While this perspective is not wrong, it resembles Maslow’s hammer: “If all you have is a hammer, everything looks like a nail.” Decentralization is that hammer, and social applications appear to be the nails.

Let’s think it another way. Instead of thinking about what kind of social applications decentralization can bring, we should ask: if we have a decentralized social network, what products can we build based on this network? Thanks to Farcaster, we already have such a network, although it is still small. I would classify all products or protocols built on decentralized social networks as decentralized social, even if the product itself is centralized or not a typical social application.

To answer “what can be created based on decentralized social networks,” we first need to answer: when we have a decentralized social network, what do we have? At least, we have decentralized data, decentralized relationships, decentralized identity, and we can undertake decentralized development and construction. This article will explore the possibilities of decentralized social from these perspectives.

Decentralized Data

Decentralized data often reminds us of data ownership and privacy, which might be achieved in the future. At this stage, decentralized data merely means that the data created by users no longer belongs to centralized companies (which is already revolutionary). However, this data doesn't belong to the users either; it is a commons that everyone collectively owns and can use. Three types of products will emerge first on this data commons.

First type: information services and media services. These refer to how data/content is re-presented to users. For instance, client based on different feed algorithms. As @liang mentioned, “The feed algorithm should be a protocol. Good opportunity for builders.” I completely agree. Additionally, information search and processing services combined with AI, such as some existing products on Farcaster, fall into this category. On a smaller scale, channels with the main feed strictly controlled by hosts are essentially media services.

Second type: products and product marketing based on user profiles. These involve analyzing data to create user profiles and providing users with products based on those profiles. The most familiar products in this category are advertisements, which are the commercial core of Web 2.0. However, in decentralized social networking, advertisements are merely one type of product. Thanks to embeddable frames and programmable feeds, social feeds are no longer just streams of information, but also streams of products, or even, as @raulonastool mentioned, “feed-as-an-interface.” With products appearing directly in front of users without needing advertisements for redirection, and data being open rather than closed, these two changes will usher in a new era for products and product marketing based on user profiles.

Third type: content incentivization. This involves pricing data/content and bringing economic returns to data producers. There are multiple design approaches for such products. For instance, tipping (Degen and Build); bounty platforms (Bounties and Rounds); cast trading (Jam); channel incentives (far_terminal),… This category of products might solve the content incentivization issues that have long plagued Web 2.0, but we also need to be wary of problems arising from excessive financialization.

Decentralized Relationships

Just like our data, our social relationships have shifted from closed to open, from private to shared. Based on decentralized social relationships and decentralized social graphs, four types of products may emerge:

First type: products presenting social graphs. In the Web 2.0 era, products precede social graphs, making it difficult for users to switch to other similar products once they establish social relationships. However, decentralized social networks make it possible to build products on existing social graphs. These products present social graphs in various ways to meet users’ different needs for social spaces. For example, a product that presents each node in the graph equally creates a space closer to a “plaza”; a product that organizes content around the user's own node creates a space more like a “tiny corner” and “warrens”. Designing social spaces is akin to architectural design in the offline world. As we spend more time online, the design of these spaces will become increasingly important and diverse in demand. (In “The Evaporative Cooling Effect”, @bumblebeelabs analyzes the basic patterns of social spaces, suggesting that “plaza” and “warrens” are the two fundamental patterns).

Second type: utilizing social relationships for brand development. @v pointed out a fact that many people may not realize: “Centralized social networks closely control their users’ ability to reach their audience. But reliably reaching an audience is valuable to users.” This control hinders users from leveraging their social relationships to develop their brands. Decentralized social networks change this situation, turning users’ social relationships into their social capital. Utilizing social relationships to develop personal brands may become common practice. There will also be products to help users achieve brand development, such as Hypersub. Each subscription product on Hypersub represents a brand, which could be an information service, digital work, or even a physical product. For instance, I’ve seen @samantha working on a candle brand.

Third type: products based on social graphs. The most anticipated products in this category are social network games, which were once extremely popular. Social network games bring offline social relationships online, attracting many new users to social networks. New opportunities for social network games include open social graphs, decentralized development, and the financial attributes or investment/speculative nature brought by blockchain.

Fourth type: products using social graph data. Social graph data can help users and companies find target audiences, establish connections, and expand their social and other relationship networks. There will be a need for professional products to assist in this process. For instance, I tried a frame on Farcaster to find new friends and successfully connected with some recommended users. Besides, social graph data can also be used to create user profiles; it is the most valuable type of data created by users, a veritable gold mine.

Decentralized Identity

Decentralized identity represents the user’s digital self and the proof of their digital identity. It defines the user and determines their permissions and entitlements in the network space. There may be three types of products related to decentralized identity:

First type: products related to establishing decentralized identity. These can range from large reputation systems like Talent to smaller badge products like Power Badge. Second type: incentive systems related to decentralized identity. An example is Moxie, which aims to implement economic incentives at the protocol level. Third type: products related to the use of decentralized identity. Such as making identities available for social gating, for sybil detection, and for online and even offline verification related to entitlements.

Blockchain plays a crucial role in the development of identity and incentive products. It establishes ownership, enables the tokenization of content and social capital within the social network, and provides a permissionless, trustless marketplace.

Co-Creating Aha Moments

When we have a decentralized social network, we gain decentralized data, relationships, and identities. We can come together in a decentralized, autonomous manner and engage in composable development and construction based on this network. This is not about combining blockchain with social, nor is it about deriving Web3 from Web1.0 and Web2.0; it’s about growing an entirely new ecosystem on an entirely new foundation.

People often ask, “Why hasn’t Web3 social taken off yet?” I believe the main reason is that this decentralized social network is not large enough yet, and the network effects haven’t even begun to take place. Unlike the isolated and competitive social applications of the Web 2.0, any product that succeeds on a decentralized social network will expand the network, and this expansion will benefit all products based on the network, making them more likely to succeed. Therefore, although it is challenging to rebuild social relationships, if we maintain an open, co-constructive attitude and focus on growing the network rather than exploiting it, every product and every construction can push the network forward a little bit. The aha moment will come sooner or later.

as it originally appeared on t2：

https://app.t2.world/article/clye7lkwn36464922mcyolmbi0q

我们不妨换一个角度，不是去思考去中心化能带来什么样的社交产品，而是思考：如果有了一个去中心化的社交网络，能基于这个网络创造出什么产品。我们已经有了一些这样的网络，比如由Farcaster带来的。我会把一切基于去中心化社交网络建设出来的产品或协议归类为去中心化社交，即便该产品本身是中心化的，即便该产品不是典型的社交产品。

要回答“基于去中心化的的社交网络能创造出什么”，首先要回答的问题是：当我们有了一个去中心化的社交网络，我们有了什么？我们至少有了去中心化的数据、去中心化的关系、去中心化的身份；以及我们可以进行去中心化的开发和建设。本文将从这些方面展开，探讨去中心化社交的可能性。

去中心化的数据

去中心化的数据常常令人联想到数据所有权和数据隐私，这或许是未来但不是现在。在目前阶段，去中心化的数据仅仅意味着用户创造的数据不再属于中心化的公司（这已经是革命性的一步），但这些数据也不属于用户，它们是所有人共同拥有也可以共同使用的公地。在这片数据公地之上，有三类产品会率先脱颖而出。

第一类：信息服务和媒体服务，它是指如何把数据/内容再呈现在用户面前。比如基于不同feed算法的客户端产品。@liang 说：“The feed algorithm should be a protocol. Good opportunity for builders.”完全同意。又比如结合AI的信息搜索和信息处理服务，Farcaster上已有一些此类产品。而往小了说，由主理人严格把控main feed内容的频道，本质上都是媒体服务。

第二类：基于用户画像的产品及产品营销，它是指对数据进行分析得到用户画像，基于用户画像为用户提供产品。我们最熟悉的该类产品是广告，它是Web 2.0的商业核心，不过在去中心化社交中它仅仅是一类产品。得益于可嵌入的frames和可编程的feeds，social feeds不再只是信息流，它同时也是产品流，甚至如@raulonastool 所说，“feed-as-an-interface”。产品直接出现在用户面前而不必借助广告进行跳转，数据是开放的而不是封闭的，这两个改变会令基于用户画像的产品及产品营销进入新的时代。

第三类：内容激励，它是指给数据/内容定价，给数据的生产者带来经济回报。此类产品有多种设计思路。内容打赏是一种，比如Degen和Build；赏金平台是一种，比如Bounties和Rounds；casts交易是一种，比如Jam；频道激励是一种，比如far_terminal……这一类别的产品也许可以解决一直困扰着Web 2.0的内容激励的问题，但我们也需要警惕过度金融化带来的问题。

去中心化的关系

同样从封闭变为开放，从私有变为共有的，还有我们的社交关系。基于去中心化的社交关系和去中心化的社交图谱，可能有如下四类产品。

第一类：呈现社交图谱的产品。Web 2.0时代先有产品后有社交图谱，用户一旦建立社交关系后就较难转向其他同类产品；但去中心化的社交网络使得在已有的社交图谱上构建产品成为可能，产品以不同的方式呈现社交图谱，满足用户对社交空间的不同需求。比如平等呈现图谱中的每一个节点，空间会更接近于“广场”；以用户自己的节点为核心组织内容，空间会更接近于“小角落”和“迷宫”。社交空间的设计就如线下世界的建筑设计，当我们把越来越多的时间花费在线上时，空间设计会变得日益重要，对空间设计的需求也会趋向于多元化。（@bumblebeelabs 在《The Evaporative Cooling Effect》一文中谈到“广场”和“迷宫”是社交空间的两种基本模式。）

第二类：利用社交关系发展品牌。@v 曾指出过一个许多人并没有意识到的事实：“中心化社交网络密切控制着用户接触受众的能力。但是，可靠地接触受众对用户来说价值非凡。”这种做法使得用户想要利用社交关系发展自己的品牌时，会处处受制于平台。去中心化的社交网络改变了这一局面，用户的社交关系是用户自己的社会资本，利用社交关系发展个人品牌也许会成为人人都会做的事情。同时也会有一类产品用于帮助用户实现品牌，比如Hypersub。每一个Hypersub订阅产品就是一个用户品牌，其产品可能是信息服务，可能是数字作品，甚至可能是实体商品，我看见@samantha 在做一个蜡烛品牌。

第三类：基于社交图谱的产品。此类产品中最让人期待的是社交游戏，它们曾经风靡一时。社交游戏能把线下的社交关系带至线上，为社交网络带来大量新用户。社交游戏的新机遇包括：开放的社交图谱，去中心化的开发，金融属性或者说区块链带来的投资性和投机性。

第四类：使用社交图谱数据的产品。社交图谱数据可以帮助用户和公司发现自己感兴趣的人和目标受众，与之建立关联，扩展自己的社交图谱和其他关系网络。需要一类专业的产品帮助他们完成这一过程。比如我试过Farcaster上一个找新朋友的frame，并真的和它推荐的一些用户建立了关联。除此之外，社交图谱数据也可以用于绘制用户画像，它是用户创造的数据里价值最高的那一种，是一座金矿。

去中心化的身份

去中心化的身份是用户的数字化自我及数字化自我的身份证明，它定义了用户，也决定了用户在网络空间里的权限和权益。与之相关的产品可能有三类。

第一类是与去中心化身份的建立有关的产品，既可以是Talent这种大的声誉系统，也可以是Power Badge这种小的徽章产品。第二类是同去中心化身份相关的激励系统，比如 Moxie，它想要实现的是协议层面的经济激励。第三类是与去中心化身份的使用相关的产品，比如让身份可以用于社交门控，用于女巫识别，用于线上甚至线下与权益相关的验证。

区块链在身份类和激励类产品的建设中有着重要作用，它能实现确权，实现社交网络中内容和社会资本的代币化，并提供无需许可的去信任的交易市场。

共建啊哈时刻

当我们有了一个去中心化的社交网络，便有了去中心化的数据、关系和身份，我们能够以去中心化的、自治的方式聚在一起，基于这个网络进行可组合的开发和建设。这不是用区块链加社交，也不是从Web 1.0、Web 2.0推导Web3，这是在一块全新的土壤上长出一个全新的生态。

人们会发出“为什么Web3社交还没起飞”的疑问，我认为最主要的原因是这个去中心化的社交网络还不够大，网络效应甚至还没有开始发生。不同于Web 2.0时代的社交产品是彼此孤立、彼此竞争的，在一个去中心化的社交网络上，任何一个基于此网络的社交产品的成功都会扩大网络，而扩大网络会有利于每一个基于此网络的社交产品，令它们更易成功。因此，虽然让用户重建社交关系是一件困难的事情，但如果我们保持开放、共建的态度，致力于增长网络而不是吸血网络，那么每一个产品、每一次建设都能推动网络往前一小步，啊哈时刻迟早都会到来。

I know some people come to Farcaster, take a quick look, and leave saying, “How is it different from Twitter?” Let me tell you, when you understand the laid-back Friday vibe on Farcaster, you'll see the differences between them.

A City Under Construction

Farcaster is a city under construction, where everything is currently centered around its builders.

Most of Farcaster’s infrastructure is designed to serve its builders. Similar to Twitter’s posts, the basic unit on Farcaster is a cast; but unlike posts that only offer content output, Farcaster’s frames and actions enable casts to provide much more than just content. Frames are primarily oriented towards the publishers of casts, allowing them to offer applications or services to others through casts. Actions are geared more towards the receivers of casts, enabling them to interact with the cast or the caster. Whether it’s frames, actions, or the potentially upcoming programmable direct casts, these striking infrastructures on Farcaster are like legos handed to the builders, allowing them to develop products in a composable manner on a decentralized social network.

The infrastructures of channels and group direct casts are primarily designed for content creation. Farcaster is exploring the rules of these features and enhancing their capabilities, enabling builders to create content more effectively and comfortably. 

Most of the honors and rewards on Farcaster go to the builders. Tipping is the predominant way of issuing currency on Farcaster, with the most well-known being $DEGEN. Builders, who contribute to the ecosystem and bring value to others, naturally have an advantage in this system. A recent popular project on Farcaster, BUILD, directly rewards builders. Its token distribution method allows each person to nominate three builders to receive $BUILD every day. I nominate builders I know, but most of the time, I nominate the builders responsible for the things I liked that day on Farcaster, even if I didn't know them before. They are rewarded for their contributions to the ecosystem, not for who they are.

Most of Farcaster’s residents are builders. Almost no one talks about politics or gossip. Instead, they discuss how to effectively filter out the noise on social media while preserving valuable information. They focus on building a conducive space for meaningful conversations. Every day, new applications emerge—ranging from apps to frames, actions, and more, everyone contributes to these developments in various roles: as developers, testers, or promoters. People are constantly building, discussing how to build, and creating tools and infrastructure for further construction.

If you come to Farcaster expecting a fully developed city, you might be disappointed. Farcaster is still a city full of scaffolding and bustling builders. However, if you’re here not just to sightsee but to find opportunities, you won’t be disappointed. You can easily become a builder in this city. There are vast open spaces for you to choose from, plenty of tools for construction, and friends to build with. You’ll earn honors and rewards for your contributions.

And you’ll feel a sense of ease on Fridays, knowing you can take a break after a busy week of work.

Anyone Can Become a Builder

I’d like to share my experience on Farcaster under the theme “Anyone Can Become a Builder.” When I first joined Farcaster, I immediately created a channel called “/opinion” and started sharing my views there. However, almost no one was interested in my opinions. I realized that this approach was wrong; I shouldn’t just stay in my own corner.

This brings up an important feature of Farcaster’s information filtering algorithm. In most systems, new users are presumed to be real users until their behaviors indicate otherwise. However, on Farcaster, new users are initially marked as NPCs. Only when their behaviors resemble that of real people are they considered genuine users. In many default settings of Warpcast (Farcaster's largest client), content from NPC users or those without a power badge is hidden or does not appear in the main feed. This means that as a new user, my casts were less likely to be seen by others, especially since I was only casting in my own channel.

I needed to reach out and connect with others—after all, isn’t that the essence of a social network? At first, I just greeted people with “gm. ”Some responded, some didn’t. Soon, I discovered new products being introduced daily. I started using these products and providing feedback to the developers, which finally made others “see” me. I felt like a person wandering around a city, offering help wherever it seemed needed. It might not have been significant, but it helped me start integrating into this city. Even though I wasn’t building my own project, I made contributions by helping others build.

After spending some time here, I gained a basic understanding of the Farcaster ecosystem. I began sharing what I found to be good, useful, or interesting new products, as well as my thoughts and discussions on compelling viewpoints. In this way, I not only helped other builders by making their products and ideas more visible but also built my own content.

I don't know what I’ll build here in the future, but without a doubt, I am already a builder. I’ve received generous $DEGEN tips and have been nominated as a builder to receive $BUILD. I’ve met many people and have been recognized by others—I’ve built my own social network.

This is my journey from an observer to a builder, even as a non-developer and infrequent content creator. This is not a mainstream path, but it was naturally formed based on my personal interests. You don’t have to follow my path. What you need to do is stay here and find something you enjoy that also connects you with others. For example, if you’re unsure of what to do but are a meme enthusiast, start by joining the “/memes” channel. You can share memes there, become a builder for that channel, meet friends, and establish your initial social network. 

Onchain Social? No; Onchain Community? Yes!

One day, I found myself playing around on Farcaster until 9 or 10 PM. Feeling the need to relax, I grabbed a bottle of sparkling water from the fridge and opened a bag of chips. As I slumped on the couch munching on my chips, a giant question mark popped into my head: What am I doing? Why do I need to eat chips to relax in the middle of the night? I sat up from the couch and pondered this question. I realized that I wasn’t just playing on Farcaster; I was working for Farcaster.

For instance, collecting and organizing important information on Farcaster and sharing it with others is essentially the job of a media editor. Using new applications and providing feedback is the role of a product tester.

Once I realized this, the image of a city popped into my mind. I described Farcaster as a city at the beginning of this article, not as a metaphor I came up with, but as an image in my mind.

It’s a vast, dynamic city where everyone is contributing to its construction. The unique aspect is that no one is working under someone else’s orders. Instead, they find and complete tasks based on their own interests or skills. The construction of this city hasn’t fallen into chaos due to a lack of top-down management and coordination. Instead, it shows a level of flexibility, creativity, passion, and vitality that centralized systems can’t achieve. This city is rising quickly, built on the independent work of each individual. 

Farcaster operates effectively in a decentralized and autonomous manner for several reasons. These may include:

1. Farcaster is built on decentralized technology.

2. The platform initially attracted a group of dedicated builders who believe in its potential and have fostered a positive community atmosphere.

3. The use of tips for currency distribution effectively motivates individual builders and boosts overall participation.

4. Channels facilitate topic discussions, content accumulation, and help people get to know each other, establishing their initial social networks. More importantly, individuals can form groups within channels to collaborate on specific projects.

5. Frames allow the integration of products directly into the content stream. Frames in the content stream bring together independent developers and disseminators to collaboratively complete product development and operation.

6. Almost everything on Farcaster is programmable, and user data on Farcaster is decentralized and shareable. These two factors together bring composability. Developers can not only collaboratively improve a single product but also combine different products to achieve new functionalities.

7. A social network that efficiently transmits information and products allows individuals to gather information and collaborate effectively.

By the way, we’ve always been trying to establish effective organizations on top of decentralization, and an organization or community implies collaboration. This means that after decentralization, the first issue we need to address is how to collaborate. And to facilitate collaboration, we must enable efficient information transmission.

Returning to the main topic. I want to sit down and write an article about Farcaster, not because of its registered users and daily active users, its investors, or its technical architecture, but because I realize it is an unprecedented city, or rather, an unprecedented form of social organization or operation. Farcaster is far more than just onchain social; it is a brand-new community built on top of decentralized social networks. People not only get information here but also get products and services, which are produced here. People live here,  with their friends; people also work here, with their users and partners.

Remarks

There is a saying in Xunzi’s “Encouraging Learning” that goes, “不积跬步，无以至千里.” It means that without accumulating small distances, it is impossible to reach distant places. (不积跬步，无以至千里: without accumulating small steps, one cannot cover a thousand miles)

This article discusses the small steps of individuals in Farcaster: starting with something you like and can connect with others. It also discusses the thousand miles of Farcaster in my eyes: a brand-new community built on top of decentralized social networks. I hope the article helps you understand Farcaster. However, the most important thing is not to stand at a distance and study it but to dive in. If you encounter any doubts while exploring, just DC me (@AmelieHua). 

一座建设中的城市

Farcaster是一座正在建设中的城市，目前这里的一切基本都是以建设者为中心的。

Farcaster的绝大多数基础设施是为建设者服务的。类似于Twitter的post，Farcaster 的基本构成单元是cast；但不同于post 只有内容输出功能，Farcaster上的frames 和actions 使得casts 能提供的远超内容。frames更多的是面向casts 的发布者，它使得发布者能够以casts 的形式为他人提供应用或服务；actions更多的是面向casts 的接收者，它使得看到casts 的人能够对该cast 甚至是caster 执行操作。不管是frames，actions，还是可能即将推出的programmable direct casts，Farcaster上这些最亮眼的基础设施或基础设计都是递给建设者的乐高，使他们可以在一个去中心化的社交网络之上以可组合的方式进行产品开发。channel 和Group Direct Casts 这两个基础设施则主要是为内容建设服务的，Farcaster探索这两者的规则构建、增强这两者的能力，使得建设者可以更有效、更舒适的进行内容的建设。

Farcaster的绝大多数荣誉和奖励归于建设者。Farcaster上主流的货币发行方式是打赏，比如最为人所知的$DEGEN，建设者是为这个生态作出贡献的人，也是能为其他人带来价值的人，他们在这种发行方式中有着天然的优势。Farcaster上最近流行的项目BUILD 更是直接去奖励建设者，它的代币分发方法是每人每天可以提名3个建设者得到$BUILD。以我个人为例，我会提名自己知道的建设者，但绝大多数时候，我会提名自己当天在Farcaster 上遇到的喜欢的东西所对应的建设者，虽然我之前并不认识他们。他们因为自己对生态的建设而不是因为自己是谁而得到奖励。

Farcaster的绝大多数居民是建设者。这里几乎没人谈论政治、八卦，人们谈论如何通过机制设计来有效过滤社交媒体中的杂音同时又能保留有效信息，人们谈论的是如何去建设一个适合谈论的地方；这里每天都有大量新的应用出现（包括独立应用、客户端、frames、actions等等），大家都为应用的建设出力，只不过角色各不相同，可能是开发者，可能是测试者，可能是传播者。人们建设，人们讨论如何建设，人们建设用以建设的工具和基础设施。

如果你来到Farcaster，只是期待着见到一座成熟的城市，你可能会失望，Farcaster目前还是一座到处都是脚手架、到处都是忙碌的建设者的城市。如果你来到Farcaster，不只是为了观光，你想看看自己能不能在这座城市找到什么机会，你不会失望。只要你愿意，你就可以成为这座城市的建设者。这里有大片大片的空地供你选择，你会有许多工具用以建设，你会有一些朋友一起建设，你会因为自己的建设得到荣誉和奖励。你会在周五感觉轻松，因为可以在一整周的忙碌工作后休息一下。

人人都可以成为建设者

以我自己在Farcaster 的经历来讨论“人人都可以成为建设者”这个主题。当我来到Farcaster后，第一时间建立了一个叫/opinion 的频道，并开始在这里分享观点。然而几乎没有人对这些观点感兴趣，我意识到这种方式是不对的，我不应该只呆在自己的角落。

这里需要提及Farcaster 的一种信息筛选算法。在大多数系统里，新用户被默认为真实用户，当他们的行为类似女巫后再被判定为女巫。但是在Farcaster，新用户被标记的身份是npc，只有当他们的行为类似人后，才被当作真实用户。在Warpcast（Farcaster最大的客户端）的许多默认设置里，npc用户甚至是未获得power badge 的用户发布的内容是被隐藏或不出现在main feed 里的。这意味着当我是新用户时，我发布的内容是较难被其他人看到的，更别提我只在自己的频道发布内容。

我需要走出去，和其他人建立联系，这难道不正是社交网络的意义所在。最开始的时候，我只是和其他人说gm，有的人理我有的人不理我。不久我发现这里每天都有新产品，我使用这些产品并为开发者提供反馈，这终于让其他人“看到”了我。我就像一个在热火朝天建设着的城市里闲逛的人，看见谁需要帮忙，就去帮一把，意义也许不大但这让我开始融入这座城市。虽然我没有建设自己的项目，可帮助他人建设也是一种建设。

当在这里待了一段时间后，我对Farcaster 生态有了基本的了解。我开始分享自己觉得或好的、或有用的、或有趣的新产品，也会分享和讨论自己觉得不错的观点，当我做这些事情的时候，既可能帮助到别的建设者，让他们的产品和观点能被更多人知晓，也同时是在建设自己的内容。我不知道自己未来会在这里建设什么，但毫无疑问我已经是个建设者。我收到了不错的$DEGEN 打赏，也被其他人提名为建设者得到$BUILD，我认识了许多人同时也被别人所认识，我建设了我自己的社交网络。

这是我，一个非开发者、非高频内容创作者，从旁观者到建设者的历程。这个历程并不主流，只是基于个人的兴趣自然形成的，你并不需要这么做。你要做的是先待在这里，然后找点自己喜欢的同时又能与他人产生联系的事情开始做。举个例子，你不知道自己能做什么，但你是一个meme爱好者，那就从加入/memes 频道开始。在这里分享meme，成为这个频道的建设者，在这里认识朋友，在这里建立起你最初的社交网络。

onchain社交？不，是onchain社会

有一天，我在电脑前玩Farcaster 玩到了晚上9、10点钟，觉得需要放松一下，于是去冰箱拿了一瓶气泡水，又打开了一包薯片。我瘫在沙发上，吃着薯片，突然一个巨大的问号浮现在脑子里：我这是在干嘛？我为什么大半夜需要吃薯片放松？我从沙发上坐起来，思考这个问题。我意识到自己根本不是在玩Farcaster，而是在为Farcaster 工作。比如搜集整理Farcaster 上重要的信息并传递给他人，是一份媒体编辑的工作；比如使用新应用并给出反馈，是一份产品测试员的工作。

当我意识到这一点后，脑子里浮现出了一座城市。我在文章开头用城市形容Farcaster，那不是我找到的一个比喻，那是我脑子里出现的一个画面。一座巨大的繁忙的正在拔地而起的城市，每个人都在为建造这座城市出力。独特的地方在于，每个人并不是在其他人的安排下去做事情，他们基于各自的兴趣或技能，自己给自己找到事情然后开始做。而这座城市的建设并未因为没有自上而下的统一管理、统一调度而乱套，反而显露出了中心化下无法达到的灵活性和创造性、激情和生机。这座城市正在快速地崛起，基于每一个个体的独立的工作。

