AD
一文了解：哪些机构在灰度清仓了GBTC？
作为加密市场的风向标，灰度持仓变化已经成为币圈每日必看数据，持仓的增加被看作多头信号，被市场解读为机构持续进场。
弁言2009 年，中本聪缔造了比特币 [Nak09]。比特币是一种互联网钱币系统，可以实现点对点的数字代币转账。为确保所有人就代币所有权杀青共识，中本聪接纳了一种可由所有网络介入者复制并验证的公共账本。为了制止单点故障，该账本接纳一种动态成员多方署名（dynamic membership multiparty signature，DMMS）[BCD+14] 机制来证实（authenticated），即，在每次 “心跳” 时对整个账本历史执行一次高成本盘算（然则验证成本很低）。
差别于传统的数字署名，DMMS 中没有 “可伪造性” 的看法（there is no notion of “forgeability” for a DMMS）。每个 DMMS 的建立成本都很高（在比特币中，需要消耗高昂的电力成本），而且，这种行为可以获得账本上增发的新钱币作为奖励。由于这些新代币必须获得其他人的认可才有用，介入者会受到激励来配合扩展“真正的账本”，而非自行建立账本 1。（译者注：此处的 “认可” 一词原文为 “recognize”，也就是说它的原意可能并没有那么多 “社会共识” 的示意，其自己可以有严酷的手艺寄义：若是你没有收到一个区块，你就不会认可由这个区块刊行的钱币。）
由于比特币的 DMMS 在盘算和热力学 [Poe14a] 方面成本异常高，人们已经提出了其它更为经济环保的方案。最常被提议的方案是 PoS（权益证实），它是一种低成本的分布式共识机制。正如 Andrew Poelstra [Poe14b] 在 2014 年所言，PoS 是不能行的，但照样涌现出种种形式的 PoS 方案。与此同时，种种论坛上经常有人声称 Poelstra 的论点是 “虚伪” 或 “错误” 的，只管他们从来没有提出任何有说服力的反例或错误。此外，也有人给出了中肯的意见，以为 Poelstra 的这篇论文写得艰涩死板。由此可见，这篇论文另有许多不足之处。虽然 Poelstra 没有发现他的前作有任何不准确之处，然则他准备借此机会进一步地正式叙述他的论点。
相比 Poelstra 撰写论文时，人们对比特币共识的科学认识已经有了巨大进步 [MLJ14, BMC+15] 。
本文旨在更新 Poelstra 的论文，说明比特币所解决的问题，PoS 背后的设计原理，以及 PoS 之类的机制无法在比特币的信托模子中发生分布式共识的缘故原由。
注 1: 为了确保所有介入者都可以看到 “真正的账本”，我们需要一个同步网络：所有（有用）数据都能在一定的时间长度 λ 内到达所有介入者，而且网络心跳时间比 λ 长得多。若是没有同步网络，分布式共识的难度会大得多。（经常被人引用的一个结论是，使用确定性算法是不能能实现分布式共识的 [FLP85]；但使用概率算法就可以很容易制止这一问题，因此在共识系统的设计难度上没有许多讨论。本文档的旧版本错误地引用了这一结论，以为这一点使得所有分布式共识机制在异步网络中都不能能杀青共识，谢谢 Dominic Williams 指出了这一点。）
分布式共识在讨论比特币对于分布式共识问题的解决方案之前，我们首先要明白这个问题的本质。分布式共识（比特币系统所使用的术语）是一种彼此之间缺乏信托的介入方之间杀青的共识（即，全局一致 global agreement）。这些介入方都是匿名的，而且在系统建立时并不一定存在。正如 Poelstra 在其论文中所注释的那样：
就密码学钱币而言，仅在买卖的时间顺序上杀青分布式共识就足够了，即，就 “第一个转移特定资金的买卖杀青共识”。这样可以确保整个网络都认可新的资金所有者。
