x),E(y)$ 也不相同。
• 给定 $E(x)$ 的值，很难反推出$x$的值。
• 给定$E(x)$ 和$E(y)$的值，可以很容易地计算出关于$x,y$的加密函数值。
  • 同态加法：通过$E(x)$和$E(y)$计算出$E(x + y)$。
  • 同态乘法：通过$E(x)$和$E(y)$计算出$E(x \times y)$。
  • 上述的加法乘法均可扩展到多项式。

例子

Alice 想要向 Bob 证明她知道一组数 $x,y 且 x+y=7$，同时不想让 Bob 知道$x$ 和$y$ 的具体数值。

1. Alice 向 Bob 提供$E(x)$ 和$E(y)$的值。
2. Bob 通过$E(x)$ 和$E(y)$计算出$E(x+y)$的值，并计算$E(7)$的值。
3. 如果 $E(x+y)=E(7)$则代表 Alice 没有说谎。
4. 此时 Bob 难以知道$x$和$y$的具体数值。

盲签

在签名者不知道被签名信息的具体内容下对其进行签名。具体信息可自行查询资料详细了解。

零币和零钞

零币和零钞在协议层就融合了匿名化处理，其匿名性来自密码学保证。
但其并不安全，因为要用其牟利总归要与实体世界发生交互。

不要用零币和零钞进行任何违法犯罪活动。天网恢恢，疏而不漏。

零币

零币系统中存在基础币和零币，通过基础币和零币之间的转换来消除旧地址和新地址之间的关联。

零钞

零钞系统使用 zk-SNARKs 协议，不依赖基础币，只记录交易的存在性和矿工用来验证的系统正常运行的关键信息，区块链上既不现实交易地址也不显示交易金额，所有交易通过零知识验证的方式进行。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 产生分叉的原因
• Hard fork
• Soft fork

产生分叉的原因

• 比特币系统的协议的修改升级，因此产生的分叉称为 Protocd fork。
• 日常挖矿过程中也会产生一些分叉，但是通常会很快地淘汰掉其它分叉，只留下一个。
• 攻击者的攻击。

Hard fork

即这个分叉是永远的。
如果对比特币协议增加新的特性，那些没有升级软件的节点不认可新特性，这个时候就会产生硬分叉，一个例子是比特币的区块大小限制。假如有人发布了软件更新，将区块大小限制从 1M→4M，假设大多数节点都更新了，少数节点没有更新，这里的大多数不是按账户数目来算，而是按算力来算，即系统中有大多数 hash 算力的节点都更新了软件。新节点能挖出最大是 4M 的区块，但是旧节点不认可大小超过1M的区块，所以旧节点会沿着小区块一直挖下去，新节点大小区块都接受，但旧节点不接受大区块，两者没有达成共识，这样就会出现一个永远的分叉。

Soft fork

即暂时性的分叉。
如果对比特币协议加一些限制，原来合法的交易或者区块在新的协议可能不合法就会引起软分叉。假如有人发布更新将区块大小变成 0.5M，大部分节点更新了软件，少部分没有更新。这时候新节点沿着一条链挖小区块，不认可大区块，旧节点沿着一条链挖大区块，同时旧节点也认可小区块，因为新节点算力更强，所以更快形成一条新旧节点都认可的最长合法链，但是新节点不会在旧节点产出的大区块后面继续挖，而是会继续分叉挖小区块，所以旧节点挖出的大区块最后都没用了，不得不更新软件。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• CPU 挖矿
• GPU 挖矿
• ASIC 挖矿
• 大型矿池

CPU 挖矿

起初挖矿竞争还不激烈，大家可以随意用自己的 PC 进行挖矿，出块的概率也算可以接受。但是随着竞争的激烈，CPU 无法满足算力的需求，因为通用计算机的的CPU在挖矿过程中只用到了 CPU 指令的很少的一部分。

GPU 挖矿

这时大家开始用GPU挖矿，因为 GPU 是专门为了通用的大规模的并行运算而开发的，效率要比 CPU 挖矿提高了很多。
但是由于 GPU 依然是为了通用计算而开发，所以依然有很多功能无法利用导致浪费，如浮点运算。

