比特幣：一種點對點的電子現金系統

Bitcoin: A Peer-to-Peer Electronic Cash System

原文作者：中本聰（Satoshi Nakamoto）
執行翻譯：8btc.com 巴比特|關注虛擬經濟
獨家贊助：Bitcoinblogger.com
論文作者郵箱：mailto:Satoshin@gmx.com
http://www.bitcoin.org

[摘要]：本文提出了一種完全通過點對點技術實現的電子現金系統，它使得在線支付能夠直接由一方發起並支付給另外一方，中間不需要通過任何的金融機構。雖然數字簽名（Digital signatures）部分解決了這個問題，但是如果仍然需要第三方的支持才能防止雙重支付（double-spending）的話，那麼這種系統也就失去了存在的價值。

我們(we)在此提出一種解決方案，使現金系統在點對點的環境下運行，並防止雙重支付問題。該網絡通過隨機散列（hashing）對全部交易加上時間戳（timestamps），將它們合併入一個不斷延伸的基於隨機散列的工作量證明（proof-of-work）的鏈條作為交易記錄，除非重新完成全部的工作量證明，形成的交易記錄將不可更改。最長的鏈條不僅將作為被觀察到的事件序列（sequence）的證明，而且被看做是來自 CPU計算能力最大的池（pool）。只要大多數的 CPU 計算能力都沒有打算合作起來對全網進行攻擊，那麼誠實的節點將會生成最長的、超過攻擊者的鏈條。這個系統本身需要的基礎設施非常少。信息盡最大努力在全網傳播即可，節點(nodes)可以隨時離開和重新加入網絡，並將最長的工作量證明鏈條作為在該節點離線期間發生的交易的證明。

2. 交易(Transactions)
我們定義，一枚電子貨幣（an electronic coin）是這樣的一串數字簽名：每一位所有者通過對前一次交易和下一位擁有者的公鑰(Public key) 簽署一個隨機散列的數字簽名，並將這個簽名附加在這枚電子貨幣的末尾，電子貨幣就發送給了下一位所有者。而收款人通過對簽名進行檢驗，就能夠驗證該鏈條的所有者。

該過程的問題在於，收款人將難以檢驗，之前的某位所有者，是否對這枚電子貨幣進行了雙重支付。通常的解決方案，就是引入信得過的第三方權威，或者類似於造幣廠(mint)的機構，來對每一筆交易進行檢驗，以防止雙重支付。在每一筆交易結束後，這枚電子貨幣就要被造幣廠回收，而造幣廠將發行一枚新的電子貨幣；而只有造幣廠直接發行的電子貨幣，才算作有效，這樣就能夠防止雙重支付。可是該解決方案的問題在於，整個貨幣系統的命運完全依賴於運作造幣廠的公司，因為每一筆交易都要經過該造幣廠的確認，而該造幣廠就好比是一家銀行。
　　我們需要收款人有某種方法，能夠確保之前的所有者沒有對更早發生的交易實施簽名。從邏輯上看，為了達到目的，實際上我們需要關注的只是於本交易之前發生的交易，而不需要關注這筆交易發生之後是否會有雙重支付的嘗試。為了確保某一次交易是不存在的，那麼唯一的方法就是獲悉之前發生過的所有交易。在造幣廠模型裡面，造幣廠獲悉所有的交易，並且決定了交易完成的先後順序。如果想要在電子系統中排除第三方中介機構，那麼交易信息就應當被公開宣布（publicly announced）1，我們需要整個系統內的所有參與者，都有唯一公認的歷史交易序列。收款人需要確保在交易期間絕大多數的節點都認同該交易是首次出現。

3. 時間戳伺服器(Timestamp server)
本解決方案首先提出一個「時間戳伺服器」。時間戳伺服器通過對以區塊(block)形式存在的一組數據實施隨機散列而加上時間戳，並將該隨機散列進行廣播，就像在新聞或世界性新聞組網絡（Usenet）的發帖一樣2345。顯然，該時間戳能夠證實特定數據必然於某特定時刻是的確存在的，因為只有在該時刻存在了才能獲取相應的隨機散列值。每個時間戳應當將前一個時間戳納入其隨機散列值中，每一個隨後的時間戳都對之前的一個時間戳進行增強(reinforcing)，這樣就形成了一個鏈條（Chain）。