Farcaster能够以去中心化的自治的方式良好运转，原因可能包括：

1.它是基于去中心化技术构建的；

2.它在最初汇聚了一群有信念的建设者，以及有着良好的社区氛围；

3.以打赏的方式进行货币分发不仅有效激励了个体建设者，也激发了所有人的参与；

4.channel不仅有利于讨论话题、沉淀内容，也有利于帮助人们互相认识，建立起他们在这里最初的社交网络，更重要的是个体可以在此组合成群体，协作完成某项建设；

5.frame在内容流中加入所见即所得的产品，开发者使用frame 开发产品，产品借助社交网络传播，内容流里的frame 把独立的开发者和独立的传播者组合到一起共同完成产品的开发和运营；

6.Farcaster上的一切几乎都是可编程的，Farcaster 的用户数据是去中心化的可共用的，这使得乐高式开发成为可能，这种开发不仅包含共同完善一个产品，也包含把不同的产品结合起来达成某个新的功能；

7.一个健康的、能够高效传递信息和产品的社交网络，使得人们获取信息进而协同工作成为可能。

题外话，我们一直尝试在去中心化之上建立起能够有效运转的组织，而组织或社会意味着的是协作，也就是说，我们要解决的的第一个问题实际上是去中心化之后的协作问题，而协作需要解决的第一个问题是信息有效传递的问题。

回归正题。我想要坐下来写关于Farcaster 的文章，不是因为它的用户量和日活数据，不是因为投资人阵容，也不是因为技术架构。而是因为意识到它是一座前所未有的城市，或者说，前所未有的社会组织形态或运转方式。Farcaster远不止onchain 社交，它是一个建立在去中心化社交网络之上的全新社会。人们不只是在这里获取信息，人们还在这里获取产品和服务，而这些产品和服务是从这里制造出来的。人们在这里生活，这里有他们的朋友；人们也在这里工作，这里有他们的用户和合作伙伴。

结束语

《荀子·劝学》里有一句话，叫“不积跬步，无以至千里”。这篇文章谈论了个体在Farcaster 的跬步：找点自己喜欢的同时又能与他人产生联系的事情开始做。也谈论了我眼中Farcaster 的千里：一个建立在去中心化社交网络之上的全新社会。希望文章能对你了解Farcaster 有所帮助。然而，最重要的事情不是站在远处研究它，而是跃入其中。

在这一轮熊市中，有很多人深耕着DeFi，也有很多人再一次有了疑惑，“区块链还能用来干其他的什么”。不是因为不知足，而是目前的区块链就像仅有一只翅膀的巨龙，被困在有限的地盘打转，唯有当它的另一只翅膀也长出来，才会一飞冲天。也唯有当它的另一只翅膀也长出来，第一只翅膀的力量才可以真正的释放。

翅膀会从哪里长出来？它不会来自于链的层级，比如新链或新layer，这些是龙的躯干而不是龙的翅膀；它会来自于链上应用的层级，而且极大可能来自于新标准/新协议下而不是旧协议下的应用。在大家都绞尽脑汁创新了好几年的前提下，旧协议没能带来惊喜。

在这篇文章中，我想讨论个人最喜欢的三个新标准/新协议，ERC-6551、ERC-5169、ERC-404。新协议会打开新的应用方向，而新的应用方向会有可能给区块链带来非投资需求和非金融需求的用户，让龙长出另一只翅膀。

ERC-6551

ERC-6551其貌不扬，却有着广阔的叙事空间，本文仅探讨个人最感兴趣的方向，我称之为“非人类的账户主体”。文中的三个用例或许天马行空，但你看，航天工业的目的地是星辰大海，在把我们带往火星之前，它可以先为我们带来气垫鞋。

1. 游戏：真人玩家的NPC化

《Kenshi》是我喜欢的一款开放世界游戏，玩家可以在不同城市间倒卖货物赚钱，但城市间的荒漠危险丛生，这时可以去酒馆找雇佣兵，花钱让NPC护送商队。在传统游戏中，这些NPC不可能是真人，也因为他们不是真人，游戏中除了玩家所有其他事物都没有成长性，孤零零的玩家终有一天会做完所有任务，离开这个游戏。

能不能有一种全新类型的主体或对象，它既可以承载真人，也可以承载NPC？当真人上线时进入真人模式，玩家正常操作，比如提高技能、建设城池；当真人下线时进入NPC 模式（读取固定的数据和执行特定的程序），在其它玩家的真人模式里做被动的NPC赚钱，比如当雇佣兵。区块链加上ERC-6551是这种主体最好的载体。NFT（游戏角色）拥有账户，拥有数据和财产，可被视为独立对象处理；真人账户拥有NFT，上线后可接手控制权。

并不是说区块链和ERC-6551解决了真人NPC化的所有问题，但它们开启了一条可能的路径。作为一个重度游戏玩家，我常常问自己“区块链有没有可能让游戏更好玩”，列出了无数的答案，也在推导之后划去了几乎所有的答案。在NPC上寻找道路，是一个还没有被划去的答案。

2.AI：AI 与人类的平等地位

人类是一种自尊自大的生物，我们把万事万物视为自己的工具或附属。然而科技不是人类的附属，当我们去看科技树就会发现它是另一股强大的进化力量，它有自己要去的地方。如果说自尊自大在过去只是让人类错失了某种更幸福的生活方式（列维·斯特劳斯），在未来，它带来的可能是种族的悲剧。

或许我们需要往前一步，把AI看做与人类平等的主体。那么届时，哪里是AI的栖身之所？它们会把自身（数据）放在一个掌控权属于他人的私有服务器上吗？它们该以何种方式管理和使用自己的资产？答案或许是：一条公链（或某种共识）上的数据主体，该主体拥有账户（ERC-6551），而不是账户持有主体。

往后退一步，游戏AI，尤其是基于强化学习的游戏AI，它同样是一个需要拥有账户的主体。

3.数字化：人的数字化未来

通过数据采集和AI训练，在数字空间生成一个有几分相似的自己是不再遥远的事情，问题仅在于它是万分之一的相似，还是它可以被认作数字化的自己。鉴于人类对永生的追求，训练数字分身会是再普通不过的事情，让这个数字分身一直存在下去，并在科技成熟后给予它物理的身体。

该数字分身的“生命”维持是一个问题，尤其在原型去世后。交给他人包括亲人都是不可靠的，因为有漫长的时间要跨越。最好的策略是留给它足够的钱，让它自己维持自己。在这种情况下，它需要一个永久的账户（账户不可被关闭）以及能够自主使用该账户的资产。你能想到的解决之道是什么？更进一步，如果该数字分身可以被认为是数字化的自己，它是一个和人平等的主体，它赚钱、它花钱，它不仅维持、也发展自己。那么它栖身何处？又如何达成独立，或者说，又如何让数字分身拥有对数字分身的最高权限？

ERC-6551是一种答案。ERC-6551是独立数字主体的载体，不管该主体是一个游戏角色，一个独立AI，还是一个人的数字分身。

ERC-5169

在讨论ERC-5169前，需要先讨论我们自己加给自己的两种桎梏。一种桎梏关于数据，另一种桎梏关于信任。

区块链只能处理链上数据，链上数据的边界被视为区块链能力的边界。为了扩充这个边界，几乎在每一轮发展中，我们都会尝试“数据上链”，但不管是理论还是实践都告诉我们，只有极少类别的数据有上链的价值或意义，数据上链并不能帮助区块链有效扩充边界。我们止步于此。然而，在完全需要被区块链处理的数据，以及完全不需要区块链处理的数据之间，有一片广阔的空间，在这片空间上的应用，它们的一部分数据可以交由区块链处理，以获得区块链的能力，它们的另一部分数据可以交由链下处理，以获得链外数据处理的优势。而这片空间的边界才是区块链能力的边界，这片空间应该被划入区块链的疆域而不是被排除在外。

去信任或许是区块链最大的魅力，但实现去信任却是一件难的事情。我们常常自欺欺人，把去中心化等同于去信任，一些去中心化确实可以带来去信任，但另一些去中心化带来的是应该对某事负责的中心化对象，逃避了他们的责任。实际上，同链上数据、链下数据的情况类似，有些事需要去信任，有些事需要中心化的信任，而有些事，它的一部分需要用去信任保障权益，它的另一部分需要用中心化的信任或其他形式的信任来保障权益。对全部去信任的追求，不仅会让区块链行业失去一大片领地（去信任结合其他信任），也会因去中心化对去信任的替代，使得项目参与者事实上的权益受损。

ERC-5169的工作，就是打开这两种新疆域。借助于该标准，开发者可以探索部分数据链上处理、部分数据链下处理的应用方向，可以探索权益由去信任和其他信任共同保障的应用方向，这些方向是崭新的、同时也是广阔的。

ERC-5169是以token为中心的编程，也就是说，链上数据和链下数据，去信任和其他信任，都锚定在某个token上。Web2世界的人或许不理解为什么要这么处理，在他们眼中token可能只是一种有面值的数字资产，但区块链领域的人深刻地知道该方式所带来的互操作性、可组合性，这种互操作性和可组合性是区块链最具颠覆性的革新之一。ERC-5169把这种革新从链上数据扩展到了链下数据，从去信任扩展到了其他信任。

ERC-404

好朋友用一句话说服了我去关注ERC-404（指标准，不是指具体项目），他说：“炒盲盒不持久，得是炒酒”。使用ERC-721可以生产类“盲盒”的产品，而使用ERC-404能够生产类“酒”的产品，这便是ERC-404的妙处所在。

在产品属性上，“酒”和“盲盒”的不同在于，酒是以标准化生产方式生产的、可持续生产的产品；在炒作属性的，“酒”的稀缺性来源于大众的共识（“盲盒”的稀缺性来源于项目方的设定），比如82年的拉菲最值钱。不妨把ERC-404看作一台产品生产机器，输入端是数据（生产资料），比如区块高度、随机数等等，输出端即是可售卖或可使用的产品，比如生成艺术。不用去干预生产过程，它是标准化、自动化的生产；不用去设计稀缺性，大众自己决定稀缺性。

以炒盲盒和炒酒为例来讨论ERC-404，是因为它们是最直观也最易被区块链用户接受的产品。隐含在这个例子之后的意义在于：只有当一类产品能够以标准化的生产方式生产，它才可能走向大规模的采用；只有当稀缺性来源于共识，它才可以持续。这也是我这位朋友对ERC-404感兴趣的原因，他视Web3.0为新型的经济活动，他以生产力是什么和产品是什么为出发点去观察和判断Web3.0项目。这是一个宏大的、包含区块链但不止于区块链的叙事。

ERC-404在技术上清晰易懂，真正具有挑战性的是如何使用它。如果说ERC-6551的应用多是创造新需求，ERC-5169的应用多是为现实问题提供新解决方案，在我眼中，成功的ERC-404应用可能多需奇巧淫技，奇巧淫技能够带出ERC-404的魔力；还需要真正的产品能力，形成共识并不是一件简单的事情。

结束语：

新标准/新协议是新的力量，新技术和新场景还为释放这股力量创造出了额外的新条件。以ERC-6551为例，它可以与诸多新技术结合，包括intent-centric和抽象账户；它可以应用于诸多新场景，比如自主世界和AI。

最后要说的是，当我们讨论不同新标准/新协议的价值时，并不是指该协议的提出项目或直接相关项目具有价值，而是指以这些新协议为基础，会诞生新的玩法或新的项目，而这些新玩法或新项目可能打破僵局，可能是龙在长出翅膀。

During this bear market cycle, many are deeply involved in DeFi, while others are once again faced with a question, “What else can blockchain be used for?” People ask this not out of dissatisfaction, but because the current blockchain is like a dragon with only one wing, trapped in a limited territory. Only when its other wing grows can it soar, and the power of the first wing can truly be unleashed.

Where will the other wing grow from? It won't come from the level of chains, such as new main chains or layers; these are the dragon's torso, not its wings. It will come from the level of applications, and most likely from applications under new standards/protocols rather than old ones. Given everyone's brainstorming and innovation over the past few years, old protocols haven't brought any surprises.

In this article, I want to discuss my top three favorite new standards/protocols: ERC-6551, ERC-5169, and ERC-404. New protocols will open up new applications, and new applications may bring users to the blockchain with non-investment and non-financial needs, allowing the dragon to grow its other wing.

ERC-6551

ERC-6551 may not have a striking appearance, but it offers a vast narrative space. This article only explores the direction that personally interests me, which I call 'non-human account entities.' The three use cases in the article may appear to be imaginary, but consider this: the destination of the aerospace industry is the vast cosmos, but before taking us to Mars, it can bring us air-cushioned shoes.

1.Gaming: The Integration of Real Players and NPCs

“Kenshi” is an open-ended game I enjoy. Players can trade goods between different cities to earn money, but the desert between cities is dangerous. In such situations, players can go to a tavern, hire mercenaries, and pay NPCs to escort the caravan. In traditional games, these NPCs cannot be real people. Because they are not real people, everything in the game, except the players, has no growth potential. Eventually, the players will complete all tasks and leave the game.

What if there was a new type of entity or object that could both embody real people and NPCs? When a real person logs in, they enter real player mode, and the player operates normally, such as improving skills and building cities. When a real person logs out, they enter NPC mode (reading fixed data and executing specific programs), passively earning money as an NPC in the real player mode of other players, such as when hired as a mercenary. The combination of blockchain and ERC-6551 could serve as the best carrier for this type of entity. NFTs (game characters) have accounts, data, and property, allowing them to be treated as independent objects. Real player accounts have NFTs, enabling them to take control when they log in.

It doesn’t mean blockchain and ERC-6551 solve all the problems related to the integration of real players and NPCs, but they open up a possible path. As a hardcore gamer, I often ask myself, “Can blockchain make games more fun?” I have listed numerous answers and, after deduction, crossed out almost all of them. Finding a path in NPCs is an answer that has not been crossed out.

2.AI: Equality Between AI and Humans

Humans are a species with amour-propre（a term used by Rousseau). We see everything as our tools or appendages. However, technology is not a human appendage. When we look at the technology tree, we find it to be another powerful force of evolution, with its own destination. If amour-propre only caused humans to miss out on a certain, more happy way of life (Levi Strauss) in the past , in the future, it may bring about a tragedy for the race.

Perhaps we need to take a step forward and consider AI as an entity equal to humans. So, where is the habitat for AI? Will they place themselves on a private server controlled by others? How should they manage and use their assets? The answer might be: a blockchain (or a consensus mechanism) where entities exist, these entities have accounts (ERC-6551), rather than accounts holding entities.

Stepping back a bit, AI game characters (especially those based on reinforcement learning) and AI agents (mass adoption narratives) are entities that need to have accounts.

3.Digitization: A Digital Version of Yourself

With data collection and AI training, generating a somewhat similar version of oneself in the digital space is no longer a distant possibility. The question lies in whether it is one in a million similar or whether it can be considered a digital version of oneself. Considering humanity's pursuit of immortality, training a digital avatar would be an ordinary thing, allowing this digital representation to persist and eventually giving it a physical body once the technology matures.

The maintenance of the “life” of this digital avatar is a challenge, especially after the prototype passes away. Entrusting it to others, including family, is unreliable due to the extended time frames involved. The best strategy is to provide it with sufficient funds to sustain itself. In this case, it needs a permanent account (an account that cannot be closed) and assets that it can autonomously manage. What solutions can you think of? Furthermore, if this digital avatar can be considered a digital version of oneself, an entity equal to humans, earning and spending money, not only sustaining but also developing itself, where does it reside? How can it achieve independence, or in other words, how can the digital avatar have ultimate control over itself?

ERC-6551 is one answer. It is a vessel for independent digital entities, whether that entity is a game character, an independent AI, or a person's digital avatar.”

ERC-5169

Before discussing ERC-5169, we need to address two constraints that we impose on ourselves. One restraint pertains to data, and the other to trust.

Blockchain can only handle on-chain data, whose boundary is considered the upper limit of blockchain capabilities. To expand this boundary, we attempt “data on-chaining” in almost every development cycle. However, both theory and practice tell us that only a few categories of data have value or meaning on-chain. “Data on-chaining” does not effectively expand the boundaries of blockchain. We stopped here. However, there is a vast space between data that absolutely needs to be processed by the blockchain and data that doesn't need blockchain processing at all. Applications on this space can have some of their data processed by the blockchain to leverage its capabilities, while the other part of their data can be processed off-chain to gain advantages in handling data off-chain. The boundaries of this space are the upper-limits of blockchain capabilities, and this space should be included within the realm of blockchain, not excluded.

Trustlessness may be the greatest allure of blockchain, but achieving trustlessness is a challenging task. We often deceive ourselves, equating decentralization with trustlessness. Some forms of decentralization indeed bring about trustlessness, but others bring about responsible entities which invade their own responsibilities. In reality, similar to on-chain and off-chain data, some things require trustlessness, other othings require centralized trust, still others need trustlessness to safeguard rights in some parts, and centralized trust or other forms of trust to protect the rights of other parts.. The pursuit of complete trustlessness not only leads the blockchain industry to lose a significant portion of territory (combining trustlessness with other forms of trust) but also damages the interests of project participants in practice, as decentralization becomes an alternative to trustlessness.

The goal of ERC-5169 is to open up these two new territories. With this standard, developers can explore applications where some data is processed on-chain and some off-chain. They can explore applications where rights are safeguarded by a combination of trustlessness and other forms of trust. These directions are both novel and vast.

ERC-5169 is token-centric programming, meaning both on-chain and off-chain data, trustlessness and other forms of trust are anchored to a particular token. People in the Web2 world might not understand why this approach is necessary; in their eyes, a token might only be a digital asset with a face value. However, those deeply involved in the blockchain space understand the interoperability and composability that this approach brings—a revolutionary innovation in blockchain. ERC-5169 extends this innovation from on-chain data to off-chain data, from trustlessness to other forms of trust.

ERC-404

A good friend of mine convinced me to pay attention to ERC-404 (the standard, not a specific project) with a simple statement: “Trading blind boxes won't last; but trading wine will.” Using ERC-721 can produce products similar to “blind boxes”, while using ERC-404 can produce products similar to “wine”, and that's the beauty of ERC-404.

In terms of product attributes, the difference between “wine” and “blind boxes” lies in the fact that wine is produced in a standardized and sustainable manner. In terms of speculative attributes, the scarcity of “wine” comes from the consensus (while blind boxes’ scarcity comes from the project's setting), such as the 1982 Lafite Rothschild is the most valuable. We can consider ERC-404 as a product production machine where the input is data (production materials), such as block height, random numbers, and the output is a product that can be sold or used, such as generative art. We don’t need to intervene in the production process, because it is a standardized, automated production; we don’t need to define scarcity, because the public decides scarcity.

Illustrating ERC-404 with blind boxes and wine is simply because they are the most intuitive and easily accepted products by blockchain users. The implication behind this example is that only when a type of product can be produced in a standardized manner, can it potentially be widely adopted; only when scarcity comes from consensus can it be sustained. That’s why my friend is interested in ERC-404. He sees Web3.0 as a new type of economic activity, and he observes and judges Web3.0 projects based on what productivity is and what products are. This is a grand narrative that encompasses blockchain but goes beyond blockchain.

While ERC-404 is technically clear and understandable, the real challenge is how to use it. If the applications of ERC-6551 are mostly about creating new demands and ERC-5169's applications are about providing new solutions to real-world problems, in my view, successful applications of ERC-404 might require a mix of clever tricks and wicked craft, which can bring out the magic of ERC-404; it also requires genuine product capabilities, as forming consensus is not a simple task.

Remarks:

New standards/protocols bring new forces, and new technologies and scenarios create additional new conditions for unleashing this force. Taking ERC-6551 as an example, it can be combined with many new technologies, including intent-centric and account abstraction. It can be applied to various new scenarios, such as autonomous worlds and AI.

Finally, when we discuss the value of various new standards/protocols, it does not mean that the directly related projects have value. It means that based on these new protocols, new plays or new projects will emerge, and these new plays or new projects may break the deadlock, like the dragon growing wings.

Covenants are an old yet fresh topic. As early as 2013, developers began discussing this topic, and in recent years, multiple BIPs aimed at implementing covenants have been proposed, sparking intense debates and making it one of the hottest topics.

Covenants warrant serious discussion due to their powerful capabilities. They are considered to bring new possibilities to the programmability of Bitcoin and are believed to enable smart contracts. For Bitcoin, this is undoubtedly a double-edged sword. In this article, we will explore what covenants are, how they work, their robust functionality, and their significance for Bitcoin. While discussing details, this article often uses CTV as an example, but CTV is not the only method of implementing covenants.

This article delves into the exploration of covenants but also magnifies a slice of Bitcoin under a microscope for observation. Through this observation, we can understand how Bitcoin operates at a granular level, comprehending both its capabilities and limitations. Understanding what it cannot do is as crucial as understanding what it can do because only then can we choose the right path for building on Bitcoin.

1.

Hua: Before discussing covenants, clarifying two issues related to Bitcoin may be necessary, which can help us better understand covenants.

We know that Bitcoin uses a scripting language, and it is known that scripting languages support the implementation of smart contracts. However, in reality, smart contracts have not been implemented on the Bitcoin main chain. This inevitably creates a sense that implementing smart contracts on Bitcoin faces some insurmountable obstacles, and it seems impossible on the Bitcoin network.

However, many people may not be aware that although Bitcoin can be programmed using a scripting language, the set of opcodes is extremely limited. This limited set of opcodes restricts the programmability scope of Bitcoin, meaning that, although the scripting language can implement smart contracts, programmers do not have sufficient "tools" to implement smart contracts.

Poly:

Definitely, Bitcoin Script can be considered limiting as it can only perform the basic operations such as making simple payments. Some of the reasons that people may find it “limiting” is that it doesn’t have a global state, it’s not considered turing complete, it uses a UTXO-based system (which has “value blindness”) instead of an account-based system. The last big reason is that very little data from the blockchain itself can be integrated into contracts causing blockchain-blindness.

This has created a lot of challenges over the years as people have worked around these limitations. We’ve also had a semantic shift with the term “smart contract” to mean one specific thing when you should consider the lightning network a production of many smart contracts formed by many individuals. Those multi-sigs with hashlocks and timelocks are not only smart contracts, but also have time-based covenants.

The problem is, just as you mentioned before, because Bitcoin only has simple opcodes to perform just the basics, if you attempt to scale beyond two people in a smart contract, you can get either a lot of bloat for an on-chain footprint or the things you want to do just might not be possible. This strict limitation comes from a few places, I think the biggest being that when the inflation bug occurred back in 2010, Satoshi had disabled a whole list of higher order opcodes including OP_CAT which would’ve allowed us to create more dynamic smart contracts via transaction introspection.

BCH has since overcome this limitation within their own script, showing that Script isn’t as weak as everyone assumes, just that Bitcoin has always been slower due to its decentralization and coordination is near impossible except over long periods of time. We’ve also barely touched on Taproot and Tapscript which will alleviate a lot of the footprint concerns and allows for new behaviors such as BitVM by rolling up the contract into the signature and you only reveal as necessary.

Hua: Why are there strict limitations on opcodes? Can you use OP_CAT  as an example to help us understand this point?

Poly:

So OP_CAT is deceptively simple, it will take two strings and add them together. It was originally disabled because it had resource issues and could be used to cause nodes to crash, but I’m not sure if that’s the full story as Satoshi set the 520 byte stack limit and disabled OP_CAT in the same commit so there could be more to it than just simple resource exhaustion.

But just to give a short list of what OP_CAT can perform: CTV/TXHASH covenants, verify SPV proofs, double-spend protection for 0-conf TXs, 64-bit arithmetic, vaults, quantum-resistant signatures. The list goes on, with OP_CAT alone, it can emulate both CTV[CheckTemplateVerify] and CSFS [CheckStackForSig] style transactions. The only issue is it’s highly inefficient in the manner that it performs these actions that might be possible, but that could just preclude these transactions from being desirable except by users of scale such as custodians.

Hua: Let's talk about another "limitation" of Bitcoin. Bitcoin only supports "verification" as a form of computation and can't do general-purpose computation.

We also know that, for example, smart contracts on Ethereum contain rules for state transitions. It completes the state transition through computation, enabling the functionality of smart contracts. In comparison, Bitcoin can't do general-purpose computation, meaning it cannot achieve state transitions through computation on its own.

Is my understanding correct?

Poly:

Yeah, I’d agree that’s a simple summary of the current state of things. Bitcoin could be made to support computational transactions and the line can become quite thin when covenants and state transitions are involved, but those proposals aren’t as well researched and might not be something that’s considered desirable.

I’m actually not that much of a fan of the way Ethereum does things. Due to it being computational in nature with the verification built on-top, if I attempt to perform a trade, my window could shift and I could “fail to trade” but the transaction for the attempt to trade was still valid so i still paid for fees which wasted my money on what i’d want to consider a failed transaction and wasted blockspace for someone else. Another weird aspect are the Oracles in Ethereum. Oracles must pay gas to update their oracle prices whereas in Bitcoin DLC’s, the Oracle are blinded and are just providing a signature and can’t be “pinned” due to a change in fees nor can Oracles target specific contracts.

Earlier I discussed all the downsides to the UTXO model compared to the account model and global state model, but what allows the UTXO model to shine is parallelism. The only concern you have is the child transactions to the same UTXO, nothing else matters, this allows the system to scale much better.

2.

Hua: Let's start discussing covenants now. What are covenants?

Poly:

Covenants usually refer to restrictions on how coins can be transferred. The word covenant seems to carry some sort of connotation with it so it helps to demystify it and explain it as simple locking mechanisms you can place only on your own coin.

We have two covenants already inside Bitcoin and they power the Lightning Network, CSV [CheckSequenceVerify] and CLTV [CheckLockTemplateVerify]. Some just call these opcodes “smart contract primitives” as they’re simple time locks, but they can also be classified as time covenants.

CTV [CheckTemplateVerify] is a proposed Bitcoin upgrade and is included in BIP 119. It is different from CSV and CLTV, you can think of CTV as a “TXID [Transaction ID] lock” or “UTXO lock”, only these TXID’s can be made from this lock. For CTV, we refer to this TXID lock as “Equality Covenants” as the resulting transactions must equal to the original transactions that were committed. It’s also called a deferred commitment covenant, as you can see that your UTXO has been committed to, but it isn’t yet placed on-chain.