ASIC 挖矿

Application Specific Integrated Circuit，专门为了某种需求开发的芯片。随着挖矿竞争的加强，也有了专门用于挖矿的芯片，这种芯片的性价比是很高的，效率也远高于 GPU。
据统计，此类芯片的主要利润主要来自发布的前两个月，两个月后基本就会被淘汰。矿工之间的竞争就像是军备竞赛。

大型矿池

矿工单干时就像是买彩票，出块的概率很低，但是一旦出块了就能大赚一笔。这时就有了矿池的出现。
矿场主号召矿工加入自己的矿池，由矿场主分配不同的任务给每个矿工，矿工出块后就提交给矿池，大家一起分享收益。区块由矿场主组装，矿工只负责计算 Hash，矿场主则会收取一部分管理费。
矿池的出现使得矿工的收益相对来说更加稳定，但同时单次收益也会减少。

如何分配收益

首先肯定不能是平均分配，因为这种方式会导致干多干少收益都是一样的。矿场主可以自己规定一个挖矿难度，这个难度小于比特币网络所规定的挖矿难度。矿工挖出出块后，如果符合矿池规定的难度但不符合比特币网络的难度则这个区块可以作为工作量证明提交给矿池，这种区块称为 Almost valid block，如果符合比特币网络的难度则可以作为整个矿池收益的一部分。最后按照每个矿工提交的两种区块的数量来分配收益。

Q：矿工可否挖到合法区块后绕过矿主自己去提交从而独吞奖励，而 Almost valid block 作为工作量证明提交给矿池？

A：不可以，因为区块中的收款人是矿场主，就算矿工自己发布也赚不到比特币，比特币依旧是矿场主的。

担忧

矿池的出现使得算力的集中更加简单，因为原本大家都是各干各的，而现在矿工加入和更换矿池是非常容易的。此时如果矿场主以较低的管理费吸引大量的矿工以获得半数以上的算力，同时因为每个矿工只负责计算 Hash ，因此其不知道自己是否在发起攻击，所以可以以此发起「51%算力攻击」。
而如果没有矿池，攻击者需要自己购置硬件来对抗全网的算力，成本十分巨大。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• 为何调整挖矿难度
• 如何调整挖矿难度

为何调整挖矿难度

全网的算力可能会增强，可能会减弱，比特币系统会系统的出块时间控制在10分钟左右（中本聪没有说为什么是10分钟）。

中本聪并没有说明为何是10分钟，可能是他/她喜欢。

如果挖矿难度过低

如果挖矿难度太低，则代表出块时间会非常短，看起来是好事，因为我发布一笔交易会很快地被写入到区块中。但是也会出现很大的问题。

1. 因为出块时间缩短，所以会出现很多节点几乎在同一个时间发布区块。
2. 在出块慢的时候10分钟的时间基本足够将出块信息广播给网络中的绝大多数节点，而在十分钟内基本不会出现大量的区块被广播。而如果出块速度加快，则在某个区块的广播过程中别的节点也很容易算出自己的区块并广播，这就会导致网络中的节点收到的区块不是基本一致的，而是多种多样的。
3. 所以很容易造成区块链的分叉，而且可能不是两叉，数量可能会很多。
4. 这样全网的算力就被分散到十分多的分叉上了。
5. 此时如果攻击者发起一些攻击如 Double Spending Attack，可能就不需要全网51%的算力了，因为全网的算力被分散了，而不是集中在一条最长链上。

如果挖矿难度过高

这个就很容易理解了，出块速度过慢则会导致整个比特币系统十分低效，也会打击矿工的积极性。比如我发布一笔交易可能要等一个月甚至更久才会被确认，这太慢了。

如何调整挖矿难度

比特币系统会在每产生2016个区块后调整难度，下面是调整公式。

中本聪也没有说明为何是每2016个区块才调整难度，可能是他/她喜欢。

难度调整的公式如下

\[  target=target \times \frac{ActualTime}{ExpectTime} \]

调整难度实际上就是调整target值，target 越小则难度越大，反之则难度越小。

同时为了保证挖矿难度不会出现大幅度的波动，一旦$\frac{ActualTime}{ExpectTime} < \frac{1}{4}$，则一律按照等于$\frac{1}{4}$计算，一旦$\frac{ActualTime}{ExpectTime} > 4$，则一律按照等于$4$计算，保证挖矿难度不会有大幅度变动。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• P2P Overlay network
• 交易的广播
• 区块的广播

