比特幣 MPC 錢包技術深度解析：多方計算在資產托管中的應用

概述

多方計算（Multi-Party Computation，MPC）技術近年來在比特幣托管領域引起了革命性的變化。MPC 錢包透過密碼學方法將私鑰拆分為多個碎片，使得任何單一參與方都無法單獨存取完整私鑰，從而提供了比傳統多重簽名更優秀的安全性和靈活性。本文深入分析 MPC 錢包技術的密碼學原理、GG18/GG20 協議實現、閾值簽名方案與機構級部署實踐，為比特幣托管的安全架構設計提供全面的技術參考。

一、MPC 錢包技術基礎

1.1 什麼是多方計算

多方計算（MPC）是密碼學的一個重要分支，允許多方共同計算一個函數的結果，同時各方的輸入數據保持私密。在比特幣托管的場景中，MPC 的核心應用是將私鑰拆分為多個碎片，分發給不同的參與方，沒有人擁有完整的私鑰，但所有參與方可以共同完成交易簽名。

MPC 的基本原理可以透過「百萬富翁問題」來說明：兩個百萬富翁想要比較誰的財富更多，但不希望透露具體的金額。MPC 協議可以讓他們在保護各自隱私的前提下得知比較結果。同樣地，MPC 可以讓多方在不知道彼此私鑰碎片的情況下，共同生成一個有效的數位簽名。

MPC 技術在比特幣托管中的價值在於其能夠提供「無單點故障」的安全性。傳統的托管方案中，無論是單一私鑰還是多重簽名，都存在某種形式的單點故障風險。MPC 錢包則透過密碼學確保即使部分參與方被妥協，攻擊者仍然無法獲得完整私鑰。

1.2 MPC 與傳統多重簽名的比較

傳統的多重簽名（Multi-Sig）和 MPC 錢包都旨在提高比特幣托管的安全性，但它們在技術實現和實際應用中存在顯著差異：

地址外觀：傳統多重簽名產生的比特幣地址在外觀上與單簽名地址不同，這使得外部觀察者可以識別出哪些交易使用了多重簽名。MPC 錢包產生的簽名在外觀上與普通單簽名無法區分，這提供了更好的隱私保護。

靈活性：傳統多重簽名的簽名人數和閾值在創建地址時就已經固定，若要更改需要創建新的比特幣地址。MPC 錢包則可以在不改變地址的情況下，靈活調整簽名閾值和參與方。

簽名數量：傳統多重簽名需要多個獨立的簽名，而 MPC 錢包只產生一個簽名，這簡化了交易處理流程並降低了區塊空間的使用。

實現複雜度：傳統多重簽名直接使用比特幣的腳本語言實現，相對簡單。MPC 錢包需要複雜的密碼學協議和計算，實現難度較高。

1.3 MPC 錢包的應用場景

MPC 錢包技術適用於多種比特幣托管場景：

機構托管：資產管理公司、對沖基金等機構可以使用 MPC 錢包將簽名權力分散到多個高管或部門，防止單點權力濫用。

家族辦公室：家族辦公室可以使用 MPC 錢包實現家族成員之間的權力制衡，確保資產安全。

交易所：加密貨幣交易所可以使用 MPC 錢包保護用戶資金，將私鑰碎片分散存儲到不同位置。

個人用戶：個人用戶也可以使用 MPC 錢包將簽名權力分散到多個設備，增強資金安全。

二、密碼學原理深度分析

2.1 橢圓曲線密碼學基礎

比特幣使用的橢圓曲線密碼學（Elliptic Curve Cryptography，ECC）是 MPC 錢包技術的數學基礎。比特幣採用的是 secp256k1 橢圓曲線，其方程為：

y² = x³ + 7 (mod p)

其中 p = 2^256 - 2^32 - 977

在橢圓曲線密碼學中，私鑰是一個隨機選擇的標量（256 位整數），公鑰則是私鑰與曲線基點 G 的標量乘法運算結果：

公鑰 K = 私鑰 k × G

這個運算的特點是：從公鑰 K 推導私鑰 k 在計算上是不可行的，這就是離散對數問題的困難性。

橢圓曲線數位簽名算法（ECDSA）是比特幣使用的簽名方案。ECDSA 簽名由兩個值 (r, s) 組成，驗證過程使用公鑰和消息進行計算。

2.2 秘密分享方案

MPC 錢包的核心是秘密分享（Secret Sharing），即將一個秘密（私鑰）拆分為多個碎片，每個碎片單獨不透露任何信息，但足夠數量的碎片可以重構原始秘密。

沙米爾秘密分享（Shamir's Secret Sharing）：這是最廣泛使用的秘密分享方案。其核心思想是將秘密視為一個多項式的常數項，然後在曲線上選擇多個點，每個參與方持有一個點。給定任意 k 個點（k 是閾值），可以唯一地重構 k-1 次多項式，從而得到秘密。

