比特幣隱私增強技術深度分析：CoinJoin、PayJoin 與 Taproot

比特幣的隱私性一直是密碼學貨幣領域的核心議題。由於比特幣區塊鏈的公開特性，所有交易都可供任何人查閱，這使得地址分析、交易追蹤成為可能。本文深入分析三種主要的隱私增強技術：CoinJoin、PayJoin 與 Taproot，從密碼學原理到實際應用進行全面探討。

CoinJoin：混合交易的密碼學基礎

原理概述

CoinJoin 的核心思想是將多個用戶的交易輸入與輸出混合，使外部觀察者無法確定資金的流向。2013 年由比特幣開發者 Greg Maxwell 提出，其基本原理如下：

假設有 Alice 要轉帳 1 BTC 給 Bob，Carol 要轉帳 1 BTC 給 Dave。傳統做法是兩筆獨立交易：

交易 1: Alice -> Bob (1 BTC)
交易 2: Carol -> Dave (1 BTC)

CoinJoin 將其合併為一筆交易：

CoinJoin 交易:
輸入: Alice 的 1 BTC, Carol 的 1 BTC
輸出: Bob 的 1 BTC, Dave 的 1 BTC

外部觀察者無法確定哪個輸出屬於哪個輸入，因為所有輸入輸出金額相等。

實現方式

盲目簽章（Blind Signing）

早期的 CoinJoin 實現使用盲目簽章技術來保護參與者隱私：

1. 協調者生成交易模板：包含所有參與者的輸入
2. 盲目處理：每個參與者對輸出地址進行盲目處理
3. 盲目簽章：協調者使用每個參與者的公鑰進行盲目簽章
4. 去盲化：參與者收到簽章後進行去盲化
5. 簽名與廣播：所有參與者最終簽署完整交易

這種方法的數學基礎是 Pedersen Commitment 的加法同態性：

C(g, h, x, r) = g^x * h^r

其中：
- g, h 為生成元
- x 為金額
- r 為隨機盲因子

現代實現：Wasabi Wallet

Wasabi Wallet 採用 Chaumian CoinJoin 協議，實現了：

• Round-based 混合：固定時間的混合輪次
• 差分隱私：每輪混合後金額一致，無法通過金額追蹤
• WabiSabi 協議：基於匿名憑證的認證，無需中央協調者信任

// Wasabi 的 CoinJoin 輸出格式
{
    "denomination": 0.1 BTC,
    "anonymitySet": 100,  // 混合後的匿名集合大小
    "inputOwnershipProof": "zero-knowledge proof"
}

隱私保障分析

CoinJoin 的隱私保障基於以下假設：

1. 匿名集合大小：混合的參與者越多，匿名集合越大，追蹤越困難
2. 金額標準化：所有輸出金額相同，無法通過金額匹配追蹤
3. 時間模糊化：混合時間應與其他交易時間混合

已知限制：

• 金額較大的 UTXO 可能被識別（因為標準金額較少）
• 時間分析仍可對部分交易進行去匿名化
• 與交易所交互時可能被關聯

PayJoin：打破金額匹配的神話

傳統區塊鏈分析的破綻

傳統的區塊鏈分析假設「輸入總金額等於輸出總金額」，這是比特幣的基本規則。然而，這也成為追蹤交易的弱點：

假設觀察到一筆交易：
輸入: 1.5 BTC (來自地址 A)
輸出: 1.0 BTC (到地址 B)

傳統分析會推斷：輸出 0.5 BTC 為「找零」，因此地址 A 與地址 B 有關聯。

PayJoin 的解決方案

PayJoin（也稱為 Pay-to-Endpoint-P2EP）是透過在交易中加入真實的支付方與收款方輸入，來打破這種分析假設：

簡單 PayJoin 流程

1. 協商階段：Alice 要支付 0.5 BTC 給 Bob
2. 金額貢獻：Bob 也貢獻 0.3 BTC 輸入
3. 輸出構造：

• 給 Alice 的找零：1.0 BTC
• 給 Bob 的收款：0.3 BTC + 0.5 BTC（Alice 支付）= 0.8 BTC

PayJoin 交易範例：
輸入:
  - Alice: 1.0 BTC
  - Bob: 0.3 BTC

輸出:
  - Alice 找零: 0.5 BTC
  - Bob 收款: 0.8 BTC

外部觀察者看到：

• 輸入總額：1.3 BTC
• 輸出總額：1.3 BTC
• 無法判斷哪個輸出是「找零」
• 無法確定哪些地址屬於同一個實體

實現要求

PayJoin 需要交易雙方的協作：

1. BIP-79 提案：定義了 PayJoin 的標準
2. 錢包支持：雙方都需要支援 PayJoin 的錢包
3. 伺服器協調：通常需要伺服器來協調雙方的交易構造

// PayJoin 請求格式
{
    "outputs": [
        {"amount": 800000, "script": "..."}  // Bob 的收款
    ],
    "maxFee": 1000,
    "minChange": 10000
}