P2P Overlay network

比特币网络的设计目标是简单、鲁棒，而非高效。
比特币的网络层运行的是一个 P2P Overlay network，网络中所有的节点都是对等的，使用TCP协议通信。

如何发现其它节点

既然每个网络节点都是平等的（是指在网络层面上节点是平等的，但各节点在功能上可以有不同的分工， 如钱包节点、挖矿节点等），不存在任何“特殊”中心节点，那么当新的网络节点启动后，它是如何跟其他的节点建立连接，从而加入到比特币网络呢？

在中心化网络中，新加入的节点只要连接“特殊”的中心节点就可以加入网络。

为了能够加入到比特币网络，比特币客户端会做一下几件事情：

1. 节点会记住它最近成功连接的网络节点，当重新启动后它可以迅速与先前的对等节点网络重新建立连接。
2. 节点会在失去已有连接时尝试发现新节点。
3. 当建立一个或多个连接后，节点将一条包含自身 IP 地址消息发送给其相邻节点。相邻节点再将此消息依次转发给它们各自的相邻节点，从而保证节点信息被多个节点所接收、保证连接更稳定。
4. 新接入的节点可以向它的相邻节点发送获取地址 getaddr 消息，要求它们返回其已知对等节点的 IP 地址列表。节点可以找到需连接到的对等节点。
5. 在节点启动时，可以给节点指定一个正活跃节点 IP, 如果没有，客户端也维持一个列表，列出了那些长期稳定运行的节点。这样的节点也被称为种子节点（其实和 BT 下载的种子文件道理是一样的），就可以通过种子节点来快速发现网络中的其他节点。

相邻节点的选择是无视底层网络拓扑的，一个在A国的节点的相邻节点可能会在B国，并不是空间上的相邻。

交易的广播

当一个节点收到一笔合法交易的时候会记住这笔交易并广播给相邻的节点，通过 Flooding 来将一个交易广播给全网，同时当节点收到重复的交易时也自然不会重复广播。
如果某个交易被写到区块链中后，则之前记住这笔交易的节点就要删除这个交易，因为已经没有必要记录了。
如果节点收到的被写到区块链中的交易和自己记住的交易发生冲突，则删除自己记录的交易。

区块的广播

广播的过程和交易类似，区别是收到区块的节点还要判断这个区块是不是在最长合法链内。

参考资料

• 分析比特币网络：一种去中心化、点对点的网络架构
• 北京大学肖臻老师《区块链技术与应用》公开课

• Unspent Transaction Output（UTXO）
• 出块概率
• 交易的确认

Unspent Transaction Output（UTXO）

UTXO 是 BTC 交易的基本单位，也就是说其不可分割，每一笔交易都会产生新的UTXO，一个 UTXO 可以包含的BTC可以是一聪的任意整数倍。

聪：BTC 的基本单位。

Full node需要在内存中维护UTXO以保证可以快速检测Double spending attack。

除了coinbase交易以外，任何一笔交易都会有一个输入和若干个输出，$输入的BTC=输出的BTC+手续费$。

张三和李四拥有的UTXO如下：

现在张三要给李四转 4 个 BTC，首先张三拥有的 UTXO 中没有正好包含 4 个 BTC 的 UTXO，但是张三可以选择将包含 5 个 BTC 的 UTXO，转账给李四 4 个 BTC，然后转账给自己 1 个 BTC，就完成了一笔交易。本地交易的输入为张三持有的包含 5 个 BTC 的 UTXO，输入给下图中绿色的 UTXO。

我们称这种模式为 Transactor-base ledger。

出块概率

挖矿的过程就是不断尝试各种 nonce 来求解 puzzle，每次尝试 nonce 都可以看作一个 Bernoulli trial：a random experiment with binary outcome（伯努利试验：一个二元结果的随机试验）。伯努利实验的经典案例是抛硬币，如果硬币不均匀，每次实验，正面的概率就是 p，反面的概率是 1-p。对于挖矿来说，这两个概率相差甚远，每次尝试一个nonce，成功的概率是微乎其微的，大概率不行的，如果我们做大量的伯努利实验，每个实验都是随机的，那么这些伯努利实验就构成了一个 Bernoulli process：a sequence of independent Bernoulli trial（伯努利过程：一系列独立伯努利试验）。Bernoulli process 的一个特性是无记忆性（memoryless），意思是说做大量实验，前面的实验结果对后面的结果没有影响，挖矿过程就是不断尝试nonce，这种情况下   Bernoulli process可以用 Poisson process 来近似，实验次数很多，每次成功的概率很小就可以用 Poisson process 来近似。我们关心的是出块时间，也就是系统里产生下一个区块的时间，这个在概率上可以推导出来，服从指数分布。