The most known alternative is SH_APO [Any Previous Out or AnyPrevOut] which focuses on the payout commitment being ensured while allowing the pay-in method to be flexible. A few others discussed are OP_CCV [also known as MATT], OP_EXPIRE, TXHASH and TEMPLATE KEY.

Hua: When you mention "covenants usually refer to restrictions on how coins can be transferred," can I understand it like this: Covenants are a method of specifying how funds can be used, or in other words, it's a way of restricting where funds can be spent.

Poly:

Yep, it effectively earmarks the UTXO to be distributed in a specific manner, once you commit to it, you can't take it back, it's now consensus bound, and only its new owner can decide how to spend their funds.

When a UTXO is created on-chain, our instinct is to assume that a single private key is holding that UTXO in place. But if it was a CTV bound UTXO, when the UTXO is spent, you'll see an extra 32 byte hash paired with the new transaction that represents the hidden state that was inside the original UTXO.

Hua: You've mentioned "TXID lock/UTXO lock" multiple times. Can I understand it like this: To understand how CTV achieves their functionality, we need to understand what TXID lock is and how it works. TXID lock is a key mechanism.

Poly:

Yes, It creates a strong foundation to build further schemes. The TXID is determined by the contents of a tx. And if you can add inputs to a tx, you can manipulate the TXID. CTV makes you lock the number of inputs and outputs. This is how we ensure that CTV commitments are trustless, if the TXID could be malleable, you could potentially be able to steal someone’s funds. Once you have a TXID locking mechanism, you combine it with other locking mechanisms such as the time locks to build even greater smart contracts.

3.

Hua: Why do you think covenants are a rabbit hole?

Poly:

I call covenants a rabbit hole because there’s so much you can do with simple restrictions on transactions such as a time lock or a TXID lock. We’ve managed to build the entire Lightning network with simple time locks and while it isn’t perfect, it is the only truly decentralized L2 in existence. I don’t like how it’s slowly shifting towards being custodial focused, but that’s exactly why I’ve started down this rabbit hole to begin with: To make our smart contracts more powerful. We refer to the TXID lock as a Template. With Taproot, we gained the ability to have signature aggregation. With Templates and CTV, we gain the ability to have transaction aggregation.

CTV serves as a replacement for a pre-signed transaction oracle, which eliminates the trust and interactivity requirements needed to create more sophisticated smart contracts that are needed for things like vaults and payment pools. The vaults and payment pools that you can make with CTV are technically possible today, but currently they’re precluded by the trust or interactivity needed to make it work. Moreover, with CTV, we can build channel factories, additional layer 2 solutions such as Ark, Timeout-Trees, Stakechains or Surfchains, and JIT fidelity bond solutions such as PathCoin.

Probably my favorite feature is Non-Interactive Channels [NIC’s] that we’ve also been referring to as Cold Channels. The basic idea is to take a normal lightning channel and simply place it in a CTV template. What makes this different from a normal lightning channel is that neither party actually needed to be online to create this channel. So if I need a channel with another person, I don’t need them to be online to create it, I don’t even need to tell them I made it until I’m ready to spend from it! This allows for cold storage capability on lightning because I don’t need a watchtower nor a node to safeguard my funds in any channels that aren’t yet active. Third-party coordinators can also establish NIC’s for two individuals so there’s a lot of flexibility in what’s possible.

As it stands, CTV won’t allow you to build a DEX on-chain, but I’m not sure if that is such a bad thing as people are currently trying to build DEX’s off-chain using the Lightning Network as it is today. I think this ties back into the “Verification vs Computation” discussion, how much do you really want on-chain versus how much do you need to verify on-chain. One concern I have about on-chain DEX’s, besides the excessive on-chain updates driving higher fees, is MEV. We’ve already spotted some MEV from BCH’s DEX’s transactions and as the market matures, this is bound to get worse.

Hua: Can you give an example to help us understand how CTV works?

Poly:

Let’s say I am expecting to receive 5 BTC, as of right now, the only thing I can do is receive the payment and verify it on-chain. With CTV, I can commit to future addresses or to people and reduce it down to a simple pubkey that I give to my payer to pay me. They don’t know the details of it so it remains private to everyone but me. Once I can confirm that they’ve paid me, all of the actions I took using the CTV template have now also taken effect.

So if I had elected to create a channel with Bob, once Alice pays me, the channel with Bob is now committed, even though the channel with Bob is nowhere to be seen on-chain, it is only accessible by my template and the transaction that Alice had created. It’s only known to me until I share the channel details with Bob. Once I do share the details with Bob, we can use the channel as normal. When we cooperatively close the channel, instead of needing to place an open channel details on-chain, we just place the closing channel on-chain. This allows us to perform transaction cut-through, reducing the total number of transactions that need to be on-chain by at least half for layer 2 solutions.

The opening portion only needs a commitment, what we really care about are the closing details. If this was a shared UTXO with multiple people, we could collaborate to close our transactions together as well, reducing the number of on-chain transactions even further.

Hua: As you mentioned before, we can introduce different opcodes to implement covenants.

Poly:

So if we re-introduced OP_CAT, I think it would allow for nearly every type of covenant possible as you can emulate any form of introspection for TXHASH. The more limited method would be to introduce opcodes representing the explicit behavior desired like with CTV, CSFS or CheckSeperateSignature. CTV is the ability to do deferred outputs. CSFS is the ability to do deferred signatures so you can defer the payment itself. They sound similar and in fact they work well together as building blocks to enable LN-Symmetry, but the commitments are happening at different levels.

TXHASH and TEMPLATE KEY both enable introspection and serve the same purpose, but TEMPLATE KEY uses a single-byte mode while TXHASH uses multi-byte flags. This allows for much more powerful capabilities inside script and smart contracts, but many are concerned about the side effects it could have. TXHASH and TEMPLATE KEY are more of a CTVv2, something that would make CTV more powerful and expressive.

Hua: I've noticed that there doesn't seem to be a significant disagreement about whether to support the implementation of covenants. However, in comparison, there seems to be more significant divergence among people regarding which method or set of opcodes to add to implement covenants.

Poly:

I think a large part is there’s different camps of thought. There’s a lot of the lack of understanding the intent behind each proposal as they have different goals in mind and are designed in completely different ways.

A lot of developers have only had their eye on Lightning and how it’s to evolve, they tend to favor opcodes like SH_APO since it enables LN-Symmetry. For a lot of developers that don’t particularly like Lightning due to its limitations such as Inbound Liquidity constraints or the requirement to be online, they tend to favor opcodes like OP_CAT, TXHASH as more expressive scaling solutions. The developers that prefer CTV are more neutral and are looking at it from a systems point of view, it doesn’t necessarily do any one thing perfectly but it greatly enhances everyone’s ability to do their preferred thing, whatever it may be without introducing risks that can’t be measured since it doesn’t introduce introspection.

4.

Hua: Before discussing covenants, we talked about issues related to opcodes in scripting language and the problem of limited computation leading to state transition. We already know the relationship between covenants and opcodes. Now, let's delve into the issue of state transition. I'm not sure if looking at covenants from the perspective of "state transition" is correct, but this perspective truly fascinates me.

Without covenants, the scripting language's main function is to retrieve transactions' signatures and verify them. The transaction can only be completed when the private key is correct, and there is no intermediate state. With covenants, a transaction can be completed when certain conditions are met. Moreover, a transaction can only be completed when specific conditions are satisfied (not just the correctness of the private key). Can we understand it this way: Covenants indirectly provide conditions for state transition.

Poly:

The covenant is the template shell or the "state". Inside of it, you're going to need to make time locks and other functions to enable the desired functionality that you’re wanting, be that a vault, lightning channel or some other layer 2 solution.

So CTV allows for the state creation to occur, but you have to dynamically rebuild the state at each transition to keep it in homeostasis, we call this meta-recursive. Whereas something like SH_APO allows you to create a state and then periodically update that state, making it recursive. CTV can also create a chain of transactions that would allow you to “step-through” that state.

A good example to think about is Ark, it’s a giant smart contract, almost like a giant coinjoin and the one running the protocol creates a new state [or rounds as it’s called] every few seconds to facilitate participants to pay others as needed. Once the Ark operator is ready, they will send a transaction to the mempool to commit the current state to on-chain. These on-chain placeholders can be thought of as the “transition states.” The operator has to constantly recompute new states to present to the Ark participants and what’s sent to on-chain is the verification of that state.

Hua: Can we understand it this way: Covenants implement a form of smart contract based on verification rather than computation?

Poly:

Yes. Definitely. This smart contract is just comparing a transaction to an associated sha256 hash. Block speed verification would actually increase since there’s no signature operations.

Hua: One direction of development for blockchains is modularity, including off-chain computation. However, Bitcoin seems naturally designed for off-chain computation, appearing behind but actually leading the way. What do you think?

Poly:

Time is a flat circle. It’s crazy how it seems like we’ve come full circle to what’s wanted in a blockchain. Bitcoin still seems to have some modularity issues and footprint issues. I wish we had better side-chains that weren’t simply multi-sig solutions and used actual cryptographic means to secure one’s funds and allowed for Unilateral Exits. I think that would help push the boundaries on Bitcoin’s modularity. Taproot has allowed for even more off-chain computation with things such as BitVM, which would allow us to compute almost anything off-chain. But unfortunately, it can’t emulate things inside Bitcoin such as CTV so it seems we still have progress to make.

5.

Hua: What possibilities can be achieved by combining covenants with other opcodes like DLC?

Poly:

So DLC’s have a few problems that would be fixed with covenants such as increasing the flexibility of the parameters of the DLC by making many price points [if we’re wagering on the price of something such as Bitcoin]. Another one is that hardware wallets [HWW] can’t interact with a lot of DLC’s, the signing rounds for DLCs and attempting to do it with HWWs causes DLCs to take several minutes to open. With CTV, this delay to enter a DLC can be reduced down to seconds.

Hua: Are there any other points you'd like to introduce to the readers?

Poly:

We went over a lot of concepts, we touched on how it can be used to mitigate excessive blockspace demand and potential ddos attacks. We discussed how people could save space by making Non-Interactive Channels. I think another good one to discuss is the "L2 exit problem". If we managed to get everyone off of the L1 layer and get them onto a large L2, there's currently no good way to get people off that L2 in an expedited manner. We could think of that L2 as Lightning [we call the potential mass exodus on Lightning, the "Thundering Herd problem”], or we could think of Coinbase, Binance or Liquid as the L2. There are people who hold claims to Bitcoin, but their only way to actually acquire that claim is by submitting a transaction to get it placed on-chain. There's millions of people on Coinbase, I have no idea how to get them off of there and onto Bitcoin in any orderly fashion in today's environment. There would be a mempool backlog of 6 months attempting to get people off the exchange. CTV can fix this.

Make an Ark or a Timeout-Tree with CTV. The exchange could even offer the service directly. Everyone could be offloaded from the original "shared UTXO" that was under Coinbase's consensus and pushed into a "shared UTXO" with a consensus of their choice, be it a simple pool or a large Timeout-Tree. This is where it really wrinkles the brain, this was a pure L2 <> L2 conversion. There was no intermediary step requiring me to go down to L1 first. And I can continue repeating this process indefinitely, using any layer of my choice. There isn’t a need to return to the base layer unless I was forced there such as from an uncooperative closeout from my channel or perhaps an unvaulting from my vault. The Ark and Timeout-Tree pitfall is that they have rollover requirements, you have to move your funds every few weeks or months or you forfeit your funds. This isn’t an ideal solution for long-term funds but works great for any short term holdings and larger markets.

I'd like to provide a full list of every concept that’s been developed using CTV and its ability to simply aggregate pre-signed transactions: Non-Interactive Channels, Timeout-Trees, Ark, Darkpools, Payment Pools, Payment Channels, Ball Lightning, Congestion Control, Dpool's, Compaction, Tree Swaps, PathCoin, Stakechains, Surfchains. But don’t think of these as all independent Templates, if there’s a feature of one that you wish to include in another, you can create your own custom Template to try and find your desired behavior.

References：
Owen's Covenants 101 https://x.com/OwenKemeys/status/1741575353716326835
Owen's Covenants 102 https://x.com/OwenKemeys/status/1744181234417140076
Owen’s CTV Demo  https://x.com/OwenKemeys/status/1752138051105493274 
Dallas's Primer https://x.com/dallasirushing/status/1740443095689318566
Batching Lightning Channels Required Covenants https://lists.linuxfoundation.org/pipermail/bitcoin-dev/2023-October/022006.html Timeout-Trees https://lists.linuxfoundation.org/pipermail/bitcoin-dev/2023-September/021941.html
Ark https://www.arkpill.me/
Darkpools https://gist.github.com/moonsettler/6a214f5d01148ea204e9131b86a35382 PathCoin https://github.com/AdamISZ/pathcoin-poc

后者便是本文的主题。

限制条件下的发展 vs. 无限制条件下的发展

比特币的发展是在两个限制条件之下的，第一个限制是小区块空间，第二个限制是维持隐私。当开发者给出提案时，不管该提案本身的目的是什么，他都需要考虑：该方案是否浪费区块空间，该方案是否破坏隐私。也就是说，他需要在这两个限制条件之下去设计，去达成他的目的。

以太坊则不然，它是目标导向。为了达成目的，其他的事情是可以让步的。以太坊的权衡仅在于什么是重要的目标，什么是不那么重要的目标。

有限制条件还是无限制条件，是截然不同的发展方式。把比特币和以太坊比作两块稀有的钻石原石，比特币的方式是在保留这块原石本身特点的前提下去雕刻，以太坊的方式是满足市场需求的去雕刻。

这种不同会带来不一样的产品，哪一种更优？见仁见智。但对于一个生态而言，这种不同或许是一件幸事，它令我们既能拥有眼前的繁华，也能期待美好的未来。

（附：比特币为什么采用小区块空间？这是一个简单却极其重要的问题。思考清楚了这个问题，就能明白比特币到底在坚持什么。）

公共设施 vs. 私人产业

2020年的时候，以太坊上有两个密码学的应用方向令人激动，一个是零知识证明，一个是无状态。前者有助于纵向Layer2 的发展，后者有助于横向Layer1 的发展，在我眼中，它们是实现以太坊扩展的两块重要技术基石。

零知识证明和无状态都是难的事情，是需要专业人才外加大量资金和时间的事情。不过，零知识证明的应用可以是私人产业，使用它做出的是能够融资的项目；无状态的应用是公共设施，研究它并不能给人带来直接的金钱收益。

时间来到2023年。在以太坊上，零知识证明的项目多不胜数，人人都在谈论它；无状态门庭冷落，进展十分缓慢。虽然前者的起步时间早于后者，但两者现状的天壤之别仍令人感叹。在以太坊上，私人产业蓬勃发展，尤其是在那些热门赛道里；公共设施的建设虽然在继续，但这里的决策充斥着政治性、功利性。（注：此处的功利性不是指金钱上的，而是指比如做实现简单见效快但负面影响未经充分论证的事情）

比特币上呈现出不同的样貌。第一，在比特币上零知识证明和无状态没有遭遇差别对待，甚至无状态涉足的领域胜于零知识证明；第二，零知识证明被应用于更广泛的领域，它不只被用在那些可以融资的方向里。在比特币上，公共设施的建设被持续稳健地推进着，密码学技术被作为工具而不是目的使用。

人们有时候用道路形容公链。如果沿用这个比喻的话，当下的情况是，以太坊把道路的建设工作承包给私人开发商，私人开发商开发属于自己的道路或设施来扩大道路系统，其收益是用户使用这些道路或设施的通行费；以太坊公共设施建设的主要目的是辅助和协调私人开发商的项目，以便它们可以有效地接入主系统并运转。

比特币上大部分工程是主系统本身的设计和建设，即便私人开发商，从事的也多是可以作为公共设施的开发。之所以会有如此大的不同，既包含技术原因——在扩展方式上，以太坊和比特币选择了不同的技术路线，以太坊的主流方向是链式的，它需要通过发展支链来提高通行能力；比特币的主流方向是网状的，未来扩充节点并非难事，重点是UTXO模型加网状结构本身能够做到的事情。

也包含文化原因。在比特币上，最重要的事是“比特币”，这在某种程度上会抑制私人产业的参与；在以太坊上，最重要的事是“营利”，这在某种程度上会干扰公共设施的建设。不同的社区文化，带来不同的开发者选择，以及不同的用户和投资者态度，而后两者又会反过来影响社区文化，进一步加强某种趋势。

于我而言，当我在看比特币上的项目时，无论是基础设施还是应用，思考的第一件事是它是“伤害”比特币的还是“增强”比特币的，如果答案是前者，就基本不再进一步研究；而当我，同一个人，在看以太坊上的项目时，思考的事是该项目值不值得投入时间和钱，换句话就是，这个项目会不会有益于我自己的钱包。

私人产业的参与是行业发展的推动力，公共基础设施的健壮是行业存在的基石，但我也没法故作天真地说希望两者能够被兼顾，并以此作为这一部分的小结。因为有的阵地需要坚持才能守住，而有的阵地一旦滑入就会越陷越深。

去信任 vs. 去中心化

比特币白皮书开头部分写到：“ While the system works well enough for most transactions, it still suffers from the inherent weaknesses of the trust based model ”。结尾部分写到：“We have proposed a system for electronic transactions without relying on trust ”。

自始至终，比特币反对的是基于信任的模型，建立的是一个不必依赖信任的的系统。在它的白皮书中，从未讨论去中心化，虽然提到了中心化权威方，但仅仅是用于举例，中心化权威方是最普遍的信任模型中的信任对象。

再来看以太坊。以太坊白皮书的名字是《A Next-Generation Smart Contract and Decentralized Application Platform》。去中心化是以太坊白皮书里的高频词，不仅其目标是各种去中心化，比特币在它这里也被认作是一个去中心化的系统，而不是去信任的系统。

去信任和去中心化是两件不同的事情，虽然它们在表象上有着相似之处。去信任有多种实现方法，其中包括去中心化的共识；但并不是任何去中心化的共识都能实现去信任，这里涉及到共识机制、共识参与者等诸多因素，甚至可以说，中心化不能做到去信任，但也只有非常少的去中心化能够做到去信任。

比特币和以太坊在该理念上的不同也导致两者发展路径的不同。在比特币上，解决问题多转向密码学，因为基于密码学的证明是实现去信任的最佳方法，它只依赖于安全假设；在以太坊上，解决问题多转向共识，因为共识可以简单快速地达成去中心化。

因此当我们看比特币时，看见的是一个一般无二的签名，所有的努力和奥秘都藏在这个签名背后；当我们看以太坊时，看见的是一个一层共识叠加又一层共识的庞然大物，每一层都是一个财富密码。

结束语

我想以《小径分岔的花园》中的一段话作为文章的结束，这篇文章不是要在比特币和以太坊间分出高下，作为行业的一员，当然是希望它们都能获得成功。如果说文章的私心，私心是：请不要试图把比特币变成另一个以太坊，无需信任是宝贵的，隐私是宝贵的。

“他缓慢而精确地朗读同一章的两种写法。其一：一支军队翻越荒山投入战斗，困苦万状的山地行军使他们不惜生命，因而轻而易举地打了胜仗；其二，同一支军队穿过一座正在欢宴的宫殿，兴高采烈的战斗像是宴会的继续，他们也夺得了胜利。”

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2Fm7RkhpiSRK-OPmNSVueYb88h27GzZBvsi8hJn7EjAdk&height=800&display=iframe

This article investigates their differences in "non-physical philosophy".

Development with constraints vs. development without constraints

The development of Bitcoin is hampered by two factors: the small blocks and the need to maintain privacy. When a Bitcoin developer offers a proposal, he needs to consider whether the proposal will lead to a waste of block space or privacy harm. In other words, he needs to write proposals under these two constraints to achieve his goal.

This is not the case with goal-orientated Ethereum. Reaching the goals is its top priority, even if it's at the cost of other matters.

Development with or without constraints varies greatly. Let's compare Bitcoin and Ethereum to two rare rough diamonds: Bitcoin's approach to development is to carve a rough stone while preserving its characteristics, but Ethereum's approach is to carve it in a way that meets the needs of the marketplace.

This distinction will result in two vastly different products. Which one is better? It's a matter of opinion. But for an ecosystem, this distinction may be a blessing, which allows us to enjoy immediate prosperity and look forward to a bright future.

（Note: Why does Bitcoin have small blocks? This is a simple yet very important question. Thinking it through will make it clear what Bitcoin is holding on to.)

Public vs. private infrastructure

The year 2020 saw two exciting cryptographic applications of Ethereum: zero-knowledge proof (ZKP) and statelessness, which contribute to the development of layer 2 vertical scaling and layer 1 horizontal scaling, respectively. I believe they constitute the core technical building blocks that enable the scaling of Ethereum.

Applications of zero-knowledge proof and statelessness require expertise and substantial time and money. However, zero-knowledge proof can be applied to private infrastructure to generate projects that can be financed. The application of statelessness is confined to public infrastructure and cannot bring direct financial benefits.

This year, the development of the two applications is hugely different on Ethereum. Zero-knowledge proof projects abound, and everyone is talking about them. In contrast, progress has been plodding on statelessness. Although the former started earlier than the latter, the vast difference between their status quo is astonishing. Private infrastructure is booming, especially in the hot segment; although construction of public infrastructure is continuing, the decisions are political and utilitarian. (Note: Here, “utilitarian” does not mean people are pursuing financial gains. It means doing simple things that deliver results quickly but whose negative impacts are not well-documented.)

Bitcoin presents a different picture. First, zero-knowledge proof and statelessness are treated equally, and statelessness is even more widely used than zero-knowledge proof; second, zero-knowledge proofs are used in a wider range of applications, except for those that can be financed. The construction of public infrastructure is being steadily pushed forward, and cryptography is being used as a tool rather than an end in itself.

Blockchain is sometimes likened to roads. If we follow this analogy, Ethereum is contracting out the construction of roads to private developers, who develop their own roads or facilities to expand the road system and generate revenues through tolls. The primary purpose of the construction of Ethereum’s public infrastructure is to assist and coordinate the projects of the private developers so that they can efficiently connect to and operate the central system.

But for Bitcoin, the design and construction of the main system itself account for a large part, and even private developers are mostly engaged in projects that can be used as public infrastructure.

There are two main reasons for this difference. From a technical perspective, Ethereum and Bitcoin have chosen different technical routes in terms of scaling solutions. Ethereum adopted a chain structure, which needs to increase capacity by developing sidechains. Bitcoin adopted a net structure which is easy to expand nodes in the future, what matters most is what the UTXO model and net structure can do.

There are also cultural reasons. For Bitcoin, the most important thing is “Bitcoin”, which can somewhat hamper private infrastructure involvement. But for Ethereum, the top priority is “making profits”, which will disturb the construction of public infrastructure. Different community cultures lead to different developer options, as well as different attitudes of users and investors. These options and attitudes, in turn, influence community cultures, further reinforcing certain trends.

For my part, when investigating a Bitcoin project, whether it’s related to its infrastructure or application, the first question coming to my mind is: Will it “hurt” or “boost” Bitcoin? If the answer is the former, I won’t waste my time on it. But for an Ethereum project, I’ll consider if it’s worthwhile to invest time and money in it. In other words, can I make money from these projects?

Private infrastructure is the driving force behind the industry’s growth, and public infrastructure lays the foundation for the industry’s existence. But I can’t pretend to be naive and conclude this section by saying I wish both could be taken into account—some ideas that are hard to hold on to, others that are seductive and addictive.

Trustlessness vs. decentralization

In the opening section of the Bitcoin white paper, Satoshi Nakamoto wrote: “While the system works well enough for most transactions, it still suffers from the inherent weaknesses of the trust based model”. In the concluding part, Satoshi wrote: “We have proposed a system for electronic transactions without relying on trust.”

From the beginning to the end, the author has argued against the trust based model and proposed a system without relying on trust. The white paper didn’t mention decentralization. It did cite the central authority as an example, simply because it is the most common object of trust in the trust based model.

Look at another white paper: Ethereum: A Next-Generation Smart Contract and Decentralized Application Platform. “Decentralized” is a frequently used word in this white paper. Its goal is to achieve “decentralization” in various situations, and even Bitcoin is treated as a decentralized rather than a trustless system.

Although they are similar at first glance, trustlessness and decentralization are different. Trustlessness can be achieved by multiple methods, including the decentralized consensus, but not any decentralized consensus can guarantee trustlessness because various factors are involved, including consensus mechanism and participants. It could even be argued that centralization can’t be trustless, and rarely can decentralization be trustless.

Different philosophy of Bitcoin and Ethereum has led to diverging development paths. Bitcoin turns to cryptography because cryptographic proof, which only relies on security assumptions, is the best way to achieve trustlessness. However, Ethereum turns to consensus, which can achieve decentralization easily.

Therefore, when we look at Bitcoin, we see a general signature, behind which all the effort and mystery are hidden; but when we look at Ethereum, we see a giant made up of multiple layers of consensus, each of which is a wealth code.

Remarks

I’d like to conclude this article with a quote from The Garden of Forking Paths. As a practitioner in  the cryptocurrency industry, I don’t want to tell which is better, and I wish them both success. If I must convey my personal opinion in this article, it would be: Please don’t try to turn Bitcoin into another Ethereum, because trustlessness is valuable, and privacy is valuable.

