比特币白皮书内容解读
摘要
比特币白皮书，正式名称为《比特币：一种点对点的电子现金系统》，详细描述了一种革命性的电子现金系统，该系统完全依赖点对点（P2P）技术实现。其核心目标是建立一个在线支付体系，允许交易直接在交易双方之间进行，彻底摆脱对传统金融机构的依赖。虽然数字签名技术在一定程度上提供了安全保障，但如果仍然需要银行或支付处理商等第三方中介来防止双重支付，电子现金系统所追求的自主性和效率优势将大打折扣。
白皮书的核心创新在于提出了一种基于点对点分布式时间戳服务器的解决方案，以应对双重支付问题。该方案通过构建一个公开、透明且按时间顺序排列的交易记录链，即区块链，来验证交易的有效性。每个交易都会被广播到网络中的所有节点，节点通过工作量证明（Proof-of-Work, PoW）机制竞争记账权，并将交易打包成区块添加到区块链上。这种机制确保了交易的不可篡改性和唯一性，从而有效防止了双重支付的发生。
系统的安全性基于一个关键假设：只要诚实节点的总计算能力（算力）超过任何试图攻击或破坏系统的恶意节点的算力总和，整个系统就能保持正常运行。换句话说，只要参与维护网络的节点中，诚实节点的数量和算力足够强大，就能够抵御潜在的攻击，确保交易的有效性和系统的稳定性。这种去中心化的设计理念是比特币能够长期稳定运行的关键所在。
1. 简介
在当今的互联网商务环境中，几乎所有电子支付都依赖于金融机构作为可信第三方进行处理。虽然现有的金融系统在很大程度上运作良好，但其内在的信任机制使其存在固有的弱点。例如，完全不可撤销的交易在现实中是难以实现的，因为金融机构始终需要在争议发生时充当中间调解人的角色。这种中心化中介的存在增加了交易的总体成本，尤其是在跨境交易中，并且客观上限制了实际可行的最小交易规模。这同时也阻碍了小额、零星的交易活动，使得微支付等场景难以有效开展。更重要的是，由于交易存在潜在的回撤和逆转风险，商家必须对其客户保持警惕，并需要索取更多不必要的个人信息以降低风险。一定比例的欺诈行为被认为是难以避免的，直接增加了商家的运营成本。上述的这些成本以及支付流程的不确定性可以通过使用点对点（P2P）电子现金系统来有效规避。P2P系统允许在线支付直接从一方发送到另一方，从而避免了对传统金融机构的依赖。数字签名技术在一定程度上提供了一种解决方案，但如果仍然需要一个可信的第三方来防止双重支付攻击，那么数字签名带来的主要优势将会大打折扣。 本文提出了一种创新的解决方案，即使用点对点分布式时间戳服务器来生成一个按时间顺序排列的公开交易记录，从而有效地解决双重支付的问题。该方案通过去中心化的方式，利用密码学原理保证交易的有效性和安全性，无需依赖中心化的信任机构。
2. 交易
中本聪的比特币白皮书将“电子货币”巧妙地定义为一系列数字签名链。 在这个系统中，每一位所有者通过创建一个包含新所有者公钥的交易，并使用其私钥对该交易的哈希值以及 前一个 交易的哈希值进行数字签名，然后将这个签名附加到该电子货币的末尾，从而实现货币的转移。 下一位收款人随后可以通过验证链中所有签名来确认交易的有效性，以此来确认资金来源的可靠性与所有权的转移。
然而，这种看似简单的方案面临一个关键的挑战，即收款人如何确定之前的某位所有者是否已经对同一笔电子货币进行了双重支付，这被称为“双花”问题。 传统的解决方案依赖于一个可信赖的中央机构，例如银行或支付处理商，来审查每一笔交易，以确认是否存在双重支付的企图。 在这种模式下，每笔交易完成后，电子货币必须返回到类似“铸币厂”的中央机构进行验证，然后发行新的货币，并且只有由该“铸币厂”直接发行的货币才被认为是有效的。 这种中心化解决方案的根本问题在于，整个货币系统的安全性和可靠性完全依赖于运营该中央机构的公司的信誉和能力，并且每一笔交易都必须经过该机构的批准，这与传统银行系统的运作方式非常相似。 这不仅增加了交易成本，也带来了单点故障的风险。
为了解决上述中心化的问题，比特币白皮书提出了一种创新的方法，旨在使收款人确信付款人没有尝试签署任何更早的交易（即双重支付）。 这个方法的核心在于将每笔交易公开广播到整个网络，并建立一个去中心化的机制，使网络中的所有参与者能够就交易发生的先后顺序达成共识。 更具体地说，收款人需要获得足够强的证据，证明在特定交易发生的时间点，网络中绝大多数节点都认同这笔交易是他们首次接收到的有效交易。 这就避免了对中央权威的依赖，并为创建一个无需信任的电子货币系统奠定了基础。
3. 时间戳服务器