注意，上图的出块时间是整个系统的出块时间，并不是矿工的出块时间，整个系统的平均出块时间是10分钟，平均时间是比特币协议规定的，通过定期调整挖矿难度，使得平均出块时间维持在10分钟左右，具体到每一个矿工，出块时间取决于矿工的算力，算力大，概率就大，出块时间就短。指数分布也是无记忆的，概率密度曲线的特点有：从任何一个地方把它截断，剩下曲线的形状仍然和原来一样，仍然服从指数分布，这就是无记忆的性质，假如过去了10分钟，仍然没有人找到区块，那么接下来还要等多久呢？还是平均下来10分钟，这个和直觉不太一致。这个概率分析告诉我们将来还要挖多少时间和过去挖了多少时间是没有关系的，仍然是服从指数分布，平均还要10分钟，这个性质也叫 Progress free。

Progress free 或者 Memoryless 有什么作用？

设想一下，如果有某个 puzzle 不满足这个性质会出现什么情况，比如说过去做的工作越多，接下来尝试 nonce 的时候成功的概率越大，相当于抛硬币的时候每次结果不是随机的，过去抛了好多次，都是反面朝上，下次再抛硬币的时候，正面朝上的概率会增加。如果有某一个加密货币设计出这样的 puzzle，会有什么结果？算力强的矿工会有不成比例的优势，因为算力强的矿工过去的工作量更大。什么是不成比例的优势？比如系统中有两个矿工，一个的算力是另一个的10倍，理想状况下，算力强的矿工能挖到矿的概率应该是另一个矿工的10倍，这才算公平，因为算力强的矿工能尝试的nonce是另一个的10倍，这就是我们说的Progress free 或者 Memoryless 所保证的，如果不是这样的话，算力强的矿工获得记账权的概率就会超过10倍，因为它过去尝试了更多的不成功 nonce，那么下次成功的概率就会增大，这就是不成比例的优势。所以 Progress free 或者 Memoryless 保证了挖矿公平性。

交易的确认

当一笔交易刚刚被写到区块中的时候交易并不会完全被确认的，此时是 One confirmation，此时可能会出现分叉攻击，即在前一个区块后面发布一个不相同的区块来造成分叉，如果攻击者的链条称为最长合法链后则这笔交易就不在最长合法链中，交易会被回滚。

解决的方法是交易的确认需要 Six confirmation。此时攻击者发起的分叉攻击就几乎不可能追赶上六个区块了，除非这个攻击者拥有全网半数以上的算力，这种攻击也称「51%算力攻击」。

参考资料

• 比特币实现
• 北京大学肖臻老师《区块链技术与应用》公开课

• Cryptographic hash function
• Signature

Cryptographic hash function

它有三个重要性质，分别为 Collision resistance、Hiding 和 Puzzle friendly。

• Collision resistance：不能找到一个快捷的方法使得$Hash(x_0)=Hash(x_1)=y 且 x_0 \neq x_1$。
• Hiding：假如$Hash(x)=y$，那么不能找到一个快捷的方法从$y$反推出$x$，前提是输入空间足够大且取值均匀，这时可以通过在$x$中增加一个随机数来解决这个问题。
• Puzzle friendly：哈希函数的输出结果是难以预测的，即难以通过哈希函数的输入来预测哈希函数的输出结果。

Signature

它依赖于Asymmetric cryptographic algorithm，生成一对公私钥，私钥加密公钥解密，私钥签名公钥验证，所以公钥是可以公开的。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• Block 的结构
• 节点类型
• 谁可以发布比特币
• 如何验证交易的有效性（分布式共识）