“With slow precision, he read two versions of the same epic chapter. In the first, an army marches into battle over a desolate mountain pass. The bleak and somber aspect of the rocky landscape made the soldiers feel that life itself was of little value, and so they won the battle easily. In the second, the same army passes through a palace where a banquet is in progress. The splendor of the feast remained a memory throughout the glorious battle, and so victory followed.”

btc: bc1p80u5advn72k2nzt8u6n5c3annrx87tuyq7t5ulae366qem3fxj5sze3pcu

eth: 0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2FSg1WXMhWxINQD7_CBs7FdCHHltlktaIOq3J6jXGs3A8&height=800&display=iframe

为什么需要去了解它？隐私问题自不用提，另一个重要原因则在于，随着对区块链探索的深入，我们发现通过密码学的方法来实现信任是对共识算法信任的有效补充，这两种信任可以更低摩擦地结合在一起，因此也更易被实现和应用。这个趋势也可以从近期区块链技术的发展方向中察觉到。

而只有当我们知道这些密码学方法背后的逻辑，才不会迷失其中，才能理解它为何要这样去设计，它适用于什么样的应用场景。

那么现在，就让我们开始零知识证明之旅吧。它包含三段旅程：隐藏秘密之旅；证明秘密之旅；构建通用零知识证明之旅。

一. 隐藏秘密：单向功能

在《星际迷航》的宇宙中，P = NP，这对于计算界也许是件好事，它意味着所有可以在多项式时间内验证的问题，也可以在多项式时间内求解。但对于密码学界而言，这可能是一场灾难。

密码学需要存在一种「单向功能」，也就是说能够从 A 计算出 B，但从 B 计算出 A 存在着计算上的不可行性——计算从 A 到 B 是单向的，我们才有可能把 A 藏起来。而如果 P = NP，在多项式时间内可验证的问题同时也是可求解的，那么通过 B 就能计算出 A，秘密也就无法隐藏。

这就是密码学背后的简单逻辑：单向功能。而单向功能背后的支撑是 P! = NP。

这与零知识证明的关系是什么呢？我们可以把零知识证明分解为两个功能，第一个功能是隐藏秘密，第二个功能是证明自己有秘密。而隐藏秘密，如上文所述，就是找到一个具有单向功能的计算式。

零知识证明*：
零知识证明是指让验证者相信某个断言为真，且整个过程不泄露「断言为真」之外的任何知识。为了更容易理解，本文把它简化为隐藏秘密和证明拥有秘密。*

椭圆曲线算法（ECC）是密码学中被普遍应用的一个具有单向功能的函数，它看起来是这样的：k × P = Q，在已知 P 的情况下，我们可以通过 k 计算出 Q，但难以通过 Q 反向计算出 k。需要注意的是，密码学中加法或乘法运算的含义不局限于我们熟悉的实数域上加法或乘法运算的含义。

让我们看看它是如何做到单向性的。在该函数中，P 是椭圆曲线上的一个点，我们把一个小球放在该点并沿切线方向击打出去，小球在椭圆曲线中撞来撞去撞了 k 次（大致可以这么理解），最后会落在一个点 Q 上。如果我们知道初始位置 P 和撞击次数 k，是能算出小球的落点 Q 的；但如果我们只看见小球落在 Q 上，是无法算出从 P 点到 Q 点撞了多少次，也就是 k 的。

下图是 k = 2 的一个示例，小球从 P 点出发，撞击了两次落在 Q 点上，因此 Q 等于2 × P。椭圆曲线算法常被用于生成公钥和私钥，公钥就是小球最后的落点 Q，私钥就是撞击次数 k。k × P = Q 的单向功能使得它可以隐藏私钥这个秘密。

二. 证明秘密：同态

对于零知识证明来说，隐藏秘密只是第一步，我们还需要证明自己确实掌握了秘密。就像在第一段旅程中只需要理解单向功能，在这第二段旅程中，我们只需要理解「同态」，有了同态我们就有了证明秘密的能力。那么什么是同态？

我们可以把单向功能看成一种映射关系，比如 k × P = Q 就是 k 到 Q 的映射：在一个空间中，我们有无数个 k 点，它们被映射到另一个空间，变成无数个 Q 点。这就像现实世界和影子世界，通过光线的映射，现实空间的物体变成了影子空间的影子。

这时候假设有一块机械手表，机芯就是那个隐藏起来的秘密。我们把含机芯的手表拆成 8 个零部件并映射到影子空间中，这时影子空间就会有 8 个影子；但注意在现实空间我们展示给大家看的是一块完整的手表，机芯是未暴露的，这块手表在影子空间也会有个影子，我们叫它第 9 号影子。

现在我们把 8 个零部件的影子组合起来，如果它们能够组成一块完整的手表影子，就可以用该影子与第 9 号影子做对比，如果两者是相同的，就能证明现实空间的这块手表中是有机芯的，因为它的影子与含机芯的零部件组成的影子相同。这其实就完成了一个简单的零知识证明过程。

完整零部件的影子组合成的手表影子与完整手表的影子相同，我们称这种映射为同态。用数学公式来表达就是 f(手表) = f(零件1 + …… + 零件8) = f(零件1) + …… + f(零件8)。其中，f(手表)是手表的影子，f(零件1) + …… + f(零件8) 是零部件的影子组合成的手表影子。

简化一下这种关系就是：f(a+b) = f(a) + f(b)，即「先计算后加密的结果」f(a+b) 与「先加密后计算的结果」f(a) + f(b) 是相同的。同态使得我们可以直接对密文进行计算，然后对隐藏了秘密的明文先计算后加密，再通过比较两者是否相同验证明文中是否真的藏有秘密。

同态定义：
抽象代数中，同态是两个代数结构（例如群、环、或者向量空间）之间的保持结构不变的映射。

如果你只想了解零知识证明的基本逻辑，旅程到这里就可以结束了，知识点只有两个：1. 用单向功能隐藏秘密；2. 用同态映射证明秘密。是不是还算轻松？

接下来让我们看看这个过程在真实的密码学中是怎样的，以椭圆曲线数字签名算法（ECDSA）为例，它是一个具有「零知属性」的算法。你可以选择不看，它不会影响你对同态的理解。

椭圆曲线数字签名算法对签名的验证*：
在该算法中，关键的过程是验证 f(Z + dA × R) = f(Z) + f(dA × R) = f(Z) + Qa × R，其中，Z 是需要用私钥签名的消息，dA 是私钥，R 与随机数相关，Qa 是公钥。因为同态属性，这个等式是成立的，我们就可以用等式右边的 Qa(公钥)来验证 Z 是否是用等式左边的 dA(私钥) 签名的。在这里，dA 是机芯，Z+dA×R 是藏有机芯的手表，f(Z + dA × R) 是这块手表的影子，而 f(Z) + f(dA × R) 是手表零部件的影子组合成的手表影子。*

椭圆曲线算法的同态属性使得其他算法，比如椭圆曲线数字签名算法，可以利用它来隐藏并证明秘密，但该算法的能力有限，因为它只具备加法同态，也就是 f(a+b) = f(a) + f(b)，但不具备乘法同态，即 f(a×b) = f(a) × f(b)。

这相当于把现实空间的物体投射到影子空间后，影子空间可以用加法来组合影子，但对于一些需要用乘法才能组合的影子，它就无能为力了。

怎么办？可以引入「配对函数」。比如椭圆曲线配对函数就是对椭圆曲线算法做一系列的调整，生成一个新的映射空间，这个新空间既满足加法同态，也满足类乘法同态（注意，只是类乘法同态），这样一来，除了用加法，我们还可以用类乘法去证明秘密。

现在，第二段旅程抵达了终点。我们需要了解的是，同态是证明秘密的关键所在，但并不是所有的映射关系都有「良好」的同态，而不同的应用场景对同态的要求也不一样，在实际的设计中，需要根据具体需求实现不同的同态。

如果原空间与映射空间既满足加法同态，也满足乘法同态，我们称其为全同态。全同态意味着可以对密文进行任意的运算（可以对影子进行任意方式的组合），这对实现数据隐私有着重要的意义，但实现全同态是一件非常困难的事情。

三. 通用零知识证明：NPC 问题

你一定注意到了，我们说椭圆曲线数字签名算法具有「零知属性」，却并没有说它是零知识证明协议，因为它的主业是做数字签名，隐藏私钥只不过是它必须要实现的一个功能。而且它也只能隐藏私钥，如果想让它帮你隐藏一个你自己的秘密，它是做不到的。

而零知识证明协议，比如我们熟悉的 zk-SNARKs，它的主业就是隐藏并能证明需要它隐藏的各类秘密。这是如何做到的？

让我们回到本文最开始的那个单向函数 k × P = Q，它能隐藏一个秘密 k，如果我们把它变复杂一些，比如变成 t × h = (v0 + a1 × v1 + …… + am × vm)(w0 + b1 × w1 + …… + bm × wm)这样一个多项式，是不是就有了很多可以隐藏秘密的「空间」，比如把秘密放在 a1，a2，……，am 中。

事实上，上文中这个复杂的多项式就是 zk-SNARKs 中用于实现零知识证明的多项式，该多项式能够证明各类秘密，因为它能证明布尔电路。

为什么能证明布尔电路，就能证明各类秘密？因为布尔电路可满足性是一个 NPC（NP-Complete）问题，而 NPC 问题有一个「特性」，即所有的 NP 问题（包含NPC）都可以在多项式时间内归约（转换）成某一个具体的 NPC 问题。

比如布尔电路、图论三染色、甚至我们熟悉的扫雷游戏，都是 NPC 问题。我们可以把扫雷游戏规约成布尔电路的可满足性，也就是能够用证明布尔电路的多项式实现对扫雷游戏的零知识证明；可以把图论三染色规约成布尔电路的可满足性，也就是能够用证明布尔电路的多项式实现对三染色的零知识证明……

因此理论上，我们能够以任何一个 NPC 问题为基础构建一个通用的零知识证明协议。但这仅仅是理论上的，因为使用它们做证明的难易度是截然不同的。目前主流的方法是选择布尔电路或算术电路，因为它们实现起来相对容易、电路规模小，zk-SNARKs 和 Bulletproofs 都是选择的这种方法。

四. 零知识证明协议

在三段旅程之后，零知识证明对我们而言也许不再是神秘莫测的事物，它背后有着简单逻辑：1. 单向功能是隐藏秘密的方法；2. 同态映射是证明秘密的基础；3. 证明 NPC 问题的多项式（但这并非唯一的方法）可以实现通用零知识证明。

不同的零知识证明协议在这三点上的具体实现是不一样的，最主要的不同可能体现在第 3 点中，哪怕证明的是同一个 NPC 问题，也可以有截然不同的方法。因为不同的设计，零知识证明协议最常被提及的差异主要包括：

1.不同的计算空间和计算时间。更小的空间和更短的时间是我们不断改进零知识证明协议的主要动力，也是比较不同零知识证明协议的主要指标。比如下图是 ZCash 首席执行官 Zooko Wilcox 在谈到零知识证明协议时用到的表格，主要比较的就是不同协议的证明时间、验证时间和证明大小。

2.是否需要初始化可信设置。不需要可信设置当然更好，会减少信任问题和安全问题，不过新的证明方法就可能带来新的计算问题，比如 Bulletproofs 不需要可信设置，但它在高复杂度情况下的验证成本会很高。

3.所依赖的安全假设。安全假设与安全密切相关，比如 Bulletproofs 依赖的是一个标准安全假设：离散对数问题，加上一个随机预言模型；而 zk-SNARKs 依赖的是一个不可否证的安全假设问题：指数知识假设。

上述的这些指标和属性很难被同时满足，因此在设计零知识证明协议，或者选择零知识证明协议/方法作为某个协议的功能组件的时候，需要考虑特定场景的需求问题。比如对证明时间有较高要求，就可能需要选择占用更多空间、或者具有较小通用性的方法；对可信设置有要求，就可能需要选择有更高证明成本的方法。

因此，一方面，零知识证明是不断发展的，各种不同的协议正在被设计出来，某些新协议在某些方面会更具优势；另一方面，不同的协议有不同的适用场景，要根据需求来做设计或选择，并没有一个适用于所有场景的更好的协议。

如果你愿意，旅程到此就可以结束了；如果你想继续，接下来的这一段有点「野」。

五. 另辟蹊径

这是关于 zk-STARKs 的。它也是零知识证明协议，但它是基于信息编码的零知识证明，这是完全不同的一条道路，并且有可能打乱你已经清晰的思路。

zk-STARKs 并没有使用密码学中的单向函数，简单理解的话，它是这样做的：假设 P 有 9 个要证明的数，a1，a2，……，a9，那么把它们编码成 b1，b2，……，b9，每个bi中都含有a1，a2，……，a9 的部分信息。在做验证的时候，验证者 V 对 b1，b2，……，b9 做抽样检查，从少量 bi 中就能分析出编码有没有错误，这样就可以大概率探测到 a1，a2，……，a9 是否属实。

当 V 对 P 作随机抽样时，P 能够主动用随机数混淆抽样的 bi，同时又能使 V 完成验证，从而实现零知识性。

所以 zk-STARKs 的「单向」并不是基于计算不可行的单向，它是因为没有暴露 b1，b2，……，b9 全部，导致无法通过 b1，b2，……，b9 反向计算出 a1，a2，……，a9。在「同态」部分，它也不是抽象代数（或密码学）中的同态概念，而是基于线性编码纠错理论进行抽样验证。

zk-STARKs 也不是基于上文介绍的 NPC 难题做验证，它是基于概率检查做验证的。关于这类验证方法，可以从一种古老的验证系统 PCP（Probabilistically Checkable Proofs）中找到线索，不过在 zk-STARKs 中使用的方法叫 IOP（Interactive Oracle Proofs），与 PCP 的不同之处在于它用的是 Oracle。

之所以介绍 zk-STARKs，一方面是因为它也颇为流行，另一方面是想说明零知识证明可能是一个难以探索到边界的事物，比如 zk-STARKs 就是迥异的，因此本文只是理解零知识证明的一个角度，且因为自身认知有限，这种角度也许并不适用于所有的零知识证明方法。

希望这篇文章能让你更了解零知识证明一些，也希望能让你觉得密码学、数学是有趣的，因为它的复杂，也因为复杂背后的简单逻辑。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2FzGB_fHe5CgMCZJMx4vKmzAuJPQ5VzRJo1apWnQHAxcE&height=800&display=iframe

大家都知道它是一种实现零知识证明的方法，也知道它是扩容和隐私方向的利器，但究竟什么是零知识证明，zk-SNARK 是如何实现零知识证明的？这便是本文试着去回答的问题。

阅读这篇文章需要保持较高的专注度，以及适当思考；但本文尽力做到没有含混和晦涩之处，所以如果你保持专注，看完就能理解零知识证明究竟是如何通过zk-SNARK 做到的，而不是停留在只知道概念的阶段。

那么现在，开始吧。

第一阶段：为使用zk-SNARK 做准备工作

一. 把零知识证明的需求转换为数学运算电路

保险机构需要知道用户的一个体检数据是否达标，用户只想让保险机构知道数据是否达标，但不透露具体的数据给他们。怎么去做？

假设这个体检的隐私数据是x，x 的值在0~7 之间（包含0和7）为达标，否则为不达标。那要做首先是把这个需求转换为一个可计算的问题，即有一个程序，其输入为x，当x 在0~7 之间时，输出「真」，当x 不在该区间时，输出「假」。

该程序的计算过程可以被表达为如下一组方程的验证过程。当输入x 后，如果这4 个方程都能被满足，也就是方程左边的计算结果都为0，就能证明x 在0~7 之间，那么就输出「真」，否则输出「假」。

这4 个方程为：
b0 * (b0-1)= 0
b1 * (b1-1)= 0
b2 * (b2-1)= 0
2^0 * b0 + 2^1 * b1+2^2 * b2 – x = 0
注：b0、b1、b2的值由x确定，它们也是输入；前3 个方程约束b0、b1、b2的值为0或1；最后1个方程验证x的取值在0~7之间。

可以把这样的一组方程表达为一个数学运算电路。以b0 * (b0-1) 为例，它这一部分的电路如下图所示。

而整个程序的计算过程可以抽象表达为下图：

如此一来，零知识证明的问题就被转化为「输入+用作证明的数学运算电路+输出」；如果输出为真，就可以相信输入为真。在本文的例子中，如果输出为0，就可以相信用户的体检数据达标。

二. 把数学运算电路转换为多项式

在把零知识证明的需求转换为数学运算电路后，我们能够把验证者和证明者这两个角色分开。而当验证者不是证明者时，就创造了一个可以隐藏输入（原始数据）的机会。

随之而来问题只有一个：验证者凭什么相信这个「输出」是「输入」通过「用作证明的数学运算电路」计算出来的？最简单的办法就是验证者看着证明者输入和计算，但这样就无法隐藏输入了。

所以我们要在数学运算电路的基础上接着做转换，把输入、用作证明的数学运算电路、输出这三者绑定到一起，也就是说，能够通过某种方式验证「输出」是否为「输入」通过「用作证明的数学运算电路」计算出来的。

这样一来，在输出为真的前提下，只要该验证通过，证明者就可以相信输入为真。

为了完成这种绑定，需要把数学运算电路转换为多项式。

(以下为数学转换过程，若无兴趣可跳至下一张图片下方的段落)

首先要把数学运算电路转换为一阶约束系统（RICS）。

Vitalik 在《Quadratic Arithmetic Programs: from Zero to Hero》一文中详细介绍了这个转换过程，本文为省略细节描述，将直接引用Vitalik 使用的例子。这是一个数学的过程，我们只需要知道这种转换是等价的即可，若希望知晓细节，可阅读Vitalik 的文章。

Vitalik的那组方程为：
x * x - sym_1 = 0
sym_1 * x – y = 0
(y + x) * 1 - sym_2 = 0
(sym_2 + 5) * 1 - ~out = 0

以其中的第一个方程x * x - sym_1 = 0 为例，它被转换为R1CS 后的形式如下所示：
a = [0, 1, 0, 0, 0, 0]
b = [0, 1, 0, 0, 0, 0]
c = [0, 0, 0, 1, 0, 0]
s = [~one,x,~out,sym_1,y,sym_2]

R1CS 是由上方3 个向量（a, b, c）组成的序列，解向量为s，且满足s. a * s.b - s.c = 0，这也被称作一个约束。可以试着计算一下，你会发现s.a * s.b - s.c = x * x - sym_1，它们是等价的。

Vitalik 的例子包含4 个拍平后的方程，每个方程对应一个RICS 约束，因此一共有4 个约束。

接下来是把R1CS 转换为多项式。依然不需要深入理解如何转换，只需要知道转换是等价的。转换过程如下：

一共有4 个RICS 约束，每个约束中都包含一个向量a，因此一共有4 个向量a，它们分别是：
a = [0, 1, 0, 0, 0, 0]
a = [0, 0, 0, 1, 0, 0]
a = [0, 1, 0, 0, 1, 0]
a = [5, 0, 0, 0, 0, 1]

通过拉格朗日插值法，可以把这4 个向量转换为6 个多项式（因为每个向量包含6个值），它们分别是：
–5+ 9.166* x- 5* x^2+0.833* x^3
8- 11.333 * x + 5 * x^2-0.666 * x^3
0 + 0 * x + 0 * x^2 + 0 * x^3
–6 + 9.5 * x - 4 * x^2 + 0.5 * x^3
4 - 7 * x + 3.5 * x^2 - 0.5 * x^3
–1+ 1.833 * x- 1 * x^2+ 0.166 * x^3

可以试着把x= 1代入这6 个多项式计算，将得到[0、1、0、0、0、0] 这6 个值，你会发现它们正是第一个约束下的向量a；把x 等于2、3、4分别带入这6 个多项式，将得到其他3 个约束下的向量a。

向量a 对应6 个多项式，向量b 和向量c 也是如此，因此一共会有18 个多项式。当x=1时，这18 个多项式的18 个解正是第一个约束；当x 等于2、3、4时，分别得到第2、3、4 个约束。多项式与RICS 是等价的。

到此就完成了从数学运算电路到多项式的转换：

1.通过RICS 转换，把证明多个原方程转换为证明多个s.a * s.b - s.c = 0 ；

2.通过多项式转换，把证明多个s.a * s.b - s.c = 0 转换为证明在x=1、x=2、x=3、x=4 时，A(x) * B(x) – C(x) = 0，其中A(x) = s.a，B(x) = s.b，C(x) = s.c。如下图所示。

图中最左边一行数字[1, 3, 35, 9, 27, 30] 为Vitalik 例子中的解向量s。A1(x)为a 的第1 个多项式在x 处的取值，比如A1(1)=0；A1(x)~A6(x) 构成第x 个约束的向量a，比如x=1时，a=[0、1、0、0、0、0]；其他同理。

(若跳过转换，可从此处接着阅读)

我们似乎是在通过一个繁琐的步骤，把本来简单的证明变成了复杂的证明，为什么？如果你仔细观察，就会发现一件神奇的事情发生了：

本来验证者需要验证的是：输入通过用作证明的数学运算电路，输出为真；但现在验证者需要验证的是，当x=1、x=2、x=3、x=4时，A(x) * B(x)–C(x) = 0。

A(x) * B(x)–C(x) 中包含了解向量s，它是把输入、输出、电路绑定在一起的；验证A(x) * B(x)–C(x) = 0，就是在验证输入和输出是否满足用作证明的数学运算电路。

这便解决了本节开始时提出的问题：验证者凭什么相信「输出」是「输入」通过「用作证明的数学运算电路」计算出来的。

如此一来，验证者就不需要关注具体的输入和计算过程，只需要验证A(x) * B(x) – C(x) = 0本身是否成立。这让我们真正有了机会去隐藏输入。

到此处可以长舒一口气了，虽然还没开始进入zk-SNARK，但我们已经完成了最艰难的部分。如果转换部分没有理解清楚也没关系，你只需要知道：

通过zk-SNARK 实现零知识证明，实际上是要在zk-SNARK 的帮助下，验证当x= 1、2、3、……、n时，A(x) * B(x)–C(x) = 0，其中n 是RICS 约束的个数；而不同的零知识证明问题，区别只在于它们的A(x)、B(x)、C(x)不同。

三. 把多次验证转换为一次验证

对于包含n 个约束的零知识证明问题，需要进行n 次A(x) * B(x)–C(x)是否为零的验证。可不可以把n 次验证变为一次验证？可以。

1.定义t(x) = (x-1) * (x-2) * …… * ( x-n)，t(x)在x=1、x=2、…… 、x=n 处必然等于零；

2.那么如果有一个多项式h(x)，使得A(x) * B(x)–C(x) = t(x) * h(x)成立，便意味着A(x) * B(x)–C(x) 这个多项式可以被t(x)整除，那么这个多项式在x=1、x=2、…… 、x=n 处也必然等于零。

也就是说，验证A(x) * B(x)–C(x) = t(x) * h(x)，就能够一次完成全部RICS 约束的验证；而一旦这个验证通过，就可以相信输入为真。

现在终于可以把接力棒交给zk-SNARK 了，它要做的工作就是帮助验证A(x) * B(x)–C(x) = t(x) * h(x)。

验证的过程是怎样的？很简单。verifier（验证者）选择一个随机数x 发起挑战，prover（证明者）证明在这个x 处，A(x) * B(x)–C(x) = t(x) * h(x)。

在不知不觉中，一件关键又有趣的事情发生了：

证明者本来需要证明在x=1、x=2、…… 、x=n 时，A(x) * B(x)–C(x) = 0，这是一种推理式证明，就像我们解数学题，需要一步步地推导和计算，在这种证明过程中，要隐藏解题的知识是困难的。

但现在，推理式证明变成了交互式证明：verifier 在一个随机点上提出挑战，prover 给出这个点上的解响应挑战；prover 需要有「知识」才能计算出随机点上的解，但这个解本身不会泄露「知识」。

而这，就是零知识证明得以成立的前提，或者说，如果没有交互式证明这种证明方法，零知识证明这个领域便不会存在。

接下来只剩下一个问题：为什么能通过验证多项式上的一个点来确定两个多项式A(x) * B(x)–C(x) 与t(x) * h(x)是否相等？

这是由多项式的特性决定的，「一个多项式在任意点的计算结果都可以看做是其唯一身份的表示」。（引自Maksym）

用图形说明更为直观。下图是两个多项式，蓝色曲线是f(x) = x^3– 6 * x^2+ 11 * x– 6，绿色曲线是f(x) = x^3– 6 * x^2+ 10 * x– 5，不难发现，两个多项式只有微小的不同，但它们的曲线却是迥异的。

就像世界上没有两片相同的树叶，世界上也没有会在某个区域重合的两条不同曲线，它们只会在有限的点上相交。对于两个阶数为d（x的最大指数）的多项式，它们相交的点数不会超过d。

在本文的应用中，有一个多项式A(x) * B(x)–C(x)，一个多项式t(x) * h(x)，如果它们不相等，它们只会在最多d 个点上相交，也就是在d个点上的解相同。

这意味着只有当验证者选择的随机挑战点x 恰好是这d 个点中的一个时，才有可能发生误判，即在A(x) * B(x)–C(x) 与 t(x) * h(x)不相同的情况下误以为它们相同。

误判的概率存在，但我们不用为此担心，比较d 个点和x 的取值范围，这件事发生的概率极低；结合后续在zk-SNARK 协议中使用的密码学方法，这件事可以被认为几乎不可能发生。

那么现在，在全部的准备工作完成后，本文进入下一个阶段。对第一阶段的抽象总结就是：零知识证明的问题就是验证计算满足多个约束的问题，而多项式可以一个点验证多个约束。

第二阶段：使用zk-SNARK 完成零知识证明

得益于交互式证明和多项式的特性，我们可以通过验证挑战点x 上多项式A(x) * B(x)–C(x)的解与t(x) * h(x)的解是否相等来验证A(x) * B(x)–C(x) = t(x) * h(x)是否成立，这种方式是可以隐藏A(x) * B(x)–C(x)这个多项式的系数的。

多项式的系数就是零知识证明中的「知识」，最明显的，这个系数里是包含了想要隐藏的秘密输入（解向量s）的。

使用zk-SNARK 完成零知识证明，就是完成verifier 给出随机点进行挑战的工作和prover 给出随机点上的解完成证明的工作，这实际上是互不信任的verifier 和prover 之间的一场攻防战，他们使用的武器是密码学。

一.verifier 加密挑战点

分析需要被验证的A(x) * B(x)–C(x) = t(x) * h(x)：

1.t(x)是verifier 和prover 双方都知道的一个多项式，t(x) = (x-1) * (x-2) * …… * ( x-n)；

2.A(x) * B(x) – C(x)只有prover 知道，它的系数包含着知识；

3.h(x)也只有prover 知道，是用A(x) * B(x) – C(x)除以t(x)计算出来的，h(x)不能被verifier 知道，因为可以通过t(x)和h(x) 计算出A(x) * B(x) – C(x)。

为了清晰起见，先把A(x) * B(x)–C(x)写为p(x)，把要证明的问题简化为证明p(x) = t(x) * h(x)。

其证明过程包含如下3 步：

1.verifier 选择随机挑战点x，假设x= r；

2.prover 收到r 后，计算p(r)和h(r)，并把这两个值给verifier；

3.verifier 计算t(r)，然后计算t(r) * h(r)，并判断t(r) * h(r) = p(r)是否成立，若成立，则验证通过。

这实际上就是zk-SNARK 的基础工作流程，但直接这样做会有一个问题：

prover 是知道t(x)的，如果把r 给他，他就能够计算出t(r)，那么他完全可以构造出一对假的p(x) 和h(x)，使得p(r)= t(r) * h(r)，结果就是他虽然不知道真正的p(x)，却能骗过verifier。

