Zcash开发者提出量子隐私修复方案以应对NEAR Intents交易

Zcash基础设施开发者Zakura提出了一项新的钱包安全功能，为通过NEAR Intents进行的每笔ZEC交易提供单独的查看密钥，以保护用户的交易历史免受未来量子计算攻击的潜在威胁。

摘要

• Zcash开发者Zakura提出了一项新的钱包功能，为通过NEAR Intents进行的每笔ZEC交易分配一个单独的查看密钥。
• 该提案解决了一个隐私风险，即公开暴露的Zcash地址可能使未来的量子计算机能够揭示用户的历史支付记录。
• Zakura的设计将限制任何恢复的查看密钥仅适用于单笔交易，同时保持钱包现有的支出密钥不变。
• 该系统将使用私密信息检索，帮助钱包恢复交易而不将其地址暴露给数据库运营商。
• 使用Zakura库的软件钱包，包括Vizor，可能在未来几周内集成该功能，而硬件钱包的支持将随后推出。

在一篇工程帖子中，Zakura开发者Adam Tucker解释说，所提议的系统将防止攻击者利用单个公开暴露的Zcash地址揭示用户在其隐私账户中收到的支付。

该功能称为一次性入站查看密钥，将为每笔交易生成不同的密钥，同时保持钱包现有的支出密钥不变。根据团队的说法，使用Zakura开源库构建的钱包可以在未来几周内开始集成该功能。

Zakura将NEAR Intents视为一个特别关注点，因为跨链交换服务在NEAR的公共区块链上永久发布某些Zcash地址，即使交易完成后也不需要退款。

尽管当前的计算机无法利用暴露的信息恢复底层查看密钥，但团队警告说，足够强大的量子计算机最终可能会做到这一点。

通过NEAR Intents的Zcash交易暴露退款地址

NEAR Intents允许用户在不同区块链之间交换资产，而无需手动管理交易的每个步骤。

当有人在以太坊上将隐私ZEC兑换为USDC时，他们的钱包会将ZEC发送到与该服务相关的存款地址。交换请求包含一个退款地址，任何未使用的ZEC可以返回到该地址。

根据Zakura的技术解释，一旦存款注册，退款地址将在NEAR的公共区块链上记录。

即使交换成功且服务从未发送退款，该地址仍然是公开可访问的。

Zcash钱包通常可以生成多个看似无关的隐私地址。然而，与单个账户相关联的地址通常共享一个入站查看密钥，这使得钱包能够识别和解密发送给它的支付。

底层的加密技术使用椭圆曲线计算，常规计算机无法实际逆转。

Zakura警告说，运行Shor算法的足够强大的量子计算机理论上可以从一个暴露的隐私地址中恢复入站查看密钥。

拥有恢复密钥的攻击者随后可以识别账户收到的支付，包括其金额和附加的私人备注。

这种暴露涉及交易隐私，而不是对资金的直接控制。Zcash使用单独的加密密钥来授权支出，这意味着恢复的入站查看密钥本身不会允许攻击者转移用户的ZEC。

团队解释说，隐私交易通常不会在Zcash区块链上公开发布收件人的地址。然而，公开记录的交换地址创建了一个永久的信息来源，未来的攻击者可能会收集这些信息。

该问题适用于双向交换。从ZEC兑换到其他网络资产的交易所发布退款地址，而兑换到ZEC的交易则发布接收的隐私地址。

Zcash在跨链交易中的使用已超越普通代币转移。9月份，Aurora Intents处理了超过1900万美元的交易，涉及1718笔与zkSNARKS拍卖相关的交换，占转换并存入ZEC计价销售资产的一半以上。