沙米爾秘密分享的優點包括：

• 理論上可證明的安全性
• 閾值靈活可調
• 支持動態添加或移除參與方

視覺化說明：

假設我們要保護的秘密是數字 42（實際上是私鑰）

1. 選擇一個閾值 k=2，總共 N=3 個參與方
2. 構造多項式 f(x) = 42 + 7x（斜率為 7 的直線）
3. 為每個參與方計算一個分享點：
   - 參與方 1: f(1) = 42 + 7 = 49
   - 參與方 2: f(2) = 42 + 14 = 56
   - 參與方 3: f(3) = 42 + 21 = 63

4. 任意兩個參與方可以重構直線：
   - 例如 (1,49) 和 (2,56)
   - 斜率 = (56-49)/(2-1) = 7
   - 當 x=0 時，f(0) = 49 - 7×1 = 42
   - 秘密恢復！

2.3 閾值簽名方案

閾值簽名（Threshold Signature）是 MPC 錢包的關鍵技術，它允許一組參與方共同產生一個簽名，而不需要任何一方擁有完整私鑰。

閾值 ECDSA：比特幣使用的 ECDSA 簽名可以實現閾值化。基本的思路是將私鑰 k 拆分為 k = k1 + k2 + ... + kn，每個參與方持有 ki。簽名時，每個參與方使用自己的碎片生成部分簽名，這些部分簽名組合成最終的有效簽名。

閾值簽名的關鍵特性是：

• 任何少於閾值數量的參與方都無法產生有效簽名
• 產生的簽名與普通單簽名無法區分
• 簽名過程中私鑰碎片永遠不會暴露

三、GG18 與 GG20 協議詳解

3.1 GG18 協議概述

GG18 協議是目前最廣泛使用的閾值 ECDSA 協議之一，由 Rosario Gennaro、Steven Goldfeder 等人於 2018 年提出。該協議允許一組參與方共同產生 ECDSA 簽名，而不需要任何參與方知道完整私鑰。

GG18 協議的主要特點包括：

• 安全性基於離散對數困難假設
• 支持任意閾值配置（t-of-n）
• 包含防禦惡意參與方的機制
• 經過廣泛的安全審計和實際部署驗證

3.2 GG18 協議的實現階段

GG18 協議的實現可以分為以下幾個階段：

初始化階段（Setup）

1. 參與方集合確定：所有參與方達成共識，確定總共 n 個參與方和閾值 t。
2. 分布式密鑰生成（DKG）：參與方共同生成公私鑰對，私鑰以碎片形式分散給各參與方。

密鑰生成過程涉及複雜的密碼學計算，包括：

• 提交和揭示機制防止作弊
• 零知識證明驗證計算正確性
• 錯誤檢測和修正機制

簽名階段（Signing）

當需要執行交易時，參與方執行以下簽名協議：

1. 交易消息準備：确定要簽名的交易內容。
2. 隨機數生成：每個參與方生成隨機數，用於簽名計算。
3. 部分簽名計算：每個參與方使用自己的私鑰碎片和隨機數，計算部分簽名。
4. 簽名組合：將所有部分簽名組合成最終的 ECDSA 簽名。

關鍵安全特性

GG18 協議的安全特性包括：

• 前向安全性：即使長期金鑰被妥協，歷史簽名仍然安全
• 抵抗串通攻擊：即使 t-1 個參與方串通，也無法獲得完整私鑰
• 抵抗拒絕服務：協議設計允許處理惡意參與方的行為