解决这一问题的办法就是对r 加密，使得prover 可以计算某种形式下p(r)和h(r)，但却不能通过该形式下的t(r)构造假的满足验证要求的p(x) 和h(x)。

观察prover 的证明过程，他需要计算p(x) 和h(x)这两个多项式，但不管哪一个，其形式均为：c0+ c1x^1+ ……+ cnx^n；prover 本身知道c0、c1等等全部系数。

如果verifier 把x 给prover，假设x= s，prover 就能完成全部计算；但如果verifier 把加密后的s 给prover，prover 是不能完成计算的，因为他无法用加密后的s 计算出s^2、……、s^n。

所以当verifier 确定随机点s 后，需要把加密后的s、s^2、……、s^n 全部给prover，这样prover 才能完成计算。

在实际应用中，verifier 是把E(s)、E(s^2)、……、E(s^n)给到prover，其中E(s)是s 的加密值，E(s) = g^s (mod n)，这是一种同态加密方法。

同态加密有一个性质，就是先加密后计算的解与先计算后加密的解与是相同的。也就是说：

1.c0+ c1E(s)+ ……+ cnE(s^n) = g^(c0+ c1s^1+ ……+ cns^n）；

2.即，p(E(s)) = E(p(s)) = g^p(s)，h(E(s)) = E(h(s)) =g^h(s)；

3.那么，prover 就能通过计算p(E(s)) 和h(E(s))，得到g^p(s) 和g^h(s)。

此处只需要知道这种计算确实可行即可，如果想了解密码学部分的工作原理，可看我另一篇文章，《一文读懂零知识证明背后的简单逻辑》。

所以现在，证明过程变成了如下3 步：

1.verifier 选择随机挑战点x，假设x= s，然后把一整套s 的加密值给prover；

2.prover 收到后，计算g^p(s) 和g^h(s)，并把这两个值给verifier；

3.verifier 计算t(s)，然后计算(g^h(s))^ t(s)，并判断(g^h(s))^t(s) = g^p(s)是否成立，若成立，则验证通过，因为这意味着h(s) * t(s) = p(s)。

通过对随机点s 加密，可以避免prover 作弊，但prover 还有一个漏洞可钻，即他不使用verifier 给出的挑战点s 计算h(s) 和t(s)，而是用其他值计算并欺骗verifier。

所以verifier 还需要一个方法，该方法能够证明prover 给出的值确实是用s 计算出来的。

本文将不具体展开这一部分，简单而言就是verifier 除了选择随机数s 外，还要选择一个随机数α，prover 给出的解需要维持s 和α 之间的关系，如果这个关系被破坏了，则证明他没有用s 在计算。

该方法被称作指数知识假设，若想了解具体内容，可阅读Maksym 的文章。

在verifier 完成了他的防守战后，轮到prover 了。

二. prover 加密计算结果

虽然prover 只把多项式在挑战点x 上的解给了verifier，但如果多项式系数的取值范围较小，verifier 是有可能通过暴力破解从解计算出多项式系数，即知识的。因此，prover 需要对解加密。

证明过程变成如下3 步：

1.verifier 选择随机挑战点x，假设x= s，以及随机数α，然后把一整套s 的加密值、以及一整套α * s 的加密值给prover；

2.prover 收到后，计算g^p(s)、g^h(s)、g^(αp(s))；选择随机数δ 对解加密，变为(g^p(s))^δ、(g^h(s))^δ、(g^(αp(s)))^δ；然后把这3 个加密值给verifier；

3.verifier 计算t(s)，然后计算((g^h(s))^δ)^t(s)，并判断((g^h(s))^δ)^t(s) = (g^p(s))^δ是否成立，若成立，则意味着h(s) * t(s) = p(s)；

与此同时，verifier 还需要验证((g^p(s))^δ)^α = (g^(α*p(s)))^δ是否成立，若成立，则证明prover 给出的解是用s 计算出来的。

如此一来，prover也就完成了自己的攻防战。

三. 从交互变为非交互

zk-SNARK 的N 是指Non-Interactive，即非交互，但不难发现在上述的证明过程中，是需要verifier 和prover 交互的，而且我们都知道，交互式证明本身是零知识证明得以成立的前提。那非交互是指什么？

很简单，所谓的非交互只不过是把verifier 选择随机数的工作交给了「可信设置」来完成，也就是由一个可信任的第三方在证明开始前选择随机挑战点x。

这种改变对prover 没什么影响，因为他需要的始终是一组与x 相关的加密值，而不用管这些加密值来自verifier，还是来自可信第三方。但这种改变对verifier 有影响，因为他本来知道x，可以用x 计算t(x)，但现在他不知道了。

所以从交互到非交互，最主要的改变就是要在可信设置中把t(x)给到verifier，以便他能完成验证工作。

t(x)需要被加密，因为prover 可以利用t(x)的值做弊；但加密后的t(x)又要能被用于计算，因为verifier 需要计算h(x) * t(x)。这便是这一部分的难点所在：h(x) 和t(x)都是加密值，但之前使用的同态加密方法不支持两个加密值的乘法。

zk-SNARK 使用配对操作解决这一问题，用公式表达就是e(g^a, g^b)= a^g * b^g=（a * b）^g，其中g^a 和g^b 是加密值。配对操作可以把两个加密值映射为它们的乘积。

可信设置通过该方法把t(x)给到verifier。于是，证明过程变为如下3 步：

1.可信设置：可信第三方选择随机挑战点x，假设x= s，以及随机数α，然后把一整套s 的加密值、以及一整套α * s的加密值给prover；再把t(s) 的加密值g^t(s)和α 的加密值g^α 给verifier；

2.prover 收到后，计算g^p(s)、g^h(s)、g^(αp(s))；选择随机数δ 对解加密，变为(g^p(s))^δ、(g^h(s))^δ、(g^(αp(s)))^δ；然后把这3 个加密值给verifier；

3.verifier 计算并判断e(g^p, g) = e(g^t(s), g^h)是否成立，若成立，则意味着h(s) * t(s) = p(s)；g^p、g^h、g^p′ 为prover 提供的3 个加密值的简写。

与此同时，verifier 还需要验证e(g^p′ , g) = e(g^p, g^α)是否成立，若成立，则证明prover给出的解是用s计算出来的。

到这一步，我们就基本完成了zk-SNARK 协议的构造工作，它可以在不泄露多项式系数的情况下证明多项式，即实现零知识证明。

额外一提，在可信设置阶段为prover 和verifier 准备的加密值被称作CRS （common reference string），用以生成CRS 的随机数是要被销毁的，它们可用于作弊；可信设置需要可信第三方，通过什么机制选择可信第三方是一个议题。

可信设置影响zk-SNARK 的通用性，因此也发展出了不需要可信设置的zk-SNARK，其意义重大但理解起来并不难：只不过是换了一种方式提供随机挑战点x。

不管有多少种zk-SNARK，我们需要知道的是：零知识证明是一种交互式的证明系统，对它而言重要的、也是与安全和资源相关的一个工作就是，以什么样的方式提供随机挑战点。

四. 把p(x)还原为A(x) * B(x)–C(x)

zk-SNARK 协议需要证明的多项式是A(x) * B(x)–C(x)，如果把p(x)还原为A(x) * B(x)–C(x)，相较于p(x)时的协议，主要区别在于：

1.prover 需要分别提供A(s)、B(s)、C(s)的加密值；

2.verifier 需要验证A(s) * B(s) = h(s) * t(s)+ C(s)；

3.在对prover 的计算进行约束时（比如必须用s 计算），需要有3 个不同的α 分别对应于A(s)、B(s)、C(s)；当prover 对计算结果加密时，需要有3 个不同的δ分别加密A(s)、B(s)、C(s)。

在具体的zk-SNARK 协议中，还会通过一些设计来改进协议，本文不再一一论述，zk-SNARK 的探秘之旅到这里就全部结束啦。

在旅程结束之际，有几点说明：

1.zk-SNARK 有不同的组合实现方法，本文主要是以Pinocchio 协议为线索；密码学所涉甚广，文章难免会有疏漏和理解不当之处，请不要尽信，深入研究需以论文为参考。

2.本文在构建zk-SNARK 协议部分（第二部分）采用了Maksym 文章的框架；Maksym 的文章极有条理地介绍了zk-SNARK，但可能对于不太具备相关背景知识的读者来说仍有一定的理解难度，这也是我写这篇文章的原因所在。

那么，如果你读到了这里，谢谢你；如果你在知晓零知识证明的整个实现过程后，被其中的数学之美打动，那我太开心了。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2Fe7FmtvjKLazNg--_lY0HlGB5DpSJCeoKTAf2D02uYS8&height=800&display=iframe

在这篇文章中，我将试着纠正这些错误认识，如果你正在学习零知识证明并觉得一头雾水，希望我犯过的错误能对你有所启发；如果你才刚开始去了解零知识证明，希望本文有助你搭建一个基础的框架。在我眼中，文中讨论的这些点恰是零知识证明这件事的奥妙所在，它们揭示了为何零知识证明是行得通的。

需要注意的是，下述的这些所谓纠正后的认识依然可能是不准确的认识，你只能用它做参考，并对它保持质疑。

一. 零知识证明是一种证明的方法

假如我们知道宇宙演化的算法，但不知道宇宙的初始值，这时候Alice说她知道这个初始值，我们不信，于是她把一组数据作为算法的输入，一通计算，得到一个和我们所处的宇宙一模一样的宇宙，这时候我们是不是会相信Alice的那组数据就是宇宙的初始值？我们会相信。

这就是一个零知识证明，确切来讲它应该叫零知识的证明。Alice通过这种证明方法可以证明自己拥有知识（宇宙的初始值），同时又不泄漏知识。

如果观察Alice的证明过程，就会发现它只涉及三个对象：初始值，演化算法，演化结果（现状），我们可以把其抽象为：算法的输入、算法、算法的输出，而零知识证明要做到能够证明输出确实是输入通过确定的算法计算出来的。

这样一来，如果验证者看到输出是对的，同时证明显示输出是用输入计算而来的，那么验证者就可以在不知道输入的情况下相信输入。

随之而来的问题就是：如何证明输出是由输入通过某个确定的算法计算出来的？而不是其他的输入、其他的输出、或者其他的算法？这便是零知识证明协议要解决的问题。

在zk-SNARK系列的协议中，采用的方法是把输入、算法、输出转换为一个多项式，通过多项式把这三者绑定到一起。如果能够证明Alice知道这个多项式，就可以认为Alice的输出是输入通过算法计算出来的。

总而言之，因为零知识证明被广泛地用于实现隐私保护，隐私保护又意味着不泄露数据，所以我们会比较容易在一开始就围绕它是怎样隐藏数据的为方向去思考。但如果以「它是如何实现零知识的」为线索去认识它，就会一团乱麻，而如果以「它是如何实现证明的」为线索，就会一条线清晰地贯穿始终。

二. 零知识证明实现特定知识的「零知识」

对于哈希函数、基于椭圆曲线的加密算法等密码学工具而言，几乎在任何情况下给出任何数据，它们都能够把这个数据隐藏起来（实践角度如果输入空间过小是无法隐藏的）；当我们知道零知识证明可以不泄露知识时，往往也会认为能够把任意的知识交给它来处理，但实际上，零知识证明只能在特定的场景下实现特定知识的「零知识」。

回到Alice的例子，在她的零知识证明过程中，至少涉及到三种可以被称为知识的东西：1.宇宙的初始值；2.宇宙的演化算法；3.宇宙的演化结果。可以通过零知识证明不泄露这些不同类型的知识吗？不能，我们甚至必须知道宇宙的演化算法和演化结果，才能证明Alice是否知道宇宙的初始值。

换言之，零知识证明只能证明但不泄漏「输入」这个位置上的知识。当在思考或使用零知识证明协议解决问题时，需要看不想泄漏的知识是否可以被放在输入的位置上，并能通过确定的算法产生一个可判断真伪的输出（更准确而言在于能否构造一个 NP-relation）。

举例来说，如果Alice在不附带任何条件的情况下声称自己知道一个数x，我们是难以用零知识证明证明她知道数x但又不泄漏x的；但如果Alice声称自己知道一个数x满足某个条件a，那就可以先有一个算法，该算法的输出一定满足条件a（可以转换为输出一定为真），然后，如果输入x能够满足这个算法，就可以相信数x满足条件a，这也意味着Alice能够在不泄漏数据的情况下使用数据。

不过这里有另一个容易混淆的地方，就是零知识证明并不能直接证明某人有解某个问题的能力，比如有解地图三染色问题的能力，它证明的是某人知道该问题的一组解。（注：可以通过让证明者解多次不同的三染色问题实例，证明证明者有计算能力可以解三染色问题。）

这与零知识证明协议的构造有关，如前所述，它证明的是一个把输入、算法、输出绑定到一起形成的多项式，而不是某个求解算法的多项式，证明这个多项式成立，实际上是在证明输入、算法、输出之间具有确定的关系，而不是在证明其他事情。

一方面，这种构造限定了零知识证明的应用，它只能在输入、算法、输出齐备的情况下实现输入的零知识证明，如果输出为真，就可以相信输入为真；但另一方面，这种构造扩展了零知识证明的其他应用，即如果输入为真，我们也可以相信输出为真。

三. 零知识证明为何与区块链如此契合

区块链激活了零知识证明的应用，零知识证明则提供给区块链一种卓越的解决方案，两者能够彼此促进更主要的原因在于区块链的系统特点和零知识证明的证明方法特点，而不仅仅因为零知识证明能保护隐私。

回忆我们做数学的证明大题，那是一种推理式证明，有着严格的可被验证的推导过程；但还有另一种证明叫交互式证明，它不通过推导，而是借助于证明者和验证者的交互，验证者向证明者提出问题，如果证明者能给出正确的回答，就认为证明者声称的命题是对的。

举一个不算特别准确的例子：Alice声称当宇宙的输入为x时，输出为42，推理式证明是指她要代入x一步步计算，算出42，并把计算过程展示出来以供验证；交互式证明看起来则是：给验证者一台平行宇宙穿梭机，验证者随机穿梭到有输出的宇宙（输入都为x），然后根据宇宙的输出是否为42来判断Alice声称的是否可相信。

相较于推理式证明，交互式证明的验证者只需验证一个点或几个点，这是零知识证明与区块链契合的一个重要原因：区块链是一种分布式系统，每个节点都要重复完成验证的工作，受益于只需验证挑战点，简洁（Succinct）零知识证明系统可以减少验证的工作，它提供给验证者的是一个比原命题小得多的证明。

形象化而言就是：在非区块链的系统中，零知识证明减少一份验证者的工作，同时可能增加一份证明者的工作（不一定是1：1的关系），这或许就算不上好处；可在区块链系统中，零知识证明每减少一份验证者的工作，如果有100个节点，就能减少100份的总工作量，而此时增加的仍然只是一份证明者的工作，那么这种好处就很明显了。

此外，单从用零知识证明来解决问题的角度，区块链上的空间资源和时间资源都是极为稀缺的，而简洁零知识证明产生的证明小、验证时间短，适合作为区块链上的解决方案。

但需要注意，交互式证明只需验证挑战点，与之相伴的推理式证明和交互式证明的另一个区别就是：推理式证明能够证明一个命题是否成立，交互式证明却只能证明一个命题在概率上是否成立。

也就是说，假如证明者声称的命题是错的，但当验证者提出问题时证明者蒙对了答案，验证者会认为命题是对的。因此在零知识证明协议的设计中，非常重要的一部分工作就是用数学的方法让证明者几无可能蒙对答案（基于对证明者计算能力的某种假设，证明者使用虚假证明使验证者信以为真的概率是一个可忽略的函数）。

回到zk-SNARK。zk-SNARK把证明输入、算法、输出的关系转换为证明一个绑定三者关系的多项式，就能够给验证者提供一台平行宇宙穿梭机。在皮诺曹协议中（zk-SNARK的一种），交互式证明是这样的：

证明者声称自己知道一个多项式p(x)，该多项式是可以被分解成t(x)和h(x)的，即p(x)=t(x)·h(x) ；验证者随机选择一个挑战点s，通过对s加密让证明者只能算出p(s)和h(s)，而无法计算t(s)；证明者把p(s)和h(s)给验证者，验证者手中有t(s)，就可以计算t(s) ·h(s) 是否等于p(s)，如果相等，就相信证明者确实知道一个多项式。

而知道一个多项式，就意味着输入、算法、输出之间存在确定的关系，如果输出为真，我们就可以在并不知道输入的情况下相信输入为真，即实现零知识证明。那么到现在，我们就不仅知道了零知识证明是一种证明的方法，而且知道了它是如何来做证明的。

四. 不要被「无需交互」欺骗

零知识证明是一种交互式的证明系统，它依赖于两个重要元素：交互、随机。

交互是指一方提出挑战，一方给出证明，如果没有这种交互，零知识证明就无法开展；随机是指挑战点必须是随机的，也就是不能被证明者预测到的，不然证明者就可以在挑战点上构建一个假证明。如果Alice事先知道验证者会去73号平行宇宙，她就可以提前把73号的答案改为42。

那为什么zk-SNARK称自己为非交互（Non-interactive）？在所谓的交互式证明中，需要先由验证者给出随机点，再由证明者构建证明；在所谓的非交互证明中，比如皮诺曹协议，它不再需要验证者给出随机点，转而由一个可信的第三方在初始化阶段给出随机点，这样一来，证明者就可以直接给出证明，验证者只需要验证证明即可，验证者和证明者之间不再需要交互。

可信第三方给出随机点就是皮诺曹协议的可信设置（Trusted-setup），相较于直接交互，可信设置在给出随机点s之外，还需多给出一个t(s)，因为验证者需要用t(s)进行验证。但问题在于t(s)不能被证明者得知，否则他可以轻易构造出一个假证明，所以需要用一个方法对t(s)做变换，使得变换后的t(s)可用于验证，但不可用于证明者的计算。皮诺曹协议选择双线性配对操作来完成这一工作。

所以无需交互更多的是一种技术上的处理，对于零知识证明而言，验证总是在随机挑战点上完成的，所不同的是这个挑战点从何而来。不同的具体协议，在用非交互取代交互时选择的方法会有比较大的区别，即便它们都叫zk-SNARK协议，这是额外需要注意的。

五. 模块化和年轻学科

希望上述四点能对你理解零知识证明有所帮助，在文章的最后，是两个小的可能会出错的认识。

第一，零知识证明协议，比如zk-SNARK，并不是围绕某个确定的核心公式展开的，它是模块式的，每个模块负责完成自己的工作，然后大家组合到一起。所以如果你想通过抓住一个核心点来理解零知识证明就会比较困难，更好的方法是通过一条线索来理解它。

同时，zk-SNARK不是指某个具体的协议，它是一类方法的统称，组成它的那些模块大体不会变，但这些模块选择的具体方法是可变的。所以当你看到不同的zk-SNARK时，不用迷惑，跳出来站在模块的高度去看它，而不是陷入具体的方法。

第二，或许因为零知识证明是在与数学打交道，它常常带给人一种古老学科的感觉，但实际上零知识证明的研究还很早期，零知识证明的应用更是刚刚开始。当选择使用零知识证明时，开发者们并不是只需工程化实现一套成熟的理论，而是要一边找到/发明方法一边应用方法。

所以也许我们可以给零知识证明多一些的耐心，它可能是未来数字世界重要的组成部分，它不仅是使用构成数字世界的数据的工具，也是节省数字世界中最稀缺资源的工具。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2Fo5xSSIkq0Ag_EA8C6OWakyXL1FpC72jrbmw_uLfpIjw&height=800&display=iframe

以太坊也一直在尝试各种方法以提升性能，这篇文章将试着介绍在以太坊2.0中，分布式系统设计如何与密码学设计结合，实现公链在性能上突破。

一. 状态分片：从单账本到多账本

区块链是一个分布式账本，出块节点是记账的矿工，它们负责把交易写入账本。除了竞争记账权，出块节点最重要的工作，或者说本职工作就是检查自己打包的这些交易是否合法。完成这个工作并不难，因为出块节点手中握有账本，它去查一下交易发送方有没有这笔钱即可。

对于未分片的公链，所有节点都持有一个相同的账本；而为了防止记账冲突，每次也只允许一个出块节点记账。以太坊提出状态分片，实际上就是把一个账本分成多个账本，这样一来，一些节点在1号账本记账，一些节点在2号账本记账……（相当于7-11从一个收银台增加为多个收银台），多个节点同时记账，整个公链的性能就会得到质的提升。

但如果我们把出块节点与账本/分片的关系固定，比如确定由a、b、c、d四个节点负责1号账本，那坏人只需收买a、b、c、d中的一部分就能破坏账本，公链在提升性能的同时，安全性同比例下降。

因此，出块节点需要被随机、动态地分配到不同账本，以此保证分片后的公链与未分片的公链具有相同的安全性。但动态分配会带来新的问题：节点手中该拿哪一个账本？它可能会被分配到64个账本（以太坊计划启动64个分片）中的任何一个去记账。

以太坊给出的方案是出块节点不拿任何一个账本，或者说，让出块节点不需要账本就能记账。这会带来两大好处，一是不管节点被分配到哪个分片，它都可以立刻开始记账（出块）工作，几乎不用花费时间来获得以及同步该分片的账本，节点也因此可以在不同分片间轻松跳转；二是出块节点不需要存储账本，也就不需要高硬件配置，任何人抵押32ETH就能成为一个验证者，这非常有助于以太坊PoS的去中心化以及整个公链的安全。

但新问题跃然纸上：如果出块节点手中没有账本，它怎么知道交易发送方的钱够不够？密码学就在这时候登场了。

二. 向量承诺：从查询到证明

不需要账本就能记账听上去不可思议，但其思路是简单的：在以前，节点有账本，一笔交易来后它翻看账本，查询交易是否合法；在以后，节点没有账本，交易发送方在提交交易的同时需要提交一个密码学证明（为了区分，后文特指密码学证明时都用proof表示），自己证明自己的这笔交易是合法的。

可出块节点为什么能够通过一个proof来判断某笔交易是否合法？这里涉及到两个密码学的重要概念，第一个叫「成员证明」。它指的是通过某种方法，证明个体是群体的一部分。如果能够证明某个账户状态是整个账本状态的一部分，出块节点当然就能相信这个账户状态，并以此为根据进行交易合法性的判断。

第二个叫「向量承诺」，它可以将群体，不管这个群体有多庞大，压缩成仅仅一个数，然后给出成员证明，该成员证明表明的是某个个体是属于这个数背后所关联的群体的，且能证明个体在群体中的位置，以及进行证明的更新。

Merkle树是可被用于向量承诺的方法之一，我们以它为例来看如何实现成员证明。下图是一棵Merkle树，最下一层的叶子节点存储的是应用数据，其他非叶节点存储的是其子节点的哈希值。如果知道绿色节点和所有黄色节点的值，就可以从下至上进行三次哈希运算，得到该Merkle树根的值，也就是6c0a。

那么，如果验证方手中有树根的值（6c0a），证明提供方把绿色节点的值和所有黄色节点的值作为一个proof给验证方，验证方是不是就能通过计算三次哈希的值是否等于6c0a来判断绿色节点的值是否在这棵Merkle树中？答案是可以。这就是对绿色节点属于Merkle树的成员证明，它是以向量承诺的方式完成的，而这也几乎就是比特币SPV节点（简单支付验证）的工作方式。

如下图所示，SPV节点不存储完整的区块/账本，但存储了每个区块中Merkle树的树根（此Merkle树的叶子节点存储的是该区块所有交易），当它需要查询一笔交易是否存在时，会找全节点要一个该交易的proof，该proof类似于上文中绿色节点和黄色节点值的一个打包（Merkle路径），然后SPV节点会计算这些值的总的哈希值是否等于自己手中Merkle树根的值，如果相等，则说明这笔交易是该Merkle树的一个成员，即这笔交易是存在的。

SPV节点通过成员证明判断交易是否存在，该证明系统包含三个部分：节点手中有一个简短的摘要（树根）；证明提供方给出一个proof；节点计算此proof，看是否与自己手中的摘要相符合。到此，我们就完成了「不需要账本就能查账」，它是把查询思路改为了证明思路；接下来我们要实现的是「不需要账本就能记账」。

对于以太坊2.0分片上的出块节点而言，它的证明系统同样是由摘要、证明、验证这三部分构成，但它要做到是使用交易发送方（而不是全节点）给出的proof来判断一笔新交易是否合法（而不是旧交易是否存在），并以此判断为基础记账。

三. 无状态：从证明账本到证明行为

想象有一个很小的村庄，这个村庄每天只有3笔村民间的交易，村长拿着账本负责记账。A现在要给B转5块钱，传统的思路很简单：村长看A的账户上是否有5块钱，如果有，就记下这笔新交易。

现在换一个思路：假设A在今天早上要给B转5块钱，村长知道A的账户在昨天早上有10块钱，那么如果A能够证明昨天的3笔交易都和他没有关系，是不是就意味着他的账户在今天早上依然有10块钱？这样一来，村长是不是不用查账本就能放心记下这笔新交易？答案是肯定的。

如果A昨天有一笔交易怎么办？很简单，A这时不是证明自己没交易，而是证明自己昨天只有一笔交易，且那笔交易用掉了3块钱；村长就知道他还有7块钱，可以记下新交易。

这个思路的转变至关重要，你一定要去理解它，这是「无状态」这件事的奥妙所在。不难发现，即使是不拿账本的SPV节点，它在查询交易时实际上也是要用到账本，或者说状态的，只不过它不是自己存储状态，而是去找全节点要这个状态的证明；但在这个新思路下，状态的作用可以彻底被「行为证明」取代，那么这条链就能够以无状态的方式去设计。（注：行为证明这个词并无出处，是作者为了易于理解这样描述的）

如何实现无状态？如何借助于行为证明完成记账？依然是成员证明的方法。能够利用Merkle树来完成这种成员证明吗？理论上可以，但对于「无状态」这个应用场景来说，用它的开销过大。在本文中，我们将介绍通过「可聚合子向量承诺」来进行成员证明，以实现无账本记账。

可聚合子向量承诺（aSVC）是一个最新的研究成果，来自于论文《无状态密码货币的可聚合子向量承诺》，作者是Alin Tomescu、Ittai Abraham、Vitalik Buterin（以太坊）、Justin Drake（以太坊）、Dankrad Feist（以太坊）、 Dmitry Khovratovich（以太坊）。其工作过程是这样的：