隱私保障提升

PayJoin 提供了比傳統交易更強的隱私保障：

1. 打破輸入-輸出對應：無法透過金額差異識別找零地址
2. 真實的共同輸入：使區塊鏈分析中的「共同花費」假設失效
3. 雙向金額模糊：即使交易金額已知，也無法確定實際支付金額

Taproot：隱私與擴展的終極升級

Taproot 升級概述

Taproot 是比特幣 2021 年 11 月的升級，是自 SegWit 以來最重要的協議變更。它包含三個 BIP：

• BIP-340：Schnorr 簽章
• BIP-341：Taproot 腳本結構
• BIP-342：Tapscript

Schnorr 簽章的數學基礎

相較於 ECDSA，Schnorr 簽章具有以下優勢：

// Schnorr 簽章生成
// 私鑰: x
// 公鑰: X = x·G

1. 選擇隨機 nonce: k
2. 計算 R = k·G
3. 計算 e = Hash(R || X || m)  // m 是消息
4. 計算 s = k + e·x (mod n)

簽章 = (R, s)

// 驗證
s·G = R + e·X

關鍵優勢：

1. 線性可加性：多個簽章可以聚合為單一簽章
2. 密鑰聚合：多簽名交易看起來與普通交易相同
3. 不可延展性：簽章無法被修改

Taproot 腳本結構

MAST（Merkle Abstract Syntax Tree）

Taproot 引入了 MAST 結構，將腳本選項組織為 Merkle 樹：

鎖定腳本:
  OP_IF
    A 的簽章
  OP_ELSE
    OP_HASH160 <hashB> OP_EQUAL
    OP_IF
      B 的簽章 + 時間鎖
    OP_ELSE
      <3 天後> OP_CHECKSEQUENCEVERIFY OP_DROP
      C 的簽章
    OP_ENDIF
  OP_ENDIF

傳統做法：整個腳本必須公開

Taproot 做法：只揭示使用的分支

隱私提升

1. 腳本類型隱藏：複雜的腳本結構在區塊鏈上看起來像普通付款
2. 分支選擇隱藏：即使需要執行某個分支，其他未使用的分支也不會暴露
3. 門檻簽名：多簽名閾值結構與單簽名無法區分

MuSig2：多簽名聚合

MuSig2 是基於 Schnorr 的多簽名協議，允許 n-of-n 多簽名聚合為單一簽章：

// MuSig2 協議流程

// 回合 1：每個參與者生成 nonce
ki <- random
Ri = ki·G

// 回合 2：計算聚合 nonce
R = ∏ Ri

// 回合 3：每個參與者生成部分簽章
e = Hash(R || X_agg || m)
si = ki + e·xi

// 最終簽章
s = ∑ si

隱私優勢：

• n-of-n 多簽名與 1-of-1 單簽名在外觀上無法區分
• 參與者數量可以被隱藏
• 門檻簽名（如 2-of-3）可以實現

實際隱私應用

蔥蔥交易（Spend From Anywhere）

Taproot 允許創造「蔥蔥」類型的輸出：

腳本選項：
1. 單簽名花費（最常見）
2. 2-of-2 多簽名
3. 時間鎖延遲
4. 任何滿足 MAST 中任一分支的條件

外部觀察者只看到一個普通的 P2TR 地址，無法確定使用了哪個腳本分支。

閃電網路隱私

Taproot 為閃電網路帶來顯著的隱私提升：

1. 通道關閉隱藏：多個通道可以合併為單一交易
2. HTLC 結構隱藏：時間鎖與秘密哈希條件不暴露
3. 拼接與通道合併：複雜的通道操作與普通交易無法區分

隱私技術的數學基礎

Pedersen Commitment 的同態性質

CoinJoin 和其他隱私技術的核心密碼學基礎是 Pedersen Commitment。這個密碼學原語提供了「隱藏但可驗證」的承諾機制。

數學定義：

Pedersen Commitment: C(g, h, x, r) = g^x * h^r (mod p)

其中：
- g, h: 兩個獨立的生成元，無法從一個推導出另一個
- x: 承諾的金額（需要隱藏的值）
- r: 隨機盲因子（確保隱藏性）
- p: 大質數模數

同態加法性質：

C(g, h, x1, r1) * C(g, h, x2, r2)
= g^x1 * h^r1 * g^x2 * h^r2
= g^(x1+x2) * h^(r1+r2)
= C(g, h, x1+x2, r1+r2)