3.3 GG20 協議

GG20 是 GG18 的改進版本，由相同的作者團隊於 2020 年發布。相較於 GG18，GG20 進行了多項優化：

性能優化：GG20 減少了通信輪次，降低了延遲，提高了簽名速度。

安全性增強：GG20 提供了更強的安全證明，並修復了 GG18 中發現的一些理論漏洞。

實現改進：GG20 提供了更清晰的實現指南，使得實際部署更加容易。

當前應用：目前大多數 MPC 錢包產品使用的是 GG18 或 GG20 協議的變體。

3.4 協議選擇考量

在選擇 MPC 協議時，需要考慮以下因素：

安全性：選擇經過充分安全審計的協議。

性能：根據應用場景選擇延遲可接受的協議。

實現複雜度：考慮開發和維護的成本。

兼容性：確保協議與現有系統兼容。

四、閾值簽名技術實踐

4.1 閾值簽名的類型

比特幣托管中使用的閾值簽名技術主要有以下幾種類型：

閾值 ECDSA：基於比特幣使用的 ECDSA 簽名算法。這是目前最成熟的閾值簽名方案，兼容現有的比特幣地址。

閾值 Schnorr：基於 Taproot 升級引入的 Schnorr 簽名算法。Schnorr 簽名具有更好的線性特性，使得閾值實現更加高效。

閾值 BLS：BLS 簽名是一種配對基的簽名方案，適合需要簽名聚合的場景。

4.2 閾值簽名的錢包架構

MPC 錢包的整体架构通常包括以下组件：

密鑰碎片管理層

• 密鑰碎片生成模組：負責生成隨機碎片
• 密鑰碎片存儲：安全存儲每個參與方的密鑰碎片
• 密鑰碎片恢復：在需要時重建完整私鑰

簽名協調層

• 交易管理器：接收和驗證交易請求
• 簽名協調器：協調各參與方完成簽名流程
• 結果驗證器：驗證最終簽名的有效性

錢包接口層

• 區塊鏈接口：與比特幣網路通信
• 錢包恢復：在碎片丟失時恢復錢包
• 審計日誌：記錄所有操作以供審計

4.3 閾值配置最佳實踐

選擇合適的閾值配置對於 MPC 錢包的安全性至關重要：

2-of-3 配置

這是最常見的配置，適合大多數場景：

• 三個密鑰碎片分發給不同參與方
• 任意兩個碎片可以完成簽名
• 提供良好的安全性和可用性平衡
• 適合：公司財務、多個高管共同管理

3-of-5 配置

提供更高的安全性，適合大額資產：

• 五個密鑰碎片分發給不同人員或部門
• 任意三個碎片可以完成簽名
• 更強的抗妥協能力
• 適合：家族辦公室、大型機構

自定義配置

根據具體需求自定義配置：

• 1-of-n：任何一個碎片可以簽名，適合測試
• t-of-n：自定義閾值 t
• 動態調整：部分實現支持動態修改閾值

4.4 地理分散策略

MPC 錢包的一個重要應用是實現地理分散的托管：

分散原則

• 密鑰碎片應存放在不同的地理位置
• 每個位置的物理安全應獨立評估
• 考慮政治和地理風險

實現方式

• 分布式存儲：密鑰碎片存放在不同數據中心
• 雲端部署：利用不同雲端服務商的服務
• 離線存儲：部分碎片可以存放在冷錢包中

五、機構級部署實踐

5.1 部署架構設計

機構部署 MPC 錢包需要考慮以下架構要素：

基礎設施架構

┌─────────────────────────────────────────────────────────────────────┐
│                        MPC 錢包系統架構                              │
├─────────────────────────────────────────────────────────────────────┤
│                                                                     │
│  ┌──────────────┐    ┌──────────────┐    ┌──────────────┐        │
│  │  參與方 1    │    │  參與方 2    │    │  參與方 3    │        │
│  │  (總部)      │    │  (分部)      │    │  (雲端)      │        │
│  │              │    │              │    │              │        │
│  │  HSM/安全模組│    │  HSM/安全模組│    │  HSM/安全模組│        │
│  └──────┬───────┘    └──────┬───────┘    └──────┬───────┘        │
│         │                    │                    │                 │
│         └────────────────────┼────────────────────┘                 │
│                              │                                       │
│                    ┌─────────▼─────────┐                           │
│                    │   簽名協調服務器   │                           │
│                    │  (負載均衡、冗餘)  │                           │
│                    └─────────┬─────────┘                           │
│                              │                                       │
│                    ┌─────────▼─────────┐                           │
│                    │   比特幣節點接口   │                           │
│                    │   (主動監控)      │                           │
│                    └─────────┬─────────┘                           │
│                              │                                       │
│                    ┌─────────▼─────────┐                           │
│                    │    比特幣網路      │                           │
│                    └───────────────────┘                           │
│                                                                     │
└─────────────────────────────────────────────────────────────────────┘