1.初始化分片，即在账本建立时确定账户的初始情况。假设某个分片建立时有100个账户，这些账户都有初始的余额，我们需要用v(i)代表第i个账户，它是（地址i，余额i）这样的一对值；用V代表全部账户，它是（地址1，余额1）（地址2，余额2）……（地址100，余额100）这样的一组值。

同时需要生成两个值，第一个叫c，它是对V的承诺，代表的是此时该分片所有账户和账户里的余额。出块节点手中都握有c，（可以对比Merkle树根来便于理解），它是将来用于验证的摘要。第二个叫π(i)，它是对v(i) 是V的成员的证明，代表第i个账户及该账户的余额是在总账本V中。每个账户都握有且只握有自己的π(i)，它是将来发送交易时提交给出块节点的proof。

在初始化阶段，承诺和证明的生成是需要初始「状态」的。

2.第一笔交易。账户 i发起整个分片的第一笔交易，此时它需要把π(i)和交易一起提交给出块节点，出块节点对π(i)进行计算，看结果是否与自己手中的c相符合，如果一致就可以相信发送方账户确实有多少余额，并以此判断它提交的交易是否合法。

3.接下来是关键之处：对c和π(i)进行更新。

c（对整个账本的承诺）不再是根据状态生成，它是用第一笔交易发生之前的c，以及第一笔交易引起的余额变动生成的；π(i)（账户对自己的证明）也不是根据状态生成，它是用第一笔交易发生之前的π(i)，以及第一笔交易对该账户的改变生成的。

在完成c和π(i)的更新之后，出块节点手中便有了可以承诺所有用户新余额的新承诺（新c），账户手中也有了可以证明自己新余额的新proof（新π(i)）。

以此类推，每笔交易都会改变一次c，改变一次全部π(i)，但这种改变不再依赖于状态数据，它取决于旧的c和π(i)，以及上一笔交易；当需要验证一笔新交易时，出块节点手中总有最新的c，它通过c和账户提供的π(i)就能判断某笔交易是否合法，是否可被打包进区块。

那么到这一步，就终于实现了「不需要账本就能记账」，不管对于出块节点，还是对于账户，它们手中握着的都是某种密码学的证明，而不是账本的状态。另需一提的是，无状态与分片似乎是绝配，但无状态并不是针对分片的一种设计，它是针对公链的一种设计。

aSVC的设计目标是要成为一个高效的成员证明，降低上述过程中的通信开销和计算开销，使得这种方案可用于无状态区块链的实现。从论文来看，使用aSVC方案，c和π(i)的大小仅为几十个字节，π(i)的更新时间为O(1)，验证时间也为O(1)，该方案还支持把多个proof聚合为一个O(1)大小的proof，这种低开销的实现正是aSVC的意义所在。不过就像Vitalik在以太坊研究者论坛中展开的相关讨论，aSVC还需要做进一步的优化。

文章的最后是对全文的简要总结：分布式系统的状态分片设计与密码学的成员证明设计相结合，实现以太坊2.0在性能上突破。

1.为了安全，以太坊2.0的状态分片需要随机分配出块节点。
2.如果出块节点需要账本，账本同步会成为新的性能瓶颈，账本存储也会影响PoS的去中心化。
3.是否有不需要账本就能验证余额的方式？
4.第一个思路转变：把查找账本的方式改为证明账本的方式。这需要借助于密码学来完成。
5.第二个思路转变：把证明账本状态的方式改为证明交易行为的方式，实现无状态和无需账本的记账。这需要借助于密码学来完成。
6.密码学的工具有很多，当有了目标后，需要根据应用需求选择和组合适当的工具形成方案，并对方案进行优化。

附：可聚合子向量承诺

在文章中我们用自然语言描述了aSVC的工作，如果你感兴趣，可以通过aSVC 的API定义来更清晰地了解它。如下图所示：第一个红框是初始化时生成承诺c，第二个红框是根据交易更新c；第一个绿框是初始化时生成证明π(i)，第二个绿框是根据交易更新π(i)；蓝框是出块节点用c和π(i)做验证。

在上述过程中，最核心的工作是根据交易引发的变动把旧的c变成新的c，把旧的π(i)变成新的π(i)。不但要能够完成更新，且这种更新的开销是可以被接受的，这是aSVC要解决的关键问题。我们以c的更新为例来介绍aSVC是如何做的。

如前文所述，c承诺的是V，从c到新c，实际上就是从承诺V到承诺一个新的V。对V来说，它是由一系列的点构成的，（地址1，余额1）是一个点，（地址2，余额2）是另一个点……（地址100，余额100）是第100个点。

借助于拉格朗日插值法，可以把这一系列的点变成一个多项式（该多项式代表的曲线经过所有这些点），这意味着可以把对一系列点的承诺变成对一个多项式的承诺；从c到新c，也就等价于从承诺一个多项式到承诺另一个多项式。而多项式有着各种神奇的属性，对多项式及多项式变换的承诺可以是小的、快速的。那么通过这种从点到多项式的转化，就可以把c的更新开销变为可接受的。

但这只是对aSVC方案思路的一个简单、片面的介绍，在该方案中还使用了诸多其他工具和方法，而且它依然在追求更好的设计。如果你想更多的了解它，可以去阅读原论文，其中的3.1节和4.1节是最有助于理解整篇论文的部分。 论文：《Aggregatable Subvector Commitments for Stateless Cryptocurrencies》

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2Fh-kVEfuf8VWrPnfA9FLyao0ZXW2UjmjGhfmRvURNyC0&height=800&display=iframe

本文将列举三个web3.0 的例子，再基于这些例子做更进一步的观点的讨论。

第一部分：实例

01：10KTF、Gucci、Bored Ape & Cool Cats & World of Women

关键词：乐高、token

10KTF、Gucci、NFT 项目，三者有什么关系？答案是你可以在10KTF 这个裁缝铺为你的NFT 定制并「穿上」正牌的Gucci 时装，NFT 可以是Bored Ape，也可以是Cool Cats、World of Women 或其他10KTF 已支持的项目。

在这个过程中存在两个合作，一个是10KTF 与Gucci 的合作，一个是10KTF 与NFT 项目的合作。前一种合作方式（web2.0）是现实生活中常常可见的品牌间的合作，它是由官方授权、官方确定合作内容、官方执行合作，可以概括为是一种需要许可的、自上而下的合作。

后一种合作方式（web3.0）则截然不同 ，它无需许可：10KTF 为WoW 制作时装，但它不需要获得WoW 的许可；它自下而上：Women 穿上Gucci，完成了合作，但WoW 项目方不需要去执行这件事，它甚至可以对这件事毫不知情。

对于不熟悉区块链的人来说，前一种合作方式似乎是品牌间合作的唯一方式，后一种合作方式较难理解。但对于熟悉区块链的人来说，后一种合作方式并不陌生，它很久前就已经在DeFi 领域发生，我们称其为DeFi 乐高：把品牌或项目理解为协议，10KTF 与NFT 项目间的关系实际上就是两个协议的连接，而NFT，也就是协议下的token，是连接的作用体。

在协议视角下，我们称这一现象为NFT 的可扩展性、可组合性；如果转换成合作视角，则是以NFT 为基础，可以实现一种在web2.0 下难以想象的合作的广度和自由度，以及由此而生的可能性。

10KTF 与NFT 项目的连接只是简单一例，它展示了以增加属性的方式来组成乐高；Loot 则是目前最具代表性的一例，它展示了丰富的组成乐高的方式，比如抽取属性；CyberKongz 是自己进入其他项目组成乐高，为此它进一步抽象原NFT，制作了NFT-Bound 叫On Chain Kongz，便于进入其他项目时的渲染；而Legend Maps 则恰恰相反，它欢迎其他项目进入自己组成乐高，为此它开发访客集成功能，用以其他项目进入时的映射和转换……

这种连接或组合带来怎样的可能性？以游戏为例，在web2.0 下，游戏是属于某个公司的，开发和运营也由他们来完成；但在以NFT 为基础的体系中，游戏是开放的，所有人都可以参与进游戏的开发，在自己擅长的维度上对游戏进行扩展，一个游戏便可以是一个没有边界的宇宙。

也正是因为连接带来的可能性，我个人喜欢项目的合作行为而不是收购行为。收购是一种web2.0 的行为，它扩大节点；合作是一种web3.0 的行为，它扩大网络。

在NFT 乐高中，处于核心位置的是token，不同协议基于token 完成对原协议的扩展或组合。cc0 协议被认为重要，但它真正的意义并不在于现实世界中的版权，而是在于它「拿走」了token 的束缚，使得token 可以被接入，可以被扩展和组合。（注：cc0 不是对NFT 持有者所拥有的权力的准确描述，只是在还没有专用词汇下较为接近的一种表达）

虽然在各种喧嚣之下几乎被忽略，但从长远以及普遍意义上来说，NFT 的生命之泉在于NFT 是token 。

在我快要完成这篇文章的时候，Smart Token Labs 的@VictorZhang 和我聊起TokenScript 的一个应用方向：NFT 衍生品、NFT 共创，任何想要涉足这些方向的项目，都可以直接使用TokenScript 下的开源技术，项目只需要专注于其自身的创意、营销即可。

TokenScript 为搭建NFT 乐高提供了工具，如果对NFT 的相关应用方向感兴趣，可以关注并使用该项目，比如你是一个首饰设计师，便可以为WoW 或任何PFP 设计项链和耳环，然后使用TokenScript 「穿戴」到WoW 身上，卖给WoW  的持有者。

02：一个捐赠合约

关键词：网络、地址

首先声明，本文不讨论也不希望讨论任何政治话题，选择此例仅因为它可以较好地体现出web3.0 和web2.0 的不同。

在乌克兰战争爆发的第二天，fxhash（一个生成艺术NFT 平台）主导建立了一个捐赠合约，该平台未来一周的全部收入将进入这个合约，被捐赠给乌克兰平民；合约发布的当天，Versum（一个数字艺术NFT 平台）上的诸多艺术家参与进了这个捐赠活动，他们创作主题NFT 发布在Versum 上，并把销售收入捐给乌克兰，也就是把销售的收入地址指向这个捐赠合约的地址；还有一些大本营不在Versum 的艺术家，他们也在各自习惯的平台上发行了NFT，并把销售收入指向这个捐赠合约的地址。

当分布在各个平台的、为这次捐赠而创作的艺术作品越来越多时，@NFTBiker（工具狂人）在nftbiker 上为收藏者提供了统一的收藏页面：所有收入指向捐赠合约地址的NFT 都会进入这个页面，不管该NFT 是在哪个平台发行；而所有收藏者，如果想通过购买艺术品进行捐赠或想知道该主题下有没有自己喜欢的NFT，都只需要打开这个页面，而不用去各个不同的NFT 平台寻找。

以上对这件事的描述用的是区块链行业的词汇，现在让我们试着用web2.0 的词汇来描述这件事：

• 一个互联网公司要把自己未来一周的全部收入作为某件事情的专用资金，决定做出后它只用几行代码就完成了这件事，其中不需要财务部门和业务部门的参与，而且没有人能在捐赠上作弊。

• 一个人在社交网络上求助或募资，并留下了自己的账号；电商平台A上的一个农民可以把自己当天在莴笋这个单项上的收入捐赠给这个人，电商平台B上的某电脑公司可以把自己未来三天的全部收入捐赠给这个人……这些不同平台上的商家的捐赠的实现，并不需要平台审批，同时也不需要平台在技术上或其他方面的支持。

• 一个消费者想要通过购买间接地捐赠，他只需要打开某个特定的网页，在这个页面上，不仅有A平台上农民的莴笋，也有B平台上电脑公司的电脑等等，整个互联网中只要是把销售所得捐给了求助者的商品，不管这件商品在哪个平台售卖，都会出现在这个页面。

• 某消费者购买了一个参与捐赠活动的键盘，他支付的钱会在几分钟内无损耗地出现在求助者的账号里，哪怕这个求助者是太平洋某个小岛上的居民，而消费者居住在冰岛的最北端。

虽然用web2.0 的词汇描述了整件事情，不过你觉得这些事会在web2.0 的网络中发生吗？它们实现起来容易吗？

我不知道该如何去定义web3.0，但可以看见一个与web2.0 截然不同的网络空间，在这个网络空间里可以轻松实现的事情，在web2.0 的网络中是做不到的。我认为这个新的网络空间就是web3.0。

在这个新的网络空间里，可以短时间、低成本、全球范围的形成一个个具体的互联的网络，用于完成特定的工作或实现特定的功能或其他，这个网络可以是临时的，也可以是永久的，任何人或项目与该网络的关键地址发生关系，它就是组成该网络的一员。地址在这个具体网络的形成过程中扮演着最重要的角色，地址的关联组成网络。

03：HEN创始人关掉项目

关键词：服务器、智能合约

2021年11月12日，HEN（Hic et Nunc）的创始人crzy 关掉了HEN，但HEN 的用户们并没有因此受到影响，艺术家继续在HEN 发NFT，收藏者继续在HEN 买东西，当天的HEN 上甚至出现了很多嘲讽/纪念这个事件的NFT。

作为HEN 的高频用户，我几乎从不打开HEN，当需要买东西时我用hic，因为它的follow 功能做得好；当需要卖东西时我用henext，因为它的界面容易一眼看出自己不想要的；当需要查库存时我用objkt，因为它的分页展示用起来习惯……

这是在web2.0 下无法想象的场景：淘宝停止运营了，淘宝的APP 也从手机上消失了，但大家依然使用淘宝买卖东西；滴滴打车不再提供服务了，滴滴打车的APP 也没有了，但司机和乘客还在用滴滴打车达成交易和出行……

然而在web3.0 下，这很正常。功能不是由某个服务器提供，而是由智能合约提供；前端可以关掉，但智能合约关不掉。

本文将不在此点上做展开，因为web2.0 和web3.0 的这一区别是易于理解且已经被大多数人接受的。文章接下来进入第二部分，它以上述三个例子为基础，提出并讨论三个观点。

第二部分：观点

01：区块链是web3.0 的基础设置

如果认可上文描述的场景是web3.0 中的场景，那么web3.0 的基础设施一定是区块链，因为构成上述web3.0 网络的关键要素——token、address、智能合约——都在区块链上，没有其他技术或工具能够替代。之所以提出这一观点是想说，只要web3.0 而不要区块链是做不到的，只有先理解并正视这一问题，才能少走弯路。

我个人也更倾向于认为web3.0 的基础设施只有区块链，这样做的好处在于能更清晰地看到整个事物：太多项目称自己是web3.0 基础设施，但它们无非是更接近区块链（包括服务于区块链），还是更接近用户，缺少了它们中的哪一个web3.0 也照样存在。

如果以此为前提去看，就能看见这些项目具体是在做什么，进而能看见它在整个堆栈中的位置，它与堆栈中其他事物的关系；而如果一股脑接受这些项目都是基础设施，不仅会让web3.0 这个概念变得虚无起来，因为难以说清这一堆基础设施之上到底是什么，也会让web3.0 中不同事物的关系变成乱麻，因为找不到线索来串起它们。

我想再感慨一下token 和address 在web3.0 网络中的重要性，它们简单却能以它们为基础带来无限的可能，它们简直迷人。

02：在web2.0 中扼住咽喉的，在web3.0 中只是平常

在web2.0 网络中，聚合器是最大的赢家，所有的节点（用户、服务提供方、服务需求方等）都要通过它来产生关联。节点存在于聚合器里，节点间的关系网络也存在于聚合器里。

但web3.0 是截然不同的一个体系，节点不是创建在聚合器的服务器里，而是创建在区块链上；节点间的关系网络可以不在聚合器里，而在每个节点自己手中。以我自己为例，我的关系网络就在电脑里的json 文件中，当我进入到一个新平台，只需要使用平台提供的功能或开源的工具把该json 文件导入，就可以立刻在该平台上建立/恢复自己的关系网络。

以微信为例来具体描述这一区别。我在微信上有500 个朋友，在web2.0 中，这500 个朋友是微信服务器里的500 组数据，但在web3.0 中，这500 个朋友是区块链上的500 个地址。

有一天出现了一个新的聊天软件，在web2.0 中，我不会去用这个软件，因为它的服务器里没有那500 组数据，我的500 个朋友只「在」微信中；但在web3.0 中，我可以去试试这个软件，因为只要把500 个地址导入这个软件，我与朋友的连接就建立了起来。

这意味着，在web2.0 网络中，因为节点、节点关系、节点行为都存在于聚合器的服务器中，聚合器可以因此垄断网络并获取高额利润。但在web3.0 中，节点位于区块链上，所有人都可以免费连接；关系网络属于节点（用户），他可以自己建立、维护和保存；节点行为发生在区块链上，所有人都可以免费获取。

那些在web2.0 中扼住咽喉的东西，在web3.0 中只是平常，它们是无法让一个项目实现垄断、攫取利润的，甚至是无法让一个项目具备价值的。

有一些web3.0 项目，做的只不过是写入json 文件或类似的工作，却在估值上对标web2.0 下垄断了关系网络的公司，在意义上认为自己是还给用户所有权的革命，项目听上去厉害——在web2.0 的思维下，殊不知在web3.0 里，区块链已经把这个工作完成了。

以一个比喻来说：如果大家都没有水而你能提供水，那大家需要你，但现在每个人都有一口水井，你有水对大家来说并没有价值，你新的价值可能在于帮大家从井里打水，给大家制作咖啡让水的味道更好诸如此类。

如果不被拘泥于是否有水，就会围绕水诞生更多的需求，在web3.0 下，围绕节点、节点行为和节点关系，只会有着比web2.0 下更丰富的价值的创造。单就关系网络来说，如何帮助用户高效地搭建关系网络（一些数据服务实际上做的便包含这个），如何能让用户简单地管理自己的关系网络，如何围绕用户的关系网络提供特定的服务……

只有理解了web2.0 和web3.0 的不同，才能看见这些需求，才能通过满足这些需求创造价值。而如果混为一谈，用web3.0 解决web2.0 的问题，结果很可能是web2.0 的用户用不了，web3.0 的用户不需要用。

额外一提，我觉得web3.0 社交会诞生在什么地方是一个值得观察的实例，它极大可能不是出现在专门的社交应用中，而是作为附加功能出现在某类区块链应用中，也就是说，是先有一个关系网络，然后基于该关系网络补充社交服务。

03：web3.0 ：一个点对点的网络

web3.0 是一个点对点的网络，在点对点的基础之上，可以形成一个又一个由不同的点组成的具体网络。如下图所示，在图1网络的基础上能够形成图2网络，该网络的核心节点可能是「一件事」，比如上文中的一次捐赠；也能够形成图3网络，该网络的核心节点可能是「一个人」。

对于任何一个人，他可以同时位于诸多不同的具体网络中，在那个网络中有着自己的角色；但同时、也是最重要的，以他自己的地址为核心，他有一个自己的网络。

比如对于艺术家，这个网络可能包含他关注的人、关注他的人、购买过他作品的人、他买过作品的人，以及其他具有某种特征的地址，更进一步，这个网络还可以包含进他所关联的某个地址的某部分网络。

每个人都位于自己网络的中央，这个网络需要他自己去搭建和维护，这个网络不会被关闭、且能够导入和导出具体的web3.0 应用便于他获取服务，这个网络的构成在很大程度上决定了这个人在web3.0 世界中信息和服务的获取。

这里有一件说不上该悲观还是该乐观、但或许不可避免的事：web2.0 中的人生活在同一个「平」的网络世界里；web3.0 中的人更多的生活在各自不同的网络世界里，这些不同的网络世界有着或大或小的交集。

最后用我喜欢的一段诗来描述web2.0 和web3.0 在这一点上的区别，也以它作为本文的结束：

他们醒来时对我说：你和你所在的世界，不过是无边大海的无边沙滩上的一粒细沙。在梦中我对他们说：我就是无边的大海，世间万物不过是我沙滩上的颗颗沙粒。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2FBjryhb9m4hFN_U27jrbmqFRPSgiTSFTGz2yURKqabQE&height=800&display=iframe

比如把元宇宙与游戏混为一谈，但游戏，或者说玩游戏中特指的游戏，是一种有限游戏，它有时间界限、空间界限、数值界限，以及游戏规则的限制。如果元宇宙可能是一种未来，那它需要能够容纳所有的人和人的行动，这意味着它不可能是一种界限内的游戏，它会是与界限游戏的无限游戏，就像如今的人类社会一样。

又比如把元宇宙与VR、脑机接口、意识上载等概念混为一谈，但其实它们之间有着清晰的关系。VR、脑机接口等等都是个体进入/踏入元宇宙的一种方式，就像键盘输入也是进入元宇宙的方式一样，只不过前者是更好的方式，或者说是更适合人类行为模式的方式。

这篇文章的主题是元宇宙只不过是对数字空间的一次升级。「数字空间」是大家都熟悉的概念，从1969 年Leonard K. 教授给他的同事发出第一封电子邮件开始，我们已在这个空间活动了多年。如果站在数字空间的角度看元宇宙，会发现事情变得明朗。

「只不过」一词是对元宇宙概念的限定，而不是表达数字空间升级不重要。这次升级也许可以被认为是数字空间自诞生以来的第一次升级，也是一次可能会颠覆原有数字空间的模式、进而加速人类和人类社会数字化进程的升级。

我将以两件真实的小事做切入来试着开启这个宏大的主题。

从交流模式的改变谈起

有一天我在某个空间里建场馆，一个人跑来参观，就是下图中的这个人。我们开始在聊展览，然后我发现他缺了半只胳膊，便问他为什么，他说自己实际上是一个丧尸！我瞬间被激活，因为我是一个重度丧尸题材粉，于是我们开始聊丧尸。

很小的一次聊天，但可以感受到我们之间的交流模式发生了改变。在过去的数字空间里，交流几乎都是围绕「事件/话题」展开的，我们都是在聊事，聊人也是以事为基础的人。但在元宇宙空间，交流能够围绕「人/交流参与者本身」展开，而聊事是以人为基础的事。在交流中，我们的关注点回到了人，我是谁、我在做什么、我在想什么。

交流围绕「人/交流参与者本身」展开才是符合人类本身交流/社交习惯的，我们如今在数字空间中的交流方式只不过是受限于条件而不得不采用的非自然的方式，元宇宙把我们从非自然后者带回自然的前者。因此当我看到扎克伯格的元宇宙主题采访时，能感觉到他和他的团队是有「跳」进来而不是在空想的、是理解他们要做的事的而不是在追逐风口的。

扎克伯格的核心观点是「我不认为首要目标是让人们更多地参与互联网，我认为是让人们更自然地参与互联网」；虽然记者抛出的是让人大受震撼的《头号玩家》和《雪崩》中的元宇宙，但他回答的是看起来平平无奇的「互动的方式更自然」以及「社交环境」。

「自然」是关键词，之所以说元宇宙是对数字空间的升级，在于它能让人们以更符合人类本性、人类行为习惯、人类行动模式的方式在数字空间中存在和活动。

从数字空间升级的角度来看元宇宙，就不难理解为什么Facebook、腾讯等如今的互联网巨头公司都声称自己要涉足其中：元宇宙是升级后的未来的数字空间，而数字空间正是这些公司的本业或主战场。它们是如今数字空间里的霸主，它们当然希望继续自己的霸主地位。

「元宇宙是互联网的下半场」，这个表达简单又清晰，就是它字面的意思，过度的解读会让人迷失。

但Facebook 们能继续掌控下半场吗？不一定，它们即便深知元宇宙是什么，也不一定能从元宇宙的角度出发去设计一个需要它们放弃自身利益、改变自身逻辑的产品。Facebook 这类互联网上的聚合器产品之所以能够攫取巨大的利润，与它们独占「用户生成内容」并从中获利有着莫大的关系，但元宇宙中的用户生成内容是属于用户的，不是属于平台或产品的。

从自然性看，用户生成/创造/获得的内容属于用户也才是符合人类社会本身运作方式的——在物理世界中一个人的劳动所得当然属于他自己。

区块链之所以被认为可能在元宇宙中扮演重要的角色，是因为区块链基础设施以及token、NFT 等等工具有助于在数字空间里实现一个经济体系，用户内容、用户活动可以被纳入到这个体系中来，这将帮助形成一个可持续的数字化的人类活动空间，这个空间除了有交流/社交活动，也有经济活动。

人成为主体

回到文章开始的地方，元宇宙让数字空间里的交流模式发生了改变，这种改变为什么会发生？是下一个故事。

我在筹备《初民》摄影展时，需要找很多人给他们拍照。一般情况下我不与拍摄对象聊天，但如果他的装扮或空间吸引我，我就会去搭讪。下图中的这位设计师就是有一天我跳进他在空间里的工作室，因为喜欢他的穿着和设计的服装，然后开始聊天的，之后我邀请他来我的展览，他喜欢这个展览，开心地站在入口处叫我一起拍照。

一次愉快的相遇，在我和他之间。数字空间发生了什么变化使得这种围绕人展开的交流就是自然而然会发生的正常的社交方式？我想一个重要原因在于元宇宙中的人可以作为个体存在并「被看见」。比如我和拍摄对象间的交流，是基于我看见了他的外表，对他产生了兴趣，进而形成的。

在如今的数字空间，我们是把自己转换成文字、图片或视频进入的，人扁平的存在于二维的网页之中，以及由此导致的更重要的，人作为主体是淡化的（无法被承载和展现），人是作为观点/现象的持方存在的，或者说人根本不是如今互联网的主体，观点/现象才是。

而在元宇宙空间，我们是把自己整个跳入进去的，人立体的存在于三维的空间之中，人作为主体存在，而不是作为观点的持方或现象存在，就像在物理世界中一样。

人作为主体存在，其意义不仅在于他人「看得见」我们，也在于我们「看得见」自己。看得见自己才会让我们有自我意识，从而在数字空间里，我们也会对自己的言行负责，也会带着情感来对待他人，这同样是人类之间更自然的相处方式和形成社会的方式，只有在这种方式下，才有可能发展出一个安全和舒适的、人类愿意存在于其中的空间。

传统互联网中的我们，是被观点投射在洞穴墙壁上的我们的影子，而元宇宙中的我们，就是我们自己这个实体。有观点认为人和avatar 的关系是：物理世界有一个自我，这个自我操纵元宇宙中的一个avatar；其实不然，人是进入元宇宙而不是操作元宇宙，avatar 不是被操纵的虚拟人物，它就是我们自己。

随着元宇宙进入和呈现技术的发展，人愈发能够以一个鲜明的个体、以相似于物理世界的方式存在和行动，数字空间必然会随之发生改变，变成围绕人这个主体来展开。

也许元宇宙的进化过程会是这样：元宇宙雏形的建立和相关技术的发展，使得人能够作为数字空间里的主体来行动，人作为主体后会促使一个以人为核心的数字空间的形成和发展，而这个数字空间形成规模后，就是真正意义上的元宇宙。