这些交易使用NEAR Intents求解器将其他网络的资产转换为ZEC，而目的地的出价则保持在Zcash上是隐私的。

Zakura提出的修复方案保持支出在一个账户下

Zakura提出的解决方案为每个交换地址分配一个单独的传入查看密钥，而无需用户每次都创建一个新的钱包账户。

在该设计下，钱包使用其现有账户凭据、地址的预期用途和一个标识交换的索引派生出一个新密钥。

因此，每个地址将拥有自己的查看密钥，而原始支出密钥仍然控制通过所有这些地址接收的资金。

工程帖子解释说，该过程改变了用于派生传入查看密钥的随机组件。账户的授权和无效密钥保持不变。

Zakura使用了一种密钥哈希构造，这种构造已被Zcash的ZIP 32密钥派生系统采用，并使用一个单独的域标识符来区分交换密钥与现有内部钱包密钥。

根据团队的说法，恢复一个交换的查看密钥只会揭示与该地址相关的支付。将恢复的密钥链接到其他交换地址需要反转基于哈希的派生。

为每笔交易创建一个完全独立的Zcash账户可以提供类似的分离，但Zakura表示这种方法会给硬件钱包用户带来问题。

根据帖子，Keystone的Zcash实现目前仅支持从账户索引0签署交易。Ledger可以访问多个账户，但在从不同账户支出资金时需要单独的交易和批准。

因此，用户如果在多个交换账户中积累了资金，在尝试支出时可能会面临限制或重复的批准请求。

提议的一次性密钥设计将使资金可以通过原始账户及其现有授权流程进行支出。

Zakura表示，其实现将在一次ZEC交换的变更输出中留下一个加密注释。该注释记录用于派生退款地址的索引，允许钱包在恢复时重建适当的密钥。

一旦NEAR完成交换，任何返回到指定地址的未使用ZEC可以使用钱包的正常支出密钥进行支出。

钱包恢复使用私有数据库搜索

Zakura提案的另一个部分解决了当钱包需要恢复与数百个单独查看密钥相关的支付时所产生的额外工作。

Zcash钱包通常通过检查加密交易输出与其查看密钥来识别传入支付。

在提议的设计下，每个交换将生成另一个密钥，在钱包恢复期间可能需要检查。

根据工程帖子，使用每个密钥反复扫描整个区块链将使恢复随着交换数量的增加而逐渐变慢。

Zakura提议使用私有信息检索（PIR）来定位相关交易，而不向数据库操作员透露钱包的地址。

该系统依赖于NEAR的Zcash桥的一个特定功能。其传出交易使用全零的传出查看密钥，允许交易按其目标地址进行索引。

恢复交易历史的钱包首先会下载识别可能通过桥接收到付款的地址的过滤器。

这些过滤器是完整下载的，因此服务器不会知道哪些地址属于用户。

当过滤器识别出可能的付款时，钱包会使用PIR提交加密的数据库请求。服务器可以返回匹配交易的位置，而不会知道查询的是哪个地址。

Zakura表示，该系统使用了为其透明钱包查找和Zcash持币人投票开发的相同基于格的私密检索技术。

对于ZEC的交换，恢复过程略有不同，因为接收钱包不会创建包含地址索引记录的Zcash出站交易。

在这些情况下，钱包会按顺序生成地址，并将其与已发布的过滤器进行检查，直到遇到30个连续的地址，这些地址既没有收到付款，也没有提供给NEAR。

团队表示，放弃的交换报价不会导致地址被重复使用，因为每个新交易都会接收一个NEAR之前未遇到的地址。

Zcash量子保护仍在开发中

Zakura的提案正值Zcash开发者准备针对未来量子攻击交易签名的单独保护措施。

正如crypto.news之前报道的，开发者已将2027年1月作为引入后量子签名指令的目标，这将允许透明的Zcash交易使用基于哈希的签名。

提议的指令将解决与一次性查看密钥不同的安全问题。它们旨在保护支出授权，而Zakura的最新设计则专注于防止历史隐私支付通过暴露的地址相互关联。

根据早期报道，截至10月8日，约有1196万ZEC，约占已发行供应的70%，存放在透明地址中。

Zcash的7月Ironwood网络升级通过ZIP 2005引入了量子可恢复票据，允许在量子计算威胁现有加密保护的情况下开发未来的恢复机制。

然而，该功能并没有独立使网络具备量子安全性，因为仍需设计和激活单独的恢复协议。

关于量子攻击的担忧在谷歌最新的研究涉及其Willow处理器后引起了关注。

10月15日，谷歌报告称，使用一种称为魔法状态培养的技术，量子计算错误减少了40倍。

尽管该实验在研究人员的测试方法下达到了99.99%的逻辑保真度，但并未展示对比特币、Zcash或其他加密货币网络的攻击。

尚未公开展示出能够恢复Zcash使用的椭圆曲线密钥的量子计算机。

Zakura尚未宣布其一次性查看密钥功能的确认发布日期。团队预计，使用其加密库的软件钱包，包括Vizor，将在未来几周内开始集成该设计。

硬件钱包的支持将在相关固件能够适应新的密钥派生过程后跟进。