Block 的结构

Header

• version
• hash of previours block header
• merkle root hash
• target
• nonce

挖矿的过程就是寻找一个 nonce 使得$Hash(Header) \leq target$。

Body

• transcation list

节点类型

Full node

• 一直在线
• 在本地硬盘上维护完整的区块链信息
• 在内存中维护 UTXO 集合以便快速检测交易的合法性
• 监听比特币网络上的交易信息并验证每笔交易的合法性
• 决定哪些交易会被打包到区块里
• 监听别的矿工挖出来的区块并验证其合法性
• 挖矿
  • 决定沿着哪条链挖下去
  • 当出现等长的分叉时选择哪一个分叉（缺省状态下选择先监听到的分叉）

Light node

• 无需一直在线
• 不保存整个区块链而只保存每个区块的 Header
• 不保存全部的交易而只保存与自己相关的交易
• 无法检验大多数交易的合法性而只能检验和自己相关的交易的合法性
• 无法检测系统中发布的区块的正确性
• 可以验证挖矿难度
• 只能检测哪个是最长链而不知道哪个是最长合法链

谁可以发布比特币

比特币系统中唯一可以发布比特币的途径就是区块被接受后获得的奖励。奖励初始为 \\(50BTC\\)，每接受21万个区块后奖励减半。
当奖励已经很少的时候获取BTC主要是靠交易的手续费。

如何验证交易的有效性（分布式共识）

获取记账权

挖矿的过程就是寻找一个 nonce 使得$Hash(Header) \leq target$，优先完成这个工作的节点就获得了这个区块的记账权。节点无法欺骗其它节点说自己完成了工作，因为其它节点可以轻松地验证上述条件是否成立。

接受区块>

1. 验证区块的信息，如难度是否正确，交易信息是否没有篡改等。
2. 通过查看 Header 确定当前区块是否在扩展最长链，如果是扩展最长链则接受该区块，反之则不接受。
3. 下列情况下可能会导致几乎同时出现两个最长的链
   • 两个人几乎同时取得了记账权。
   • 由于网络等原因一部分节点接受了一个区块，另一部分节点接受了另一个区块，以及类似的情况。
   • 其它情况。
4. 出现这种情况的时候接受哪条链实际上是这些链各个对应的矿工的算力比拼，如果其中一条链的矿工的算力可以让该链最快地扩展，则最终该链会被其它节点接受成为最长链。

激励机制

那么凭什么让矿工来拿出算力来维持这个共识？

• 一旦一个区块被接受，则拥有者可以获得奖励。奖励初始为50 BTC ，每接受 21 万个区块后奖励减半。这在奖励比较多的时候可以大大激发矿工的挖矿热情。
• 一个区块是可以记账的，每当一笔交易被记录到一个区块内的时候，区块的拥有者就可以收取一定手续费。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课

• Blockchain
• Merkle Tree

Blockchain

本质上是链表，只不过传统的链表的指针域存储的下一个节点的地址，Blockchain 的指针域则存储上一个节点的 Hash。

结构如上图，如果从左到右第二个区块被篡改。

因此后续的节点都使用的是哈希指针，所以必然会导致右边的两个区块的哈希指针发生改变。

所以系统只需要保存最后一个区块的 Hash  就可以检验整个区块链是否被篡改。
有了这些性质后节点就没有必要保存所有的区块，当需要其它区块的时候，可以向其它节点请求，得到之后通过验证 Hash 就可以知道这个区块是否被篡改过。

Merkle Tree

Blockchain的header中只需要保存root hash即可，这样对Blockchain取哈希的时候也只需要对header取哈希就行了，也能够起到防篡改作用。
那么假如我想知道某个block是否已经写在了Merkle Tree里，则可以向其它节点请求下图中紫色的 Hash，然后通过计算 Hash 就可以验证。

理论上恶意节点可以通过篡改某个区块的内容且使其 Hash 不变的情况下来欺骗其它节点，但目前的实际应用中是不可能的，因为这是在人为制造哈希碰撞，Collision resistance 可以很好地解决这个问题。

假如我想知道某个 block 是否不存在于 Merkle Tree 里，如果对叶结点的顺序没有特殊要求则需要遍历所有 block，但是如果 block经过排序，则可以在对数时间内进行验证。

参考资料

• 北京大学肖臻老师《区块链技术与应用》公开课