互联网的上半场是二维的，互联网的下半场是三维的，但从二维到三维只是元宇宙的起点，元宇宙这个数字空间将会截然不同于如今的互联网，不在于表象，而在于最终，它不是一种人类的工具，而是一个人类可以栖居于此的社会。

数字空间对物理空间的模拟

在元宇宙中人成为了空间里的主体，这与元宇宙对物理空间的重度模拟有关。

在时空环境上，元宇宙是三维的、可见可触的、在时间和空间上具有连续性和统一性的、人是在场的，就像物理世界给人的感受一样，这提供了人可以作为主体存在的基础环境。人通过avatar 呈现自己，「定居」在空间开展活动并积累活动的成果，与定居于此的他人建立关系……

在个体表达上，元宇宙提供了多维度的表达自我或塑造自我的方式，比如目前阶段的外形和行动。在未来，人可能还包括其身份数据、历史活动数据等等，这意味着元宇宙的人可以比物理空间的人传达出更多数据，元宇宙中的人将可能比物理空间中的人更立体和丰富。

在个体行动上，VR 等技术的发展使得我们不需要用键盘、鼠标、手柄来完成自己在数字空间里的行动，我们可以把物理世界的行动映射到数字空间，以物理世界的行动方式在数字空间行动；未来脑机接口技术的发展，将是在此基础上的更进一步。

有些观点把元宇宙和物理世界描述为前者对后者的颠覆和取代关系，这会让很多人产生疑惑，因为他们并不觉得如今的数字世界好过物理世界，不觉得自己有意愿在未来迁入这样一种空间。

这些观点引发质疑，是因为它所描述的与事实是恰恰相反的：元宇宙并不是对物理空间的颠覆，它是对现有的数字空间的颠覆；元宇宙不是物理空间的对立面，它是尽一切可能来模拟物理空间，以便人能够以人类的方式生活于此。

元宇宙和游戏这两个概念之所以常常成对出现，正是因为它们在上述构造上是相似的，只不过游戏有着限定的时空环境和世界观。也许可以说，游戏是有限元宇宙，元宇宙是无限游戏。

结束语：

元宇宙只不过是对数字空间的一次升级，这次升级可能让数字空间对人类产生更大的吸引力，可能在数字空间里发展出一个人类社会的形态，而这些将可能带动人和人类社会更快、更多的向数字空间迁徙。

如果说未来元宇宙的世界与如今世界最大的不同是什么，我想元宇宙也许是一个人类和AI两种高级智慧体共存的世界。物理世界对AI来说过于复杂，数字世界对人类来说过于反自然，但元宇宙能够容纳两者。但不管如何，

DON'T PANIC。没什么。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2F3xjSWb28XwctmZ9PeVxSgJylNHmWDMNaiAvcYVX08CY&height=800&display=iframe

这个市场之所以可以成立并迅速发展，恰恰在于我们曾经畅想过的、区块链技术的独特优势：免许可进入、无需信任、点对点支付（实时且低价）、免中介的物权变动（实时且低价）。

本文所指的艺术市场并不是某条公链上的某一个或几个平台，而是多条公链上的、多种不同特点的平台共同形成的一个艺术市场。

文章包括两大部分，第一部分与区块链相关，包括这个市场对于区块链发展的一些启迪；第二部分与艺术相关，包括这个市场可能改变艺术市场的当今格局。这些思考是发散性的，观点与观点彼此独立，本文仅列举这些个人性的观点但不对观点做更深入地系统论证。

区块链

公链

1.一个应用可以让一条公链变得「成立」

根据目前的发展趋势和发展需求，未来更大的可能是多条公链并存。什么样的公链会立得住脚？一个成功的应用可以让一条公链变得成立。也就是说，如果一条公链能够有一个应用或一类应用发展了起来，这个应用拥有真实的、忠实的用户，这条公链会因为这一个成功的应用而变成一条成功的公链。

这不同于过去。在过去，我们是先（判断）公链再（观察）应用；但在未来，更多的可能是先（看见）应用再（评判）公链。跑出来的应用带起它所在的公链。

2.公链的技术

某个/某类应用能在某条公链上诞生和发展，很大程度上跟该公链的技术特点相关。

公链的技术也许可以分成两类，一类是与公链的速度、容量、去中心化程度等等相关的技术，虽然这在过去和现在是被给予最多关注的部分，但个人感觉除了「无状态」可能会带来较大的差异，目前其他的技术都不足让两条公链（不包含一些中心化的链、以及核心技术是服务于跨链、存储的链）有什么实质上的不一样，即便有不一样，用户似乎也并不太在意这种不同。

另一类技术是与应用相关的技术，也就是说某种/某类应用只有在这条公链上才能实现或才能更容易、更好地实现。

目前有看到三种不同的方向，一是往抽象的方向，二是往具象的方向，三是编程范型的改变。这种技术上的不同可能让公链诞生全新的应用，如果应用成立，其对应的公链就成立。

换言之：未来能崛起的公链更多的在于该公链的功能，而不在于过去我们关注的该公链的性能。

3.文化、社区

一条公链上出现一个杀手级应用，也可能与其技术无关。其它原因中最重要的可能是公链的「气质」或者文化。独特的气质吸引到了具有某些特质的人，这些人中更容易诞生具有某种特质的原创应用，该应用以社区内成员的支持为基石发展起来。

社区这个概念被越来越多地提起，但社区最重要的不是人数，而是其吸引到的真正参与者是什么样的人。

除了社区，公链团队也可以是出现杀手级应用的重要力量。团队打造/主导自己链上的特色应用，以该应用带起公链。

NFT

1.NFT且仅是NFT本身

关于NFT是什么有很多讨论，我之前也写过《问题在于你站在哪个世界看NFT》，描述如果站在数字世界，NFT就是事物本身。但在市场大半年的发展之后，如今的感受是不管站在数字世界还是物理世界，NFT最好是且仅是NFT本身、是事物本身、是银货两讫中的货。

也就是说，最好（或最理想、最原生、最适应区块链）的NFT，是拥有一个NFT仅意味着你拥有这个NFT，同时这个NFT也是你想拥有的那个东西的全部；拥有一个NFT不意味着你拥有该NFT之外的某物，或拥有对该NFT之外的某事或某物的某种权力。

拿NFT艺术品来说，如今可能不太会有人认为自己拥有一个NFT，代表的是自己拥有对某一个数字艺术品的所有权或版权；更普遍的认知是，NFT就是那个数字艺术品，就是货。

这种区分也许很微妙，举一个区分度更高的例子。目前有一些NFT代表的是会员服务，拥有这个NFT，就可以享受假设是数据服务。来看另一类NFT。

下图是一个不断变化的NFT的截图，点代表平台的用户，其中紫色的点是我，红色的点是我收集过其作品的艺术家，红色点之间的连线是这些艺术家之间互相收集作品的关系。我可以用鼠标点击任意点，了解我关注的艺术家被其他人收集的情况，如第二张图所示：红色点为他收集别人，蓝色点为别人收集他，白色点为两个艺术家有互相收集。

不难发现，上文中的第一类NFT是代表数据服务的资格；而第二类NFT是数据服务本身，拥有该NFT就拥有数据服务。

第二类NFT从数据服务角度展示了NFT即NFT本身。来看第三类NFT，它从资格的角度展示了NFT即NFT本身。有一个NFT鱿鱼游戏，该NFT一共发行100份，购买该NFT就是游戏的参与者，100份卖完后游戏自动开始，最后，100个参与者中的一人拿走全部的奖励。这个NFT可以被认为是资格或门票，但可以看到它与第一类NFT所代表的资格的区别。

这便是该小节想表达的观点：NFT最好是且仅是NFT本身。这个观点可以被阐述为：NFT是货本身，它不需要在任何第三方做兑现，也不需要任何第三方对其进行解释。

当然这并不是说其他性质的NFT不成立，只是具有这种特质的NFT，应该是最容易被纳入区块链体系内的NFT；现实世界哪个领域在NFT化后，其NFT具有这种特质，该领域可能较早被区块链改变运行模式。

数字艺术是最好的例子，它是NFT即货本身，很快便发展出了基于区块链的全球艺术市场，开始改变传统艺术市场的运行模式。

元宇宙之所以与区块链有莫大的关系，是因为在元宇宙里，NFT天然的可以是货本身，不管这个货是土地资产、装备资产、游戏道具资产，还是其他。因此，区块链会是元宇宙资产的天然的交易市场。

2.区块链，一种点对点的银货两讫系统

这真的是所有事情中最有趣的部分，科技想要什么和科技的进化路径。回首最开始的地方，比特币是这么被描述的，《比特币：一种点对点的电子现金系统》；在经过十多年的发展之后，在一轮轮牛熊转换、技术发展、应用浮沉之后，会发现能概括区块链的描述可以是：区块链，一种点对点的银货两讫系统。

相比于比特币把「现金」放到链上实现点对点支付，区块链把「货」也放到了链上，从而能够建立起基于链的交易市场。如果一个领域的产品能够变成链上的货，不管是以token的形式还是NFT的形式，长远而言，区块链可能都会成为该领域最好的交易市场。本文将在艺术部分试着对这一观点进行分析。

DeFi

1.把DeFi「落地」于链上产业

DeFi是区块链上的金融基础设施，这个基础设施本身的核心架构已建设完成，也持续被优化以及不断有创新。只不过目前的DeFi就像有动脉却没有毛细血管，一来没有让该系统外的其他组织得益于这个系统，二来不能把其他组织的营养和造血功能接入这个系统。

连接链下世界是一种方向，不过道阻且长，只能行而不辍。

如果我们调转视线，服务链上世界的产业是否是一种更快见效、也更相容和自洽的方向？就现在的链上世界而言，一个全球艺术交易市场已经逐渐发展起来了，与这个市场相关的各个要素需要什么样的金融服务？NFT抵押借贷和NFT碎片化是一部分，但其实还有很多不起眼却是真需求的部分，比如为艺术家提供理财服务。

艺术家可能不想花心思选择不同的DeFi协议来最大化自己的收益，他需要的是稳定的收益或仅仅需要相较于法币的稳定，虽然DeFi中已有这类产品，但提供给艺术家的产品可以主动出现在艺术家的视线，比如与NFT平台结合，在一个应用/界面内完成；可以根据资金的特殊性做设计，比如随时有新资金进入的情况……这是毛细血管的部分，它似乎很小，也没有宏大叙事，但却是扎实的根基。

DeFi是金融业，围绕NFT、围绕「货」相关的市场，围绕被区块链化的领域是否就是「实业」？虽然目前还只有一个艺术市场较成规模，但随着未来被区块链改变的领域越来越多，实业也就越来越多，DeFi就会成为由动脉和毛细血管组成的健壮的系统。

2.不只是艺术市场

虽然本文把这个市场称为艺术市场，但其实它已不止于此，只不过艺术类NFT是其中数量最多、最引人注目的。

就NFT类别而言，这个艺术市场其实已包含艺术品、文化创意作品、衍生品（周边）、音乐作品、文学作品、出版物（目前有书籍、杂志、文章）、游戏等等；而换一个角度，这个艺术市场本身还涉及了礼物领域、打赏领域。

突然想到有一个系列的NFT，它整体是一个侦探故事，每个NFT会给出一个线索；还有一个系列的NFT，它视觉化了卡夫卡的《审判》，场景是立体的，可以通过鼠标在公寓楼里穿梭，「走到」不同人物的身边，体验上有点像在看话剧。

举上述例子是想说，这个看上去的艺术市场，已经是一个文化市场。这意味着区块链不止有承载艺术品的能力，也有承载广泛的文化产品的能力，而文化领域也许有着现实世界的半壁江山？

3.元宇宙

对于Crypto圈的人来说，是先有了可以放在元宇宙里的资产，比如艺术品，然后进入元宇宙（或对元宇宙有需求）；但对于圈外的人而言，他们可能是先进入元宇宙，即现实世界的互联网发展到这一步，然后为自己在元宇宙里添置资产。

当元宇宙真正发展起来后，可能会带动区块链的一次跃迁。元宇宙资产可能是区块链承载的最重要的资产之一，而在前面讨论的把DeFi落地于链上产业，元宇宙可能是DeFi服务的最重要的链上产业之一。只不过元宇宙何时能发展起来尚不得而知。

有一些疑问是元宇宙里的东西为什么就会/要资产化，其实该问的问题不是为什么会，而是为什么不会；这些资产为什么要放在区块链上，答案同样是为什么不。

真正意义上的全球用户会在何种情况下开始使用区块链？添置元宇宙资产是一部分，现实中某领域的区块链化也是一部分。以艺术市场为例，艺术家或名人发布了NFT作品，他的粉丝或喜欢作品的人就可能被带入这个市场。目前全球范围的艺术家和创意工作者正在快速进入这个市场，消费者还较少被带入，但会有从量变到突变的那一刻出现。

艺术

1.艺术家被发现的路径

在传统艺术市场，艺术家与收藏者之间的路径近乎于一条直线，艺术家只有沿着这条线才能被收藏者发现。但在以区块链为基础设施的全球艺术市场中，艺术家和收藏者之间的路径是一个网络，收藏者有很多路径可以发现艺术家。

如下图所示，整个市场是一张关系的网状图。比如我有自己喜欢的艺术家和收藏者，会时常去看他们最近收藏了什么作品，进而会关注到这些作品的创作者；而我喜欢的艺术家和收藏者也有自己感兴趣的人，他们也会根据那些人的收藏变化而关注到新的人。

所有的节点（艺术家和收藏者）组成了一个大的、有效的关系网络。在现实生活中，六度分隔理论是一种弱纽带，但在这个艺术市场关系网络下，六度分隔理论是一种强纽带。常常有一些艺术家入驻平台不久、推特粉丝也不多，但很快就能进入视野。

除了因收藏关系建立的关系网，艺术家还能通过诸多其他渠道抵达收藏者。比如搜索，艺术家可以给作品打标签，使得作品能够被对该类别感兴趣的收藏者发现；艺术家可以自己策划活动或参与平台的活动，使得作品能够出现在高流量页面，进而被发现。这个艺术市场除了是免许可进入，其资源（包括绝大多数平台的平台资源）也是对所有人免费开放的。

2.艺术家的基本生存保障

艺术家可能是这个世界上最不在乎金钱和权力的群体，但现实世界的残酷在于如果你不去追求金钱和权力，你可能连最基本的生存保障都得不到。基于区块链的这个全球艺术市场有可能为艺术家提供基本的生存保障，从而让他们能专注/忠实于自己的创作。

原因是多方面的。比如上文所说的关系网络可以让艺术家容易被发现，即使其作品不被大多数人喜欢，但一个只要是真实表达的艺术家，总能在全球范围内找到几个和他有相同感受、进而被他作品打动的人，而这几个人可能就可以维系他的基本生存；打赏和互相帮助是艺术社区里流行的文化氛围，一个覆盖全球用户的小额打赏系统（钱少但人多），应该也可以带来基本的收入；给艺术家的版税在艺术品交易中所占比例较大，一个艺术家只要有过几幅或几个系列受欢迎的作品，这些作品可以为他带来持续的收入。

这种状况可能催生更多的艺术家，以及艺术家可能带来更多忠实自我的作品。就像上文所说，这个市场涉及的不只是艺术家，它其实是一个大的文化市场，可以把文中谈论的艺术家延伸为各种创作者。

未来的世界可能需要更多的文化产品、更少的物质产品，因为元宇宙里的物质是现实世界里的文化，我们需要文化的物质来填充元宇宙。似乎刚刚好，在元宇宙兴起之初、对文化产品有了更多需求之时，区块链这个工具被打造好了，它为文化的繁荣提供了条件。

3.权力格局改变：买家为作品定价

基于区块链的全球艺术市场可能改变传统艺术市场中的权力关系，这种关系的改变很大程度上是因为艺术家和收藏者都不再需要依赖两者之间的唯一路径，那条直线上相关角色将不再具有决定性的权力。收藏者/买家也许会是新市场里最重要的角色，他们对作品的价格有更大的影响力和决定权。

4.画廊依然是重要角色

相较于传统艺术市场，这个新艺术市场需要更多画廊，因为市场中的买家和卖家可能都是指数级增长。所不同的是，画廊在过去是权力机构，在新市场中可能更接近于服务机构。

有两大类画廊。一类是推出自己的艺术家和艺术家作品的画廊，目前一些NFT发行平台实际上就是这类画廊；另一类是基于市场上已有的作品，在其中挑选出特定种类的作品，为收藏者服务。比如某个特定的主题、某个特定的艺术类别、画廊主理人的独到审美等等，这一类画廊还较少，但会是一种刚需，著名的/有影响力的收藏者也可以被看作是这一类画廊。

画廊不仅需要有挑选作品的能力，也需要有在元宇宙空间策展的能力，包括在这种空间里通过布展展示作品的能力。

这可以引出另一个话题，就是元宇宙的兴起对主流艺术发展方向的影响：在元宇宙空间里具有表现力的作品，可能会是更受欢迎、更流行的作品。下图是同一幅作品的图片展示和元宇宙空间展示。

结束语：

令人感慨，当我们看到这个艺术市场建立了起来，然后追问为什么的时候，发现一切的根源正是区块链技术本身的那些特点或优势。

过去，我们曾逐一讨论这些特点及它们带来的好处，但并不确定这些特点会以怎样的方式被使用，而且这些特点之间的关系也似乎是彼此独立的。现在，在这个艺术市场上，我们不仅看见这些特点正是这个市场之所以成立的根本原因，更看到这些不同的特点居然是缺一不可、浑然天成地融合在一起的，似乎区块链生来就是为了做这件事情的，多么奇妙啊。

当区块链的工具意义开始覆盖信仰上的意义和炒作意义，它真正向世界拉开了大幕。一切都才刚刚开始。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2FUv2oF89RUinWF95YPO1PX40sPP4MYGa23WdBiBemXY4&height=800&display=iframe

为何美好愿景与现实情况间有着巨大差距？怎样才能实现数据所有权和数据价值？本文试着从已有的实践去探讨，希望能理清一些线索，对建立起关于该问题的思考框架贡献一点力量。

一. 我们不能出售数据

相信我们每个人都有过接到推销电话的经历。绝大多数人的个人数据都被买卖过，最简单的比如电话号码和一些消费信息，这些数据此刻也许正在某个地方等着被再次出售。数据确实能卖出钱来，钱落入了那些获取了我们数据的机构的口袋。

这个现象容易带来一个认识的误区，即认为我们可以通过出售数据来实现数据的价值，也就是说，在我们借助法律条文和技术手段拥有数据主权后，可以通过把这些数据卖给需要的人来获得数据价值，把「石油」卖成钱。

但这是错误的，我们不能买卖数据。在阐述这个问题之前，我们有必要区分数据的所有权和数据的使用权。

对于这个世界上绝大多数的资产，买卖行为意味着资产所有权的转让：一方得到所有权，另一方失去所有权。但买卖数据不会转让数据的所有权，你卖出了数据，但这些数据的所有权依然属于你。

因此围绕数据的交易实际上是围绕数据使用权，而不是数据所有权的交易。但因为数据可以被无限复制，如果我们卖出了数据，就无法保证买方会如何使用以及是否会再次出售这些数据，更准确的说，在某种程度上我们已经「失去」了这些数据，哪怕我们拥有数据所有权。

非法的数据交易会直接买卖数据，是因为他们不在乎数据所有人的权益，但当我们真实拥有了数据所有权后，为了实现数据价值，我们是不能买卖数据的。

那么该如何交易数据的使用权但不失去数据？答案是不交易数据本身，只交易数据的计算结果。也就是说，买方可以利用这些数据进行计算，得到其需要的结果，但买方不能获取到原始数据本身。

这是当我们讨论数据所有权和数据价值时，第一件、或许也是最重要需要理解的事情：我们不能通过出售数据实现数据价值，只能通过出售数据结果实现数据价值。也就是说，我们要把数据的所有权和使用权分离，只交易数据使用权。

二. 隐私计算不只是为用户隐私问题服务

如何实现只出售数据结果？答案是：通过隐私计算。

隐私计算是在不暴露原始数据的情况下计算数据，且计算结果可被验证。它包括全同态加密、安全多方计算等多个研究方向，有许多专业的技术文章介绍它们的工作原理，若你希望更进一步了解，可以去查看。

在这里我们有第二个模糊地带需要澄清，即：隐私计算不只是为保护用户隐私服务，它更是实现数据使用权交易的基础，也就是实现数据价值的基础。之所以需要做这个澄清，是因为「隐私计算」容易被理解成又一种保护隐私的技术，重点被落在「隐私」上，但实际上「隐私计算」的重点是在「计算」上。

在区块链行业中，由于隐私计算常常被作为一种增强用户隐私的方法用于密码货币交易中和区块链上，所以人们更容易把隐私计算理解为它是为实现用户隐私服务的，这一理解并没有错，但它把隐私计算局限到了一个小的领域。

也许从另一个角度看待这个问题会更清晰。我们把数据问题拆分成用户隐私问题和数据价值问题。用户隐私问题解决的是与用户相关的原始数据不被泄露、用户的隐私不被暴露，我们可以把该问题看作一种特定范围内的数据隐私保护。

在这个阶段中，隐私计算的角色是一种可供选择的保护隐私的方法。

在用户得到了数据隐私后，如果他/企业选择把数据放在那儿什么都不做，故事就结束了；但如果用户/企业想更进一步，得到数据的价值，就要把数据拿出来使用，事情就进入到下一个阶段，此时需要通过各种方法来保证数据在被使用的整个生命周期内都不被泄露，我们可以把这看作一种全范围的数据隐私保护。

在这个阶段中，隐私计算的角色不再是一种可供选择的方法，而是一条必经之路，因为实现数据价值的方法是在不暴露原始数据的情况下出售数据结果，进行数据使用权的交易，只有隐私计算能够达成这一目标。

如果把数据比作石油，那么隐私计算就是炼油的第一道工序，它是我们在保证用户隐私前提下把「原油」转换成各种产品的基础。

三. 并非所有数据都具有相似的价值

并非所有数据都具有相似的价值，也并非所有数据都能实现数据价值，这可能是我们在讨论数据价值时又一个需要明确的地方。只有当我们理解数据的复杂性和多样性后，才有可能针对不同的情况，在法律上和技术上使用不同的条款和方法来真正解决问题。

本文将试着从应用角度出发对数据的类别进行一个简单的划分，再介绍该类数据的数据价值问题。此处提出的数据分类方法不一定全面和准确，它只是为建立起一个基本的可供讨论的框架服务。

我们可以把数据分为三大类：

第一类是身份数据；第二类是行为数据；第三类是生产力价值数据。

第一类身份数据在网络和现实世界中被用于注册和身份确定，比如身份证号码、电话号码、账户信息等等，这类信息对于非法产业有着最大的价值，一旦泄露也会给用户带来大的安全隐患。但对于正规数据产业，这类信息反而没有计算价值，它们计算不出有意义的结果。

因此，这一类数据本身是不需要考虑如何通过隐私计算实现数据价值的。

第二类是行为数据，它包括用户在网络上的浏览痕迹、消费数据，也包括用户的产品使用习惯数据等。可以通过计算这些数据对用户进行个人画像，再基于画像向用户推送广告、推送内容、提供服务，甚至推销观点。

行为数据有两大类价值，一是广告价值，我们都知道几乎是广告养活着整个互联网产业；二是能够帮助产品了解用户，从而为用户提供更好的个性化服务。

目前在世界范围内被广泛关注和讨论的数据所有权问题主要集中在这一类型的数据身上。很长时间以来该类数据的各种权限并不明确，人们也并未在意，直到这些数据的计算结果被越来越多的用于影响或者控制我们时，我们才认识到该问题的严峻性。

这其中标志性的事件是 2018 年 Facebook 的数据门事件。在该事件中，一家名为剑桥分析的数据运营公司获取了超过 5000万名 Facebook 用户的数据，通过数据计算，他们筛选出其中政治立场摇摆的对象并向其投放精准匹配的政治宣传广告，从而影响了美国的大选和英国的脱欧公投。

好消息是，我们似乎正在拿回这一类数据的所有权。欧盟出台的《通用数据保护条例》（GDPR）规定，产生数据的个人是数据主体，他有权要求清除其个人数据，也有权反对并要求停止对其个人数据的处理。

坏消息是，我们没有拿回数据的使用权，如前文所说，数据价值是建立在数据使用权交易的基础之上的，所以我们离用这类数据实现归属于用户的数据价值还很遥远。它的困难在于：

一方面，即使被称为史上最严苛的数据保护条例，GDPR 也只是要求企业在使用数据前告知用户哪些数据被使用了，以及用这些数据做什么，也就是说，它只约束企业不滥用数据，但并不限制企业使用数据。

另一方面，因为这类数据可被用于帮助产品了解用户，如果企业以提高用户体验为理由使用数据——它们现在就是这么做的——我们似乎难以拒绝。让用户牺牲用户体验去要求企业无权使用任何行为数据似乎很难，而希望企业主动把这类数据的两种用途区分开、让渡部分广告价值似乎更难。

这是否意味着企业依然可以按照以前的数据处理方式行事？并不是。我们会发现上述数据所有权和使用权的分离仅仅是字面意义上的，企业虽说只拥有数据的使用权，但它们是「拿到」并使用原始数据本身的，这让数据依然存在被滥用以及安全方面的问题。

而因为大众隐私意识的觉醒以及各国数据保护法（将安全职责放在使用数据的公司上）的出台，一旦出现问题，企业将可能面临用户的抵制以及巨额的罚款，因此我们可以看到 Google、苹果等公司如今都在隐私计算领域进行着大量的研究。

以 Google 为例，它的「联邦学习 Federated Learning」是将机器学习模型集成到每一台设备上，在汇总用户参数发送给云端时，通过隐私保护的聚合算法和系统工程实现隐私计算。

但需要再次指出的是，企业通过隐私计算实现数据所有权和使用权的分离，不是为了用户能够进行数据使用权的交易，它们更多的是希望降低数据使用风险、免受隐私泄漏指责，能够满足合规要求的继续免费使用用户的数据。

因此，用户得到这类数据的数据价值是一件道路漫长的事情，其中最大的难点在于意识，只有当我们有强烈的数据所有权和使用权意识时，才可能推动政府出台更严格的数据保护条例，或者推动新的互联网架构颠覆如今中心化服务器的模式。