之以是需要杀青这种共识，是为了防止 重复破费 问题（double-spending）。在所有去中央化数字钱币机制中，都有可能泛起付款方将统一笔资金发送给两个差其余人的情形，而且这两笔买卖看起来都是有用的。因此，收款方需要能够确保没有发生冲突，或者在有冲突的情形下，网络会认可其买卖为准确版本。就买卖顺序杀青分布式共识可以实现这一目的：在发生冲突的情形下，每小我私家都认可第一笔买卖是有用的，其余买卖是无效的。
（数字钱币的其它问题，如权限和防伪，相对来说对照容易，可以通过传统密码学解决。）
重点是，我们应该意识到，只管分布式共识是个难题，然则通俗共识加倍容易，经过了更深入的研究，而且使用受信托且可识其余署名方可以将效率提高数万亿倍。因此，（即使是在有限条件下）引入了受信托方的密码学钱币都应该思量的一点是，其新型信托模子是不是能辅助降低杀青共识的难度。对更高效的、具备受信托方的共识机制感兴趣的读者可以研究一下。
动态成员多方署名（Dynamic Membership Multiparty Signatures）比特币的账本是公然可用的，比特币网络中的所有介入者都可以验证账本上每笔买卖的有用性。然而，由于账本在根本上属于历史纪录，密码学无法判别真伪，必须要有人来证实账本，而且其他人必须信赖这小我私家不会签署错误的历史。
最早的数字现金系统都由单个非匿名者签署所有买卖 [Cha83]。然而，这样不仅为系统引入了单点故障风险，而且可以让签署方（以及任何可以通过权力或武力来胁迫该签署方的人）审查买卖或提议重复破费。虽然我们可以接纳盲署名（详细参见 [Cha83]）来防止审查制度，然则无法提防单点故障和重复破费问题。多方署名或许有可以解决后面两个问题，然则所有署名方难以同时遭到胁迫与所有署名方必须获得所有介入者的信托这两个要求是相互冲突的。非匿名性也意味着，特定攻击者总能延续攻击系统。
比特币的解决方案是完全去掉牢固且可识其余署名者。比特币的账本由一组被称为矿工的署名者验证，他们不向其它介入者公然自己的身份，或许还可以零成本进入或退出系统。矿工通过叫做 “挖矿” 的历程来天生署名。在挖矿历程中，他们会配合为延续的、由买卖数据组成的区块天生 事情量证实 [Bac02]。
在本节中，我们将注释挖矿是若何运作以及若何提供验证的。
匿名天下里的判别（authentication）
密码学数字署名机制的运作原理如下。署名方天生 “署名” 和 “验证” 密钥对（s，v），并将 v 连同其姓名一起宣布在某个公共渠道上。该署名方可以凭据给定新闻 m 天生署名 σ，任何人都可以验证 σ 的有用性。也就是说，将 v，m 和 σ 输入验证算法，若是署名是有用的，总是会输出 1。
为了平安起见，传统数字署名必须具备抗伪造性，即，任何盘算能力有限的攻击者伪造署名的概率都微乎其微。详细而言，“伪造” 指的是（攻击者）能在下列游戏中胜出：
署名者将验证密钥 v 交给攻击者。
攻击者将新闻 m_i 发送给署名者，并收到这些新闻的有用署名 σ_i。攻击者可以多次重复该操作。
攻击者天生一个新的新闻 m 连统一个基于 m 的有用署名 σ。
这种平安性被称为 选择明文攻击下的不能伪造性（existential unforgeability under chosen-message attack），是密码学文献中的常见尺度。
在多方署名机制中，每个署名者都有一个验证密钥。只有署名者（或者说署名密钥）的 “可采信子集” 天生的署名才有用。在界说平安性时，上述游戏经过了修改，允许攻击者请求（并获取）署名密钥，只要该攻击者获得的密钥无法组成 “可采信子集” 即可。
可以看出，验证算法使用验证密钥 v 来验证署名，并通过这种方式来验证署名者的 “身份”。由于任何人都可以建立密钥对，若想署名具有价值，必须通过公共纪录将验证密钥与署名者的真实身份联系起来。若是泛起失约行为（签署无效历史），失约方会被问责。
这样来看，身份判别并不适用于署名者匿名且不牢固的系统。事实上，我们还不清晰 “身份判别” 在这类系统中能施展什么作用！若是任何人都能以匿名方式天生署名，就无法区分老实的署名和不老实的署名、真实的历史和虚伪的历史。那么上述平安性界说就丧失了意义，由于攻击者可以自由加入署名者集，并 “伪造署名”2。