4.工作量證明（Proof-of-Work）
為了在點對點的基礎上構建一組分散化的時間戳伺服器，僅僅像報紙或世界性新聞網絡組一樣工作是不夠的，我們還需要一個類似於亞當•柏克（Adam Back）提出的哈希現金（Hashcash）6。在進行隨機散列運算時，工作量證明機制引入了對某一個特定值的掃描工作，比方說 SHA-256下，隨機散列值以一個或多個 0 開始。那麼隨著 0 的數目的上升, 找到這個解所需要的工作量將呈指數增長，但是檢驗結果僅需要一次隨機散列運算。
我們在區塊中補增一個隨機數(Nonce)，這個隨機數要使得該給定區塊的隨機散列值出現了所需的那麼多個 0。我們通過反覆嘗試來找到這個隨機數，找到為止。這樣我們就構建了一個工作量證明機制。只要該 CPU 耗費的工作量能夠滿足該工作量證明機制，那麼除非重新完成相當的工作量，該區塊的信息就不可更改。由於之後的區塊是連結在該區塊之後的，所以想要更改該區塊中的信息，就還需要重新完成之後所有區塊的全部工作量。

同時，該工作量證明機制還解決了在集體投票表決時，誰是大多數的問題。如果決定大多數的方式是基於IP位址的，一IP位址一票，那麼如果有人擁有分配大量IP位址的權力，則該機制就被破壞了。而工作量證明機制的本質則是一CPU一票。「大多數」的決定表達為最長的鏈，因為最長的鏈包含了最大的工作量。如果大多數的CPU為誠實的節點控制，那麼誠實的鏈條將以最快的速度延長，並超越其他的競爭鏈條。如果想要對業已出現的區塊進行修改，攻擊者必須重新完成該區塊的工作量外加該區塊之後所有區塊的工作量，並最終趕上和超越誠實節點的工作量。我們將在後文證明，設想一個較慢的攻擊者試圖趕上隨後的區塊，那麼其成功概率將呈指數化遞減。
　　另一個問題是，硬體的運算速度在高速增長，且節點參與網絡的程度會有所起伏。為了解決這個問題，工作量證明的難度(the proof-of-work difficulty)將採用移動平均目標的方法來確定，即令難度指向令每小時生成區塊的速度為某一預設的平均數。如果區塊生成的速度過快，那麼難度就會提高。

7. 回收硬碟空間
如果最近的交易已經被納入了足夠多的區塊之中，那麼就可以丟棄該交易之前的數據，以回收硬碟空間。為了同時確保不損害區塊的隨機散列值，交易信息被隨機散列時，被構建成一種 Merkle 樹（Merkle tree）7的形態，使得只有根(root)被納入了區塊的隨機散列值。通過將該樹（tree）的分支拔除（stubbing）的方法，老區塊就能被壓縮。而內部的隨機散列值是不必保存的。

不含交易信息的區塊頭（Block header）大小僅有80位元組。如果我們設定區塊生成的速率為每10分鐘一個，那麼每一年產生的數據位4.2MB。（80 bytes * 6 * 24 * 365 = 4.2MB）。2008年，PC系統通常的內存容量為2GB，按照摩爾定律的預言，即使將全部的區塊頭存儲於內存之中都不是問題。

8. 簡化的支付確認（Simplified Payment Verification）
在不運行完整網絡節點的情況下，也能夠對支付進行檢驗。一個用戶需要保留最長的工作量證明鏈條的區塊頭的拷貝，它可以不斷向網絡發起詢問，直到它確信自己擁有最長的鏈條，並能夠通過 merkle 的分支通向它被加上時間戳並納入區塊的那次交易。節點想要自行檢驗該交易的有效性原本是不可能的，但通過追溯到鏈條的某個位置，它就能看到某個節點曾經接受過它，並且於其後追加的區塊也進一步證明全網曾經接受了它。

當此情形，只要誠實的節點控制了網絡，檢驗機制就是可靠的。但是，當全網被一個計算力占優的攻擊者攻擊時，將變得較為脆弱。因為網絡節點能夠自行確認交易的有效性，只要攻擊者能夠持續地保持計算力優勢，簡化的機制會被攻擊者焊接的（fabricated）交易欺騙。那麼一個可行的策略就是，只要他們發現了一個無效的區塊，就立刻發出警報，收到警報的用戶將立刻開始下載被警告有問題的區塊或交易的完整信息，以便對信息的不一致進行判定。對於日常會發生大量收付的商業機構，可能仍會希望運行他們自己的完整節點，以保持較大的獨立完全性和檢驗的快速性。

9. 價值的組合與分割（Combining and Splitting Value）
雖然可以單個單個地對電子貨幣進行處理，但是對於每一枚電子貨幣單獨發起一次交易將是一種笨拙的辦法。為了使得價值易於組合與分割，交易被設計為可以納入多個輸入和輸出。
　　一般而言是某次價值較大的前次交易構成的單一輸入，或者由某幾個價值較小的前次交易共同構成的並行輸入，但是輸出最多隻有兩個：一個用於支付，另一個用於找零（如有）。
　　需要指出的是，雖然一筆交易依賴於之前的多筆交易、這些交易又各自依賴於多筆交易，但是這並不存在任何問題。因為這個工作機制並不需要展開檢驗之前發生的所有交易歷史。