這個性質允許在不揭示具體金額的情況下驗證金額的總和，這對於 CoinJoin 的金額驗證至關重要。

零知識證明擴展：

基於 Pedersen Commitment，可以構造範圍證明（Range Proof）來驗證金額為正而不洩露具體數值：

π = PK{ (x, r): C = g^x * h^r ∧ 0 ≤ x < 2^n }

這個證明允許驗證者確認承諾的金額在指定範圍內，但無法確定具體數值。

Schnorr 簽名的線性組合性質

Taproot 使用的 Schnorr 簽名具有獨特的線性數學性質，這是其能夠實現密鑰聚合的基礎。

Schnorr 簽名生成：

輸入：
- 私鑰: x
- 公鑰: X = x·G (G 為橢圓曲線生成點)
- 消息: m
- 隨機nonce: k

計算：
1. R = k·G
2. e = Hash(R || X || m)
3. s = k + e·x (mod n)

輸出簽名: (R, s)

簽名驗證：

驗證方程: s·G = R + e·X

證明：
s·G = (k + e·x)·G
     = k·G + e·x·G
     = R + e·X ✓

密鑰聚合：

對於多個簽名者，聚合公鑰和簽名的數學推導：

多個參與者 i = 1...n：
- 私鑰: x_i
- 公鑰: X_i = x_i·G
- nonce: k_i
- R_i = k_i·G

聚合公鑰: X_agg = ∑ X_i
聚合nonce: R_agg = ∑ R_i

挑戰: e = Hash(R_agg || X_agg || m)

部分簽名: s_i = k_i + e·x_i

聚合簽名: s = ∑ s_i = ∑(k_i + e·x_i) = k_agg + e·x_agg

驗證: s·G = R_agg + e·X_agg ✓

這就是 MuSig2 協議的數學基礎，它允許 n-of-n 多簽名在區塊鏈上看起來像單一簽名。

Merkle 樹的完整性證明

Taproot 使用的 MAST（Merkle Abstract Syntax Tree）結構基於密碼學 Merkle 樹，提供了高效的分支驗證。

Merkle 樹構造：

葉節點: H(data_i)
內部節點: H(left_child || right_child)
根節點: MROOT

驗證某個葉節點在樹中：
提供路徑上的所有兄弟節點
從葉節點向上計算，最終應得到 MROOT

MAST 應用於比特幣腳本：

腳本結構：
A: OP_CHECKSIG (單簽名)
B: OP_CHECKSIGVERIFY OP_2 (2-of-2多簽)
C: OP_CHECKSEQUENCEVERIFY OP_DROP (時間鎖)

Merkle 樹：
        MROOT
       /    \
    H(AB)   H(C)
   /   \      |
  H(A) H(B)  H(C)

只有被執行的分支需要揭示
未使用的分支保持隱藏

差分隱私與匿名集合

CoinJoin 的隱私保障可以從信息論的角度進行數學分析。

匿名集合大小與熵：

假設 n 個參與者混合，每個輸出地址的匿名集合為 n。
從觀察者角度，無法區分哪個輸出對應哪個輸入。

信息熵: H = log2(n) bits

當 n = 100 時，H ≈ 6.64 bits
當 n = 1000 時，H ≈ 9.97 bits

差分隱私保障：

差分隱私保證單個參與者的加入或離開不會顯著影響輸出分佈：

對於相鄰數據庫 D 和 D'（相差一條記錄），
如果 Pr[Algorithm(D) = O] ≤ e^ε × Pr[Algorithm(D') = O]

則算法滿足 ε-差分隱私

在 CoinJoin 中，固定金額的輸出設計提供了一種差分隱私效果：觀察者無法從輸出結果推斷特定參與者是否參與了混合。

隱私技術的實用建議

錢包選擇

最佳實踐

1. 避免地址重用：每次交易使用新地址
2. 金額規劃：使用標準金額以便混合
3. 時間間隔：混合後等待足夠時間
4. UTXO 管理：注意灰塵金額的隱私風險
5. 網路層級：配合 Tor 或 VPN 使用

風險評估

隱私技術並非萬無一失：

• 區塊鏈分析進步：新的分析技術可能破解部分隱私保護
• 交易所政策：部分交易所對隱私幣或混合交易有限制
• 法律風險：某些司法管轄區對隱私技術有監管疑慮
• 操作風險：不正確的使用反而可能降低隱私

結論

比特幣的隱私增強技術經過多年發展，已形成多層次的保護體系：

• CoinJoin 提供了基本的交易混淆能力
• PayJoin 打破了傳統的金額追蹤假設
• Taproot 則從協議層面實現了全面的隱私與擴展升級

這些技術的組合使用可以顯著提升比特幣交易的隱私性，但用戶也應理解其局限性，並採取適當的操作實踐。比特幣的隱私保護是一場持續的「軍備競賽」，隨著分析技術的進步，隱私技術也需要不斷演進。

參考資源

• BIP-79: Pay-to-Endpoint Protocol
• BIP-340: Schnorr Signatures
• BIP-341: Taproot
• MuSig2 論文
• Wasabi Wallet Documentation