为了解决这一问题，比特币接纳了另一种平安模子。在该模子中，所有介入者都同等，然则他们会在经济激励下保持老实。在下一部门，我们将先容该平安模子。
注 2: 正如我们在第四部门所见，若是是密码学钱币，匿名介入方就有可能锁定保证金，并通过某种机制在无需确认任何人的身份的情形下，责罚失约行为者。这实际上就是权益证实。然而，密码学钱币离不开共识，因此 “若是是密码学钱币” 这个条件导致我们在这里无法使用权益证实，否则就会陷入循环推理。我们会在下一部门解决这个问题。
为 DMMS 界说平安性
就 DMMS 而言，所有介入方都是同等的；无法通过让 “对手” 仅拥有不完全知识（incomplete knowledge）来获得平安性。因此，我们使用以下三部门界说了 DMMS。这些部门都差别于传统署名的密钥天生算法：
使用价值函数 c 来追踪算法的执行并输出 “价值（cost）” t ∈ ，其中 是某个 “价值域”。该函数必须是线性的，由于延续运行两个算法的成本是它们各自成本的总和。
随机化算法 AttemptSign 将新闻 m 作为输入，输入署名 σ。输入任何新闻 m，该算法的价值都应该是 1。
确定性算法 Verify 将新闻 m、署名 σ 和目的价值 T 作为输入，输出 0 或 1。
当且仅当 Verify(m, T, AttempSign(m)) = 1 对所有属于 的 T 都有 1/T 的概率建立，则我们说该 DMMS 是准确的（correct），这个概率是由 AtemptSign 算法来保证的；当且仅当随便多项式算法 实现 Verify(m, T, A (m)) = 1 的概率都不跨越 1−(1−1/T)t，则我们说这样的 DMMS 是平安的（secure）（其中 t 是算法 A 的执行价值）。
换言之，平安的 DMMS 指的是没有比重复执行 AttemptSign 更好的署名算法（从建立验证署名的意义上来说）。
我们简要论证了我们的平安性界说。为了实现动态成员聚集，我们不能让介入成本过于昂贵，也不能让已有署名者通过显而易见的手段或经济因素排挤新加入的署名者。这就意味着，署名历程应该是 “可支解的”，既不需要也不激励署名者之间举行任何通讯。也就是说，花两倍长的时间运行一个署名算法应该与在同样的两个硬件上并行运行该署名算法的乐成概率一样高。在极端情形下，这意味着最好的署名算法应该由对单一基础步骤的重复、自力执行来组成，这是由界说推导出来的。
挖矿机制作为一种 DMMS
比特币挖矿接纳的是基于哈希函数的事情量证实算法 hashcash [Bac02]。这是一种使用随机数神谕模子（random oracle model）的 DMMS [BR93]。作为一种盘算模子，随机神谕是指，该模子把哈希函数当成一个 “随机数神谕” ，或者说真随机函数 3，其输出都是纯然随机的，而且只有通过该函数才气盘算出来。
虽然随机数神谕模子的使用引起了许多争议 [Gre11]，然则有力的实证证据证实了它可以用来保障平安性。下文中，H 指的是输入可多达 256 位的哈希函数，它被当成是一个随机数神谕。
比特币的 DMMS 如下：
价值函数给出执行中挪用随机数神谕的次数。
AttemptSign 将新闻 m 作为输入，并输出随机数 σ ∈ 256。
Verify 将署名 σ 、新闻 m 和目的 T 作为输入。仅当 H(m || σ) 2256/T 时，输出 1。
不难看出，在随机数神谕模子中，没有比重复运行哈希函数更好的建立有用署名的方式。
注 3：该模子是完全不现实的，由于真正的随机函数，from, say, 512 bits to 256 bits，平均需要 2512·256 位来示意，已经跨越了现在已知的表达极限。
没有天下时间
