Zcash仪式是什么？可信设置与“有毒废料”详解

Zcash 仪式（Zcash Ceremony）是一套安全流程：彼此独立的参与者共同生成支撑 Zcash 隐私交易的 zk-SNARK 参数，随后每个人都永久销毁自己手中的那份秘密密钥分片。它之所以至关重要，是因为生成过程中会产生一把被称为“有毒废料”的主秘密密钥；一旦落入他人之手，攻击者就能在无法被发现的情况下无限增发伪造的 ZEC。这个仪式在历史上举行过两次，是 Zcash 信任体系的基石，也被视为所有使用零知识证明的区块链项目的参考范本。想先了解 Zcash 本身，可以参阅 Zcash 词条。

世界地图示意图：分散在各地的六名参与者各自销毁密钥分片，同时为中央的公共参数贡献力量

为什么需要这场仪式？

Zcash 由比特币的代码分叉而来，用零知识证明来证明交易有效，同时在链上隐藏发送方、接收方和金额。但这层隐私也带来了一个网络启动时必须解决的大问题：系统要运行，就必须先生成一组被称为“公共参数”的密码学常量。

生成公共参数，类似于生成一对私钥和公钥：公开的一半会永远留在网络上，私密的一半则必须立即销毁。如果私密的一半，也就是“有毒废料”被保留下来，就会出现下面这种灾难性场景。

数字示例：有毒废料有多危险

假设有毒废料泄露，攻击者每天悄悄增发 1,000,000 枚 ZEC。在 ZEC 价格为 50 美元的假设情景下：

更糟的是，由于 Zcash 隐藏交易金额，这种通胀将完全不可见。2010 年 8 月比特币发生数值溢出漏洞时，凭空产生的 1,840 亿枚假 BTC 在几小时内就被发现，正是因为比特币账本是透明的。在隐私链上，这样的警报永远不会响起。

这正是 Zcash 仪式要杜绝的情况。

双栏信息图：对比透明链与隐私链上发现伪造交易的难易程度

多方计算：仪式如何进行？

仪式的技术基础是多方计算（MPC，Multi-Party Computation）协议。可以把它理解为把“多重签名”（一笔交易需要多方签名才能生效）的思路，应用到了参数生成过程中。

2016 年 10 月的创世仪式按以下步骤进行：

1. 生成分片： 六名参与者在彼此独立的环境中各自生成密钥分片。
2. 合并公开部分： 把各自的公开分片合并，得到 Zcash 最终的公共参数。
3. 销毁私密部分： 每名参与者以不可逆的方式删除自己的私密分片。

这种安全保证在数学上十分巧妙：只有当所有参与者都保留各自的秘密分片并合谋时，有毒废料才能被重建。只要有一名参与者诚实地销毁了自己的分片，重建就永远不可能实现。2016 年仪式的六名参与者中，有五人的身份已公开，第六人至今仍保持匿名。

三层防御架构

单靠多方计算还不够，仪式同时启用了三层独立的安全防护：

如何实现物理隔离？

执行私钥操作的“计算节点”（Compute Node），都是专门为仪式全新购买的电脑，首次开机前就拆除了 Wi-Fi 和蓝牙模块。由于没有任何连接网络的物理通道，远程攻击面几乎降为零。

证据链为什么关键？

参与者之间仍然需要交换数据。为此，每人还使用一台联网的“网络节点”（Network Node）接收消息，再把消息刻录到 DVD-R 上，手动带到计算节点。使用 DVD-R 至关重要：这种光盘只能追加写入，事后无法覆盖。因此，每一份穿越物理隔离的数据都留下了永久、可审计的记录，恶意攻击者无法抹去痕迹。

额外的加固措施

团队还采取了超出常规的安全措施：

1. 参与者名单、时间表和源代码在仪式完成之前一直保密。
2. 所有仪式代码都用以内存安全著称的 Rust 语言编写，并运行在经过安全加固的 Linux 系统上。
3. 每条消息的安全哈希链都被打上时间戳写入比特币区块链，并上传到互联网档案馆（Internet Archive）。
4. 仪式结束后，物理机器被销毁，杜绝从内存中恢复数据的可能。

Powers of Tau：第二次仪式（2018 年）

2018 年 1 月，Zcash 举行了规模大得多的第二次仪式，名为 Powers of Tau，参与者从 6 人扩大到约 90 名独立个人和机构。

这次扩容在数学上意义重大：90 名参与者必须全部协同作恶，攻击才可能成功，这种可能性小到近乎为零；同样，只要有一人诚实销毁分片，整组参数就是安全的。Powers of Tau 也为 Overwinter 和 Sapling 网络升级奠定了基础，其中 Sapling 带来的性能提升，让手机钱包上的隐私交易变得切实可行。

2016 年与 2018 年仪式对比

时间线：2016 年 10 月创世仪式、2018 年 1 月 Powers of Tau 仪式及参与人数对比

可信设置的风险与局限

仪式提供了强有力的保障，但也有一些重要的前提不能忽视：

• 信任假设： 安全性是概率性的，而不是数学上的绝对保证。“至少一名诚实参与者”的条件在 6 人时已相当可靠，90 人时几乎确定，但理论上的合谋风险永远不会降为零。
• 实现漏洞： 代码中的缺陷（例如比特币 2010 年的溢出漏洞）可能独立于有毒废料而危及安全。这类问题要靠安全审计而不是仪式来防范，可参阅区块链安全审计。
• 面向未来： zk-STARK 等新一代零知识系统完全不需要可信设置，因此一些隐私项目如今更倾向于无需仪式的架构。
• 一次性事件： 参数只生成一次，之后的所有交易都依赖这组参数，仪式结束后无法再回头检验它的安全性。

COINOTAG 观点

Zcash 仪式没有把密码学密钥生成当作一段安静运行的代码，而是当作一场在现实世界中对抗攻击者的安全演练，因此成为加密史上最独特的安全事件之一。销毁硬件、手递一次性写入光盘、对参与名单保密，这些都是把社会、物理和密码学防御层层叠加的例子。这种思路，如今已成为许多零知识证明项目研究参考的模板。

从投资者角度看，结论很清楚：一种隐私币的可信程度，取决于孕育它的那场设置是否完整可靠，而 Zcash 把这道门槛设得很高。想了解其他隐私币，可以阅读门罗币词条和门罗币使用指南，也可以对比混币器等其他隐私方案。