冗餘設計

• 每個參與方節點應該有冗餘
• 簽名協調服務器應該有負載均衡
• 比特幣節點應該有多個備份

5.2 安全最佳實踐

物理安全

• 密鑰碎片存儲設備應存放在安全設施中
• 限制對這些設施的物理訪問
• 實施監控和警報系統

網路安全

• 使用加密通信保護節點間的數據傳輸
• 實施網路隔離和防火牆
• 定期進行滲透測試

訪問控制

• 實施多因素認證
• 實施基於角色的訪問控制
• 記錄所有訪問和操作

運營安全

• 制定應急響應計劃
• 定期進行安全培訓
• 建立變更管理流程

5.3 合規考量

機構部署 MPC 錢包需要考慮以下合規要求：

數據保護

• 遵守 GDPR 等數據保護法規
• 實施數據加密和脫敏
• 建立數據保留和銷毀政策

審計追蹤

• 記錄所有操作日誌
• 實施不可篡改的審計追蹤
• 定期進行內部和外部審計

監管報告

• 準備監管機構要求的報告
• 實施反洗錢和了解客戶程序
• 遵守證券監管要求（如適用）

5.4 運營流程

交易審批流程

交易請求 → 審批人審核 → 風險評估 → MPC 簽名協調 → 廣播到比特幣網路 → 確認監控

每個步驟都應該有清晰的職責定義和記錄。

密鑰管理流程

• 密鑰生成：多方參與，使用獨立的隨機數生成器
• 密鑰備份：安全備份所有密鑰碎片
• 密鑰輪換：定期更換密鑰碎片
• 密鑰恢復：建立安全的恢復流程

事件響應流程

• 制定安全事件響應計劃
• 建立清晰的通知和升級流程
• 定期進行事件響應演練

六、主流 MPC 錢包解決方案比較

6.1 企業級 MPC 平台

Fireblocks

Fireblocks 是領先的企業級數位資產托管平台：

• 技術：使用 GG18/GG20 協議的變體
• 特色：高性能、多雲端部署、广泛合规
• 適合：交易所、資產管理公司、支付服務商
• 費用：基於交易量和資產規模

Coinbase Wallet Infrastructure

Coinbase 提供的 MPC 錢包解決方案：

• 技術：自研 MPC 協議
• 特色：與 Coinbase 生態深度整合、高安全性
• 適合：機構投資者、托管服務商
• 費用：標準化定價

BitGo

BitGo 提供傳統托管和 MPC 錢包服務：

• 技術：閾值簽名方案
• 特色：多簽和 MPC 選項、SOC 2 認證
• 適合：機構投資者、基金
• 費用：基於資產規模

6.2 開源解決方案

Kzen Networks

開源的 MPC 錢包庫：

• 技術：自研 MPC 協議
• 特色：開源、可定製、社区支持
• 適合：開發者、研究人員
• 費用：免費

Lindell 等人的實現

學術實現的 MPC 錢包：

• 技術：基於 GG18 協議
• 特色：實現清晰、便於學習
• 適合：教育目的
• 費用：免費

6.3 選擇標準

選擇 MPC 錢包解決方案時應考慮：

安全性

• 協議的安全性證明
• 安全審計歷史
• 歷史安全事件記錄

性能

• 簽名延遲
• 支持的交易量
• 系統可用性

合規

• 認證和許可
• 審計報告
• 監管合規能力

集成

• API 設計
• 與現有系統的兼容性
• 開發者文檔質量

成本

• 初始設置費用
• 運營費用
• 擴展成本

七、未來發展趨勢

7.1 技術發展

閾值 Schnorr 簽名

隨著 Taproot 升級的普及，閾值 Schnorr 簽名將成為主流：

• 更高的效率：Schnorr 簽名的計算和驗證更高效
• 更強的隱私：簽名聚合進一步提高隱私
• 更靈活：支持更複雜的簽名策略

MPC 與區塊鏈整合

MPC 技術與區塊鏈的整合將更加緊密：

• 原生 MPC 支持：區塊鏈可能原生支持 MPC 協議
• 跨鏈 MPC：支持多鏈的統一 MPC 解決方案
• 智能合約 MPC：MPC 與智能合約的深度結合

7.2 市場發展

機構採用加速

越來越多的機構將採用 MPC 錢包：

• 傳統金融機構进入市場
• 退休金計畫開始配置比特幣
• 主權財富基金探索比特幣投資

監管明確

監管框架將更加明確：

• 托管許可要求明確
• 資本要求標準化
• 消費者保護規則完善

7.3 創新應用

去中心化托管

MPC 技術將推動去中心化托管的發展：

• DAO 管理的托管服務
• 跨國界的托管網路
• 無信任的托管協議

金融產品創新

MPC 將支持新的金融產品：

• 結構化比特幣產品
• 衍生品和期貨
• 資產證券化

結論

MPC 錢包技術代表了比特幣托管領域的重要創新。透過將私鑰拆分為多個碎片，MPC 錢包提供了比傳統多重簽名更優秀的安全性、靈活性和隱私保護。GG18 和 GG20 協議的成熟使得機構級部署成為可能，而 Fireblocks、BitGo、Coinbase 等服務商則提供了便捷的企業級解決方案。

對於機構投資者而言，MPC 錢包技術提供了一種安全、靈活且合規的比特幣托管方案。在選擇和部署 MPC 錢包時，應充分考慮安全性、性能、合規和成本等因素，並建立完善的運營和風險管理流程。隨著技術的發展和市場的成熟，MPC 錢包將在比特幣托管領域發揮越來越重要的作用。