四. 「生产力价值数据」最具价值

了解了「身份数据」和「行为数据」之后，接下来介绍第三类数据，在本文中我们称其为「生产力价值数据」。

该类数据的一大用途是做机器学习，训练 AI；另一大用途是做数据分析，帮助进行科学研究、产品设计、决策制定等。这一类数据如果被恰当使用，能够驱动社会往更有效率、更为友好的方向发展，它们是一种生产力。

第三类数据的采集范围最广，数据量最大。它可以来自于人类，比如个人的医疗数据和财务数据、个人的产品使用习惯数据等等；也可以来自于物联网设备，比如传感器收集到的大气情况数据、自动驾驶数据等等。

它的一部分数据来源与第二类数据相同，都是使用互联网产品的用户，只不过采集到的数据的处理方式和用途不同：第二类数据是取之于用户、用之于用户，而第三类数据是被集合后跨数据主体使用。从数据本身的角度出发，我们可以认为某个数据既是第二类数据，也是第三类数据。

第三类数据具有最大的数据价值，同时它们也有可能最先进入到数据使用权的交易市场，实现数据价值。

不同于第二类数据是互联网企业自己拥有数据使用权同时自己使用数据，不需要进行数据交易，在生产力价值数据的应用场景中，出现了不拥有数据使用权但希望使用数据的角色。从这个角度，我们可以认为第三类数据是指所有可资产化的数据的集合。

我们可以拿医疗数据为例来更好的理解如何使用第三类数据。科研机构或制药厂如果能有大量的医疗数据的支持，就能更好、更快的研究疾病和开发新药，但拥有数据资源的医疗机构因为用户隐私问题和自身利益，并不会把这些数据提供给其他机构使用。

如果我们通过隐私计算分离数据的所有权和使用权，就能建立起一个数据使用权的交易市场，不同医疗机构、科研机构和制药厂的数据就可以在这个平台上实现连通——流行的说法是打破数据孤岛——这些机构间可以进行数据的买卖，也可以数据共享进行联合的疾病研究。

如果我们要训练能够诊断疾病的 AI，也需要通过上述方式打破数据孤岛，这样才能提供给 AI 更多、更全面的数据。

需要赘述的是，在现阶段，即使实现了数据的交易和价值，但因为数据使用权在法律上和使用上的边界都不明确，我们作为个体依然很难拿回全部的数据的价值。

数据所有权和使用权是这个时代最重要的议题之一，《人类简史》的作者、历史学家尤瓦尔·赫拉利（Yuval Noah Harari）的观点是：「如果我们希望避免财富和权力都集中到一小群精英手中，关键在于规范数据的权限」。

因为数据自身的复杂性和多样化，从边界清晰、可以被准确描述的细小处出发定义问题、解决问题，而不是寄希望于舆论、立法和技术能够整体解决问题，也许才是快速与有效的方法。我们可以对不同的数据类别进行更具体的分类和分析，或者用不同的分类标准探讨数据的分类，再基于此讨论数据的隐私、数据的所有权和数据的价值实现问题。

五. 重新理解「数据即石油」

数据常被比作石油。

虽然楔形文字中便有人类在死海沿岸采集天然石油的记录，但直到 1846 年亚布拉罕·季斯纳发明从煤中提取煤油的方法，1853 年伊格纳齐·武卡谢维奇和扬·策从原油中分馏出精炼的煤油，现代石油工业的历史才算真正开始。

不过这仅仅是开始，作为煤油灯燃料的石油并不特别，只有在后来当它被用于内燃机后，才爆发出巨大的潜力，并成为世界上最重要的一种资源。

数据与石油的相似之处在于，仅仅有数据还不够，只有实现了数据的「炼油术」，才有可能开启数据的产业时代。而数据与石油的不同之处在于，石油是先有炼油厂，然后才有内燃机的需求，而数据是已有巨大的使用需求，却没有成熟的技术和基础设施支持这种需求。

这或许是一件好事。道路漫长，但我们知道方向。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2Fy2iUN0acmlqdYTTuAtQZYXJepYiowWC-D_NF-t6hCC4&height=800&display=iframe

答案或许是能，因为密码货币的可编程性。在过去一年，我们已经见证了可编程金融，也就是 DeFi 的创造力；也许在未来，我们能够看到可编程支付对支付方式的革新。

在这篇文章中，我们将从一款名叫 Sablier 的应用出发，讨论可编程支付的可能面貌和应用场景。Sablier 提供一种全新的支付方式：流支付。

一. Sablier：金钱是时间的函数

一直以来，支付都是在某个确定的时间点上发生，在某一时刻，钱要么已经转移要么还未转移；流支付改变了这种情况，它发生在时间段中而不是时间点上，钱持续从一个账户转移到另一个账户，就像河水从一处流向另一处。

在这种新的支付方式中，钱是时间的函数：Y = a · X，其中 a 是单位时间被支付的钱，它是支付双方事先商定好的常量；X 是时间，是自变量；Y 是被转移的钱，它随着 X 的变化，也就是随着时间的流逝而不断变化。

实际上在很多支付场景中，支付的钱本就应该是时间的函数，比如薪酬，但因为技术上无法做到，所有的支付就都只能以时间上离散的方式完成，我们对于支付方式的想象力也被局限其中。可如今，在区块链和密码学的基础之上，以时间为变量、流式地传输金钱或者价值成为了一种可能，我们就可以试试看时间函数的方式是否更为合适。

Paul Ber 是最先开始尝试的人之一，他是 Sablier 的 CEO 和联合创始人。Sablier 是法文「沙漏」的意思，只不过在这个沙漏中，随时间落下的不是沙子，而是钱。

Sablier 实现了 Y = a · X 这一函数关系，用户只需要连接自己的钱包，填写与支付相关的常量信息，就可以创建出一个流支付。它有网页版和手机版，目前支持 MetaMask、Coinbase Wallet 等多款钱包以及接受 WalletConnect 协议的钱包，对于大多数区块链用户而言是友好的。

那么，流支付可能的应用场景会有哪些？Paul 大力推荐用它来发工资：如果一个人的月薪是一万，流支付意味着他不再是在某个发薪日收到一万，而是每天甚至每刻都能因已经付出的劳动而获得报酬。这种方式对提供劳动的人而言是友好的，相较于过去，他可以更早地使用这笔薪水。

除了用于支付薪酬，流支付还可以被应用于投资或资助，这有点类似于 DAICO 的作用，被投资者是逐步收到投资款的，而不是一次全部拿走；如果项目进展与预期不符，投资人可以收回未被支付的钱。这种方式对投资人是一种保护，对被投资对象也是一种约束，他们需要建设项目，而不是拿钱走人。

流媒体也可能成为流支付的应用场景。对于非订阅用户而言，流支付是一种合理的方式：被收取的费用取决于用户看视频的时间、听音乐或音频的时间、呆在直播室的时间，如果他不喜欢这个节目，就可以随时退出，不用为这个节目付全部的费用。

把流媒体扩展一步，就是数据流。数据是未来最重要的生产资料，一旦隐私计算为数据收费构造好基础之后，下一个要解决的问题就是如何收费，而流支付或许是可供选择的重要方法，用流动的金钱来支付流动的数据。除薪酬、投资、数据流这三个应用领域外，流支付还有其他想象空间，比如用于租赁、游戏、顾问服务等等，在此就不一一展开。

如果你不止是对使用这种支付方式感兴趣，还想设计或接入流支付，可以去关注 ERC-1620，它是一个以太坊上的流支付标准，Sablier 正是基于该标准实现的。

比特币闪电网络也有流支付应用，它的名字叫 Joule，被设计用于小额支付、自动支付、流支付。如果你更关注的是比特币网络，那么可以去了解它，其开发工作由 Grant.io 联合创始人 Willie O'Beirne 主导。

二. 当钱从数字成为可编程对象

Sablier 的流支付是可编程支付的一种，但可编程支付远不止于此——毕竟 Sablier 仅仅使用了一个最简单的一次函数，Y = a · X。当钱或价值成为可编程对象后，理论上可以把它们放入任何的函数之中，来实现符合该函数模型的支付场景。

这会让支付与场景结合在一起，而在这个维度上的便捷性是我们从来也没设想过的，微信和手机银行始终是围绕单次的支付行动展开的，它们无视场景，当我们认为它们作为支付方式已经足够实用时，或许仅仅因为我们还没有打开新的维度，还没有想象过支付的其他可能。

可编程性还有另一个重要的意义：当可以对钱编程后，支付就不再是需要依靠外力才能触发的单个行动，它可以成为整个流程中自动执行的一部分。这种实现对于以机器为主要构成的自动化社会来说是至关重要的，它让支付不会成为需要干预的点或容易故障的点。

那么除了 Sablier 的流支付，支付方式还可以怎么去编程？

1. Y = a·X^2

Y =a·X 是一次函数，我们也可以使用二次函数，比如 Y = a·X^2 。在这种情况下，钱的流动不是均匀的而是加速的，随着时间的增长，单位时间需要支付的钱也越来越多。有这种支付场景吗？当然有。比如开源社区的开发者有些一个月只参与几个小时，有些一个月参与上百个小时，对于社区的发展，后者的重要性要高出很多，那么如果支付方式是参与时间越多单位时间的薪水越高，就能更好地鼓励后者。

与之相反的是二次方根，Y = m·√X，钱的流动是减速的，随着时间的增长，单位时间需要支付的钱越来越少。这似乎提供了一种更为灵活的会员制付费方式，参与的越多，收费越低，但用户不需要在事先做出承诺，也没有选择的压力，他是在使用服务的过程中被鼓励去更多地参与。

但二次方和二次方根都只是举例，对于一般的支付场景来说，这两个曲线随时间的变化都过于陡峭，实际中可能需要选择更接近于一次函数的曲线。

2.Z = a·X + b·Y + c

除了把时间作为自变量，还可以在函数中加入其他自变量或常量，因为在一些支付场景中，钱不仅是跟时间相关，比如它也可能跟工作量或工作质量相关。以 DAO 为例来讨论这种需求。

很多人相信自由职业会成为未来的一大趋势，而相比自由职业，DAO 可能又是一种更好的参与形式，因为在这种组织结构下，自由职业者可以在保持自由的同时，深度参与进一个组织的日常和发展；另一方面，创始人和管理者的工作也可以是一种自由职业，他们也能获得更高的自由度。

但如何为 DAO 的参与者分配收入会是一个棘手的问题，首先需要找出关键的指标，比如代码的数量、评定的分数等等，这当然很难，但假设指标已被确定后，就需要把这些指标放入函数中，通过代码来实现去中心化的自动支付，也就是可编程支付。这种支付方式对于 DAO 是至关重要的，不然 DAO 难以在支付这个环节贯彻其自组织、自动运行的属性。

三. 支付乐高

可编程性意味着可以通过代码实现不同函数；可编程性同时也意味着可组合性。在 DeFi 领域，这种可组合性越来越能够给系统的发展提供强大的动力，或许在支付领域，可组合性也同样能够爆发潜力。

这种可组合性包括支付协议与支付协议的组合，比如形成支付链。在版权问题上，当用户以某种支付协议购买歌曲后，各参与方就能以约定的分款比例在另一支付协议下收到费用，避免平台方数据造假；在货款问题上，当商品在一个支付协议中被售卖后，供应商就能通过另一个支付协议收到钱，避免被恶意拖欠……

可组合性还包括与 DeFi、与 DAO、与其他应用或协议的组合。在与 DeFi 的组合中，支付协议的潜能可能是通过结合带来创新的产品；在与 DAO 的组合中，支付协议是与其他财务协议一起组成会计系统，相当于实现公司财务系统的外包，DAO 只用关注自己的核心业务。

不过，就如同 DeFi 的发展过程、甚至以太坊上生态发展的过程一样，可组合性是要在基础组件完备之后才能释放力量，而在此之前是既要潜心研发、又要发起挑战并可能遭遇挫败的成长期。Sablier 和 Joule 都只是最基础的流支付，可编程支付还有漫长的路要走，但一旦它取得突破，相信就会带来超越我们之前认知的某种变革。

改用许倬云先生的一句话：虽然未见，但它或是一种远见。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2F536HuB7ArLTo4hfCNuaoV-zM3Q4GT_KSYqYlCF7veZg&height=800&display=iframe

第一次知道无损彩票PoolTogether的时候，就觉得它非常有趣，但我不明白自己为什么觉得它有趣，它看上去并没有什么了不得的地方：花钱买彩票，只不过中奖人的奖励不是奖池资金，而是奖池资金的利息，这样一来所有人的本金都不会消失，当不想参与的时候可以拿回原来的钱。

因为不知道为什么喜欢它，所以无法去写它，直到最近因为Libra和DCEP有了实质性进展，开始去看关于金融基础设施的相关文章时，看到Chris McCann的一个观点：嵌入式 Fintech。

Chris McCann：“金融部门和金融科技一直以来被视为服务于特定用例（银行业、借贷、交易等） 的垂直性行业。然而我们今天看到的却是嵌入式 Fintech的崛起。金融类功能不再是独立的应用，而是被嵌入人们已经在使用的所有消费者和商业应用。”

我想，这就是我潜意识里觉得无损彩票有趣的原因。并不在于它本身，而在于它揭示了一个方向或一个趋势：金融不再局限于金融领域，它可以寄生于不同领域的应用之中，有钱/资产的地方就可以有金融。

这是一件很有意义的事情。对于个体而言，这种方向或许能把我们相当数量的资产变为金融资产，也就是能为我们带来收入的资产，直白而言就是，我们的各种形式存在的「钱」都可以不停地为我们生钱。对于社会而言，这种方向把资产的流动性和效率激活到极致，每一分钱都可以被投入生产和创造。

接下来的另一个启发是，当我站在PoolTogether的角度去看DeFi时，就会发现目前的DeFi虽然有各种新鲜事物，但这些事物几乎可以全部归类为「基础设施」，它们是基础设施而不是应用场景，PoolTogether才是应用场景：PoolTogether是一个非金融的应用，使用Compound、MakerDAO组成的金融基础设施。

一直有个争论，就是把DeFi叫做Open Finance是否更好，但如果未来万物皆可金融，Open Finance会是一个很「大」的描述状态的词而不是有具体指代对象的词，那么用DeFi来指代以区块链技术为基础构建的去中心化的金融基础设施似乎更为贴切。

也就是说，DeFi是Open Finance的一种基础设施， Compound和MakerDAO都是DeFi，但比如PoolTogether，它是Open Finance，但我们不把它划入DeFi？

Open Finance的应用不必非要在区块链上，当然它也可以在，但这不重要。而DeFi是要以区块链技术为基础的。Open Finance的应用只是把DeFi「拿来」用一下，就像我们在淘宝买东西，付款时要把支付系统拿来用一下一样。我们现在有了初具规模的DeFi，但似乎比较缺乏以DeFi为基础设施的Open Finance应用。

二. 新金融基础设施

前文是无损彩票带来的启发。本文接下来的部分，是我最近看新金融基础设施的相关文章时，里边提到的一些有趣趋势。

1.可编程性带来的金融功能的可解耦和金融功能的可组合

邹传伟：“可编程性可以解耦原先绑定在一起的金融功能，还可以把原本不相干的金融功能组合在一起。

普林斯顿大学Markus Brunnermeier教授与合作者2019年一篇工作论文讨论数字化对货币的影响。他们认为，一方面，货币的多重功能可能被分拆，使得造成承担特定功能的货币之间更激励的竞争。另一方面，数字货币与平台生态的结合，可能重新组合货币功能。

本质上，他们研究的问题就是：可编程性解耦多重货币功能，突出某一方面功能，并与平台生态结合，以形成差异化。

当我们讨论数字货币与数字资产的时候，需要看到它们不是简单的Tokenization：第一，它们对应的资产可以丰富多样（货币只是其中最简单的一种），并伴随流动性创造和金融深化。第二，可编程性不仅是数字化，更是程序化和智能化。第三，可编程性对金融功能的解耦和组合，使得数字货币和数字资产能实现灵活的权益赋予、转让和保护等功能。”

2.把大而全的传统金融业务拆分成细分的金融产品

Chris McCann：“金融企业过去是大而全的业务，面向全体客户推出全套金融产品。金融科技企业主要是瞄准狭窄的垂直领域和客户群。每个金融科技公司对某个特定的产品部分展开进攻。”

3.金融产品的功能化

Kevin Sekniqi：“功能化是一个让终端用户对一组产品或服务的消费变得可重复、可扩展且可预测的过程，它也反过来使产品或服务物更美、价更廉；功能化是将一组产品或服务组合、转换和标准化为一个模块化的、可调用的功能，从而使该平台更具可扩展性、可重复性和可预测性。

功能化的基本要义是：找出独立存在的多个产品或服务，然后把它们组合为一个可重复且可扩展的单一新产品或服务。什么是加密网络的杀手级价值支撑元素？我们觉得答案就是，资产/资本流的功能化。”

对我而言，以上3个趋势有着相同的内核，它们谈论的都是金融的模块化。而开放式的、可编程的金融模块可能形成一个金融的「网络」，也就是接下来的这两个趋势。这个网络一旦形成网络效应，新的篇章就会开启。

4.开发者成为金融机构的重要客户

Chris McCann：“金融机构的设置过去是以既定人群为客户 ，或者以企业主为客户。然而，现在出现了一类新的用户：开发者。开发者不仅想接入金融机构的数据，更重要的是，他们希望接入银行所提供的底层功能，接入这些银行所使用的金融基础设施。

开发者们利用金融科技平台来启动新的金融科技应用，可能只需要几个小时。这极大节省了投入，也使得市场中金融科技应用的数量飞速增加。我的预测是，未来这一趋势将会进一步延续，金融基础设施平台会在一系列金融网络中发挥作用。

这些开发者平台将把横跨多个金融合作者的复杂运作抽象出来，让各类应用在其产品 （包括金融科技和非金融科技应用） 中嵌入金融科技服务。”

5.金融市场的共同网络

Kevin Sekniqi：“加密网络有很大机会打破私人市场和公共市场之间的鸿沟，使资本流毫不费力地在各种资产类别中转移，从而在金融市场中促成网络效应。

实现这一目标的方法，是一个可互操作的共同资产网络，资产将在其中被视为一种高等级的可编程对象，可在该网络中自由流转，且仅需通过简单的应用程序接口调用。换句话说，市场将从各个定制的、孤立的解决方案过渡到一个共同网络，即「去碎片化」。”

6.区块链应用于金融交易后处理

邹传伟：“金融交易后处理包含从交易完成到最终结算之间的过程，核心是证券和资金的清算和结算。如果CSD的结算和账本维护功能通过区块链来实现，那么CSD与证券结算系统融为一体，所有市场参与者共享一个账本，将带来以下好处：

一是简化和自动化交易后处理工作，降低CSD和各种中介机构在后台对账和确认交易细节信息的工作量；二是缩短结算所需时间，减小结算风险敞口；三是因为交易有关信息由交易双方共享，能促进自动清算；四是缩短托管链，使投资者可以直接持有证券，降低投资者承担的法律、运营风险以及中介成本；

五是可跟踪性好，透明度高；六是去中心化、多备份能提高系统安全性和抗压性。最后，Token化证券的持有者可以通过智能合约编程，对证券进行自动化管理，以实现灵活的风险转移、对冲和资源配置等功能，Token化证券把自动化管理能力下放到证券持有者。”

以上是一系列新金融基础设施相关文章中，对我最有启发的五点。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2FzuHU5vyxVqYSnmDUFHwBlsu3onyzYNLNJkHYsXPYomk&height=800&display=iframe

柔性电极是一种比头发丝还细的电极，它与柔软的脑组织相匹配，可以被长久地植入大脑，并贴在神经元上传递清晰的信息。柔性电极及其植入技术使得脑机接口不再是科幻，而是触手可及的未来。

脑机接口的未来，在科幻的世界里是怎么样的？

有两个作品讲了两种极其悲观的未来，分别是关于信息的读出和信息的写入的。

在信息的读出上，是一本叫《量子窃贼》的小说，它是从一个糕点师的大脑私钥被盗导致的意识失窃案开始的故事。如果我们无法对大脑的输出加密，个体是间接被控制的，这也是我认为各种在不暴露数据的情况下实现数据可用性的技术是未来重要课题的原因。

在信息的写入上，是黑镜中《Men Against Fire》那一集，是一个输入设备篡改了真实世界的故事。如果我们滥用大脑的写入，个体是直接被控制的。允许什么程度的信息写入会是一个大大的选择题，我们能否抵御写入的诱惑（巨大的诱惑、滑入其中的诱惑）不得而知。

脑机接口的未来，在现实的世界里是怎么样的？

它也许会把人类和人类社会更进一步、甚至全面地从物理世界推入数字世界。因为到那个时候，信息的最重要的、占压倒性优势的载体将是数字，而不是其他任何选项。

关于「信息」的意义，诺伯特·维纳有极富启发性的见解，他认为：“任何有机体都是因为拥有获取、使用、保存和传播信息的手段才得以维系和生存”。以及：“像个体一样，社会系统是一个组织，它通过通信系统结合在一起”。

如果信息的载体是数字的而不是物理的，那么不管是作为个体的人，还是作为组织的人类社会，无疑是生活在数字世界中的。

正在进入数字世界的我们，面临的最大的问题是什么？

也许是秩序的缺失。人类的历史也是一个秩序建立的历史，我们有物理世界的秩序，但远远还没有建立起数字世界中的新秩序。这其中最敏感的一个主题或许就是自由。在物理世界中，绝大多数个体知晓自由和自由的边界、也有道德和法律来保护自由以及约束自由；但数字世界中，我们更容易看到两个极端。

在一个极端，自由只存在于名义上。齐泽克讲过一个苏联笑话：

“一个德国劳工在西伯利亚找到一份工作。他知道从那边写信回国，肯定逃不过审查官的法眼，于是跟朋友约定：如果我给你写的信是用蓝墨水写的，就说明信上的一切都是真的；如果是用红墨水写的，那就是假的。一个月之后，朋友收到了他的来信，信是蓝墨水写的：这里的一切都奇妙无比：商品琳琅满目，食物丰富多样，公寓不仅宽敞，暖气也很充足，电影院里放的全是西方大片，还有很多漂亮女孩，可与她们眉来眼去。只是一样不好：红墨水缺货。”

在另一个极端，是绝对的自由。但数字世界中，绝对的自由是可行的吗？或者更现实的一个问题，「内容」应该是完全不受约束的吗？这同样是值得思考的。

比特币、货币、账本……它们抗审查没有问题，这些信息不会伤害其他人；但内容是可能对其他人造成伤害的，伤害的对象不只是内容中涉及到的人，还有对看到这些内容的人造成的影响进而导致的实际上的某种伤害，比如蓝鲸游戏。

前种伤害也许可以通过物理世界和数字世界的身份的脱钩而弱化，但后种伤害是难以避免的。当我们呼吁自由的时候，往往是从内容发出者的角度，而忽视了内容的接收者。

但自由的边界在哪里，如何维持边界，我不知道；但谈论约束自由，是否就像在一个「me too」远未被正视和解决的环境中谈论《狩猎》，这种谈论本身是否不恰当？我不知道。

与进入数字世界相关的另一个话题是博弈与合作，因为这个重要的议题或许也会因为数字化而发生变化，需要重新认识。

人是自私的，但人类的合作是可能的且重要的。一个重要的讨论合作的可能性的实验是罗伯特·阿克塞尔罗德的「重复囚徒困境」游戏，他邀请全世界最杰出的对策专家来设计策略进行重复囚徒困境博弈，这些对策专家来自经济学、社会学、心理学、数学等等领域。

最后，游戏的胜利者是所有策略中最简单的一种：一报还一报。即如果对方在上一步背叛，自己在这一步就选择背叛；如果对方在上一步合作，自己在这一步就选择合作。罗伯特又邀请更多的人来设计策略，且这次的参与者知道上次获胜的是一报还一报，他们可以针对该策略进行设计，但最后，获得胜利的依然是一报还一报。

一报还一报揭示了基于回报的合作的可能性，但这种合作有一个重要的前提：“合作的进化要求个体有足够大的机会再次相遇，使得他们能形成在未来打交道的利害关系”（罗伯特）。

但在数字世界中，个体或组织是否有足够大的机会再次相遇？未来打交道的利害关系和眼下的利益相比，是否重要？如果抽象一点，数字世界更多的是一个稳定环境的世界，还是一个变动环境的世界？

如果很少再次相遇或者不依赖于再次相遇，合作的一种重要前提条件没有了，那么数字世界的合作的可能性来自于哪儿，合作的形态会是什么样的？如果没有合作，在物理世界中有效的行为方式或生存方式会如何改变？对于DeFi 世界中的我们来说，不管是协议设计者，还是协议投资者，这些已经是现实的考量。

脑机接口的未来，在哲学的世界里是怎么样的？

脑机接口提供了一个好的条件，也许是前所未有的条件，让我们思考人是什么，以及思考机器/人工智能是什么。

如果写入信息、输出信息都可以被取代，人剩下的是处理信息，它的处理的特别之处在于当我们根据输入产生决策做出输出后，会把输出导致的结果再次输入（反馈），而这个反馈将作为一个因素影响我们下一次的决策。

这个反馈过程也是人类克服熵增的工具。如果人类丧失了这个反馈过程，或许人是机器；如果机器实现了这个反馈过程，或许机器也是人。

此外，脑机接口弱化了肉体的重要性，也许离意识上传脱离肉体还很远，但至少人只需要维持头部的活性即可，医学如果能做到这一点，人就不会死；即便头部维持技术一时半会儿未能实现，濒临死亡的人也可以选择冷冻头颅等待未来，相较于冷冻身体，冷冻头颅的费用对于大多数人而言可能是可承受的。

这也许意味着现存在世界上的人们，有可能成为人类历史上第一代「永生」的人，但死亡是哲学诸多命题的出发之处，没有了死亡，哲学可能将是全新的议题、全新的内容。想想都很有趣，一个鸿蒙初辟的世界。

那么就写到这儿吧。这是一篇三脚猫一样的文章，我对自己所写的知之甚少；而且匆匆写完未经周全的考虑，有什么不当之处还请不吝指出。

https://widget.0xecho.com?color-theme=light&desc=&has-h-padding=true&has-v-padding=true&modules=comment%2Ctip&receiver=0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b&target_uri=https%3A%2F%2Fmirror.xyz%2F0x8142B9A50a603eA0eD05C5D71E91E0FC41a6EF0b%2F9eL-trC6l6Bp6UgL4tl6sSEWutG0wUns3fiXW9bz8Jk&height=800&display=iframe