请注意，在上一部门，我们将哈希函数挪用的数目作为我们的价值函数，它与盘算次数大致成正比，而盘算次数又与散热量大致成正比。最后，散热量与建立这些署名的经济和环境成本大致成正比。
一个显而易见的问题是，我们是否可以接纳 “成本更低” 的价值函数？尤其是，为什么我们不能直接使用时钟时间？为什么我们使用 DMMS 对区块举行署名来建立区块链，而非直接根据时间顺序对买卖举行排序来解决共识冲突？
谜底是，分布式系统中缺少明确界说的时钟时间。网络延迟限制了信息的传播速率。凭据狭义相对论可知，若是是险些同时发生的事宜，差其余观察者无法就其时间顺序杀青共识。
若是只是这个问题，那么要求每笔买卖之间距离几秒钟即可（若是相互冲突的买卖之间距离太短，这两个买卖都市被拒绝；然则等到每笔买卖完成几秒钟后，所有介入方就能确保不会发生这种情形）。然则，实际情形会加倍糟糕，缘故原由有两点：
“网络延迟” 在恶意环境中无法获得限制。攻击者或能使用拒绝服务攻击（denial-of-service measures）来随便降低系统速率，并通过其它方式对网络举行物理分区。
用相对论来说，这意味着无论将等待时间设为多久，都无法确保介入者不会与网络中的其他介入者类空星散（spacelike separated）。
新加入网络或最近离线的用户需要接见历史数据。然则，没有设施可以事后验证买卖发生的顺序，因此在泛起买卖冲突的情形下，用户无法保证他们收到的买卖是先发生的。
来自 DMMS 的共识
既然我们已经了解了 DMMS，并注释了为什么比特币的 hashcash 是一个平安的算法，接着来思索若何通过 DMMS 实现分布式共识。
我们的主张是，通过 DMMS 实现分布式共识是有可能的。
我们首先需要通过我们的价值函数（单调函数）来权衡（a）某种无法一次为多个新闻建立署名的稀缺资源，和（b）建立署名所需的平均时间。（为了实现去中央化，这种稀缺资源可能需要被永远消耗，就像在比特币系统中那样，让挖矿的边际成本在资源成本中占主导。Poelstra 支持这一看法 [Poe14a]，然则 John Tromp 并不认同 [Tro14]。）
以比特币为例，我们的价值函数的界说是 “哈希函数挪用的次数”。我们主张，该函数实际上用来权衡盘算署名所需消耗的能源，而且获得了 Landauer limit 的论证 [Lan61]。从物理学上来说，所谓的能源，就是随便不能逆的位操作所需消耗的最低热量。通过盘算 sha256 盘算中涉及的不能逆位操作的数目，（至少从原则上来说）我们可以为建立一个比特币 DMMS 所需消耗的能源量设定下限。
价值函数也可以用来权衡建立署名所需的时间，由于每单元时间只能消耗一定量的能源，除非你去制造黑洞（black hole）（即，不让署名甚至任何信息以可用的形式提取出来）。固然了，在现实生活中，比特币矿工不会在靠近黑洞极限的情形下操作，而且所需时间取决于挖矿硬件的速率。随着挖矿硬件的改善，以及同时在线的硬件数目增多，建立 DMMS 所需的时间削减。在比特币中，目的价值会凭据这一情形举行调整，将建立每个署名所需的时间保持在 10 分钟左右 4。
注 4：鉴于 3.4 中提到的无天下时间，读者可能会想知道若何准确调整时间。实际上，时间戳是由矿工插入区块的，而且确实没有任何方式可以防止矿工弄虚作假。比特币可以抵御不实时间戳导致的较小目的偏离，而且也克制了目的（译者注：即难度）过快地发生转变。因此，想要制造大幅的目的偏离是异常昂贵的，而且有可能遭到不配合的矿工的阻挠。关于更多讨论，请参阅 [Poe14c, Section 6.3]。
那么，有了一个可以通过价值函数来权衡稀缺资源的平安 DMMS，我们该若何获得共识历史？首先，我们假设网络是同步的，因此（绝大部门）介入者可以在一定时间 λ 内获得所有有用数据。我们将买卖历史支解成一系列区块，其中每个区块都包罗一系列买卖，以及前一个区块的密码学答应（commitment） 5。每个有用区块必须拥有一个已经设定好目的的 DMMS，且目的使得建立区块所需的时间比 λ 长的多 （这样一来，在统一个共识历史上事情的矿工都知道哪个区块是最新的，而且区块建立者也不会由于优先知道最新区块而占有很大优势）。需要明确的是，每个 DMMS 的目的价值是由系统规则界说的，不由矿工决议。
注 5：答应（commitment）是一种密码学工具，由某个隐秘数据盘算得出，然则不会泄露该数据，因此该数据在事后无法修改。抗碰撞哈希函数就是一例：给定数据 x，你可以先宣布 H(x)（H 是哈希函数），之后再公然 x。验证者可以使用公然的值盘算 H(x)，来确认这个值是否与原始值相同。
网络介入者的运作方式是：首先思量以统一个创世块（已硬编码到系统中）开头的所有有用区块分支。（由于每个区块都包罗前一个区块的答应，效果会形成以创世块为根的有向非循环图，这些区块分支就是图中的路径。）然后盘算每个区块上的 DMMS 的目的成本总和得出每条区块分支的重量。最重的区块分支会被视为 “真实的” 历史。
在建立区块时，矿工凭据自己的意愿选择买卖，并加入一个特殊的 “奖励买卖” 用来将其它买卖的用度以及网络界说的补助分配给自己，再加上（他以是为的正统链上的）最新区块的答应，然后盘算 DMMS。若是另一名矿工建立并宣布了一个区块，矿工就会响应地更新他们的 “真实历史上的最新区块”，并在自己所挖的区块中改变答应以适配这种转变。盘算出一个 DMMS 之后，他们会把这个完成的区块宣布到网络中。
我们主张这样就能形成一个共识的历史，是说整个网络会渐进地对到底哪些区块是真实历史的一部门（而哪些不是）杀青共识，而且不一致只会发生在最近的历史中。详细的叙述可见 Miller 和 La Viola Jr. [MLJ14]（我们这篇文章中可器量耗能水平 DMMS， 在那篇文章中的表述是 “moderately-hard puzzles”），但我们这里附上一个不那么正式的论证。
由于网络是同步的，区块传输的时间大大短于区块生产的时间，以是所有介入者都能迅速认识到最重的历史。
我们还进一步以为，网络中的大部门介入者都市介入生产能延伸真实历史的 DMMS。一个优雅且准确的理由是由 Vitalik Buterin 提出的 [But15]：由于 “奖励买卖” 当且仅当其区块属于真实历史才会被人人接受，以是对每一个矿工来说，纳什平衡就是遵守绝大多数 6。
注 6：也是在统一篇文章里，Buterin 说：“要是你已经厌烦了 PoS 的反对者总是跟你引用 Andrew Poelstra 写的这篇文章（即 [Poe 14b]），请恣意链上本文，作为还击。” 不太清晰他这么说是什么意思；自始至终，无论在哪儿，他都没能批驳本文的主张：除了消耗一种系统外的资源，没有其余发生共识的设施。
要想改变 “真实历史”，攻击者必须发生另一个权重更大（即目的开销更大）的历史（这样的另类历史版本可以界说为从当前的历史最新顶端向后回溯 N 个区块处发生的一个分叉）。他具有的资源比正在延伸真实历史的矿工整体要少，由于谁人矿工整体才是多数。以是，他在网络中能胜出的概率是小于 1 的（由于在随便给定时间段里，网络中延伸真实历史的实验次数都多过他延伸自己的另类历史的实验），而且，要想让自己的历史跨越真实历史，他还必须胜出 N 次以上。若是胜出一次的概率是 P 1，那他胜出 N 次的概率就是 PN，N 足够大这个概率就小到可以忽略不计了。
（这里的论证是很弱的，由于只思量到了一个攻击者要延续不断地胜出，没有思量到出块难度会调整；难度的调整会使得攻击者在重新制造旧区块时速率可以比网络制造新区块更快。笔者在这里主张，没有任何凭据地主张，这些都不是严肃的问题，只是乏味的问题。）
（未完）
加入新手交流群：每天早盘分析、币种行情分析
添加助理微信，一对一专业指导：chengqing930520
上一篇：一文领会 WBTC
加入新手交流群：每天早盘分析、币种行情分析，添加助理微信
一对一专业指导：chengqing930520
最新资讯