比特币白皮书的核心创新之一是从时间戳服务器入手，从而构建了一个去中心化的信任系统。时间戳服务器的功能是为数据块的创建和存在提供可验证的时间证明。其运作方式如下：服务器接收一批需要加盖时间戳的数据块，计算这些数据块的哈希值，并将此哈希值广泛发布。发布的媒介可以是传统的报纸、Usenet 新闻组，或者更现代化的分布式账本，关键在于确保信息的广泛可访问性和抗篡改性。
时间戳的本质在于证明特定时刻数据的确存在。由于哈希函数的单向性，一旦哈希值被公开，任何人都无法在不改变哈希值的前提下修改原始数据。这意味着，当某个哈希值出现在特定的时间戳中，就可以确信，在那个时间点，对应的数据块已经存在。
为了进一步增强安全性，比特币采用了链式时间戳结构。每个新的时间戳不仅包含当前数据块的哈希值，还包含前一个时间戳的哈希值。这种方式形成了一条时间戳链，类似于区块链。每个后续的时间戳都有效地加强了其之前的每一个时间戳，使得篡改历史数据变得极其困难。攻击者不仅需要修改特定数据块，还需要重新计算该数据块之后的所有时间戳，这在计算上几乎是不可行的，从而确保了时间戳系统的安全性和可靠性。
4. 工作量证明（Proof-of-Work, PoW）
为了构建一个完全去中心化且基于点对点的分布式时间戳服务器，系统必须依赖于密码学机制，而非中心化的权威机构或传统媒体，例如报纸或Usenet帖子。为此，借鉴Adam Back的Hashcash的设计思路，采用工作量证明(Proof-of-Work, PoW)机制，确保网络的安全性与一致性。 工作量证明机制的核心在于寻找一个哈希值，这个哈希值经过哈希运算后，结果的前导位包含特定数量的零。找到这样的哈希值的难度与所需前导零的数量呈指数关系增长，但验证其有效性只需要进行一次哈希运算即可。
在时间戳网络中，工作量证明的实现方式是：对区块头中的一个称为“nonce”（随机数）的字段进行迭代调整，并通过SHA-256等哈希算法不断计算区块头的哈希值，直到找到一个满足预设难度目标的哈希值。 难度目标由网络动态调整，确保区块产生的平均时间间隔稳定。 一旦一个CPU投入足够的计算资源找到了满足工作量证明的nonce值，该区块就被认为是有效的，并且任何对该区块的篡改都将导致哈希值失效，从而需要重新进行全部计算才能获得新的有效哈希值。
更重要的是，由于后续的区块会包含前一个区块的哈希值，形成一个链式结构，因此任何对历史区块的篡改，都必须重新计算该区块及其之后的所有区块的工作量证明。这种机制有效地保护了区块链的历史数据，增强了其不可篡改性。 工作量证明机制同时解决了在去中心化网络中进行多数决策时如何确定代表性意见的问题。 在没有中心化机构的情况下，简单地基于IP地址进行投票容易受到Sybil攻击，即攻击者可以轻易分配大量的IP地址来控制投票结果。 工作量证明机制有效地将投票权与计算资源消耗联系起来，实现了“一CPU一票”的效果。 在大多数诚实节点控制着算力的情况下，最长的区块链代表了绝大多数诚实节点的共识，从而代表了多数决策的结果。 为了篡改过去的区块，攻击者必须投入比诚实节点更多的计算资源，重新计算该区块以及其后所有区块的工作量证明，并且其计算速度必须超过诚实节点，才能最终超越诚实节点的链。 然而，随着新区块的不断产生和加入，攻击者成功追赶并超越诚实链的概率将呈指数级下降，进一步增强了网络的安全性。
为了应对硬件性能的持续提升和节点参与度的变化，工作量证明的难度会根据一个移动平均值进行动态调整。 难度调整的目标是维持一个相对稳定的区块生成速率，例如平均每10分钟产生一个区块。 如果区块的生成速度过快，网络将自动提高难度，反之亦然，从而保证了整个网络的稳定性和可预测性。
5. 网络
运行加密货币网络的步骤至关重要，确保交易的验证和区块的持续生成。以下是详细描述：
- 交易广播： 新创建的交易会通过点对点网络广播到所有参与的节点。这个过程确保交易信息在整个网络中传播，等待被验证和添加到区块链中。 广播机制旨在覆盖尽可能多的节点，提高交易被纳入区块的可能性。
- 区块构建： 每个节点接收到广播的交易后，会将这些未确认的交易收集到一个新的候选区块中。 节点会根据交易的有效性（例如，交易签名是否正确，是否有足够的余额进行支付）对交易进行验证，并将有效的交易添加到区块。 一个区块通常包含一定数量的交易，这个数量受区块大小的限制。
- 工作量证明（PoW）： 为了使区块有效，节点必须解决一个复杂的数学难题，这个过程称为工作量证明。 节点需要不断尝试不同的随机数，直到找到一个满足特定条件的哈希值。 找到有效哈希值的难度由网络动态调整，以保持区块生成速度的稳定。这个过程需要大量的计算资源，从而防止恶意攻击者轻易篡改区块链。
- 区块广播： 一旦节点成功找到满足难度要求的工作量证明，它会将包含工作量证明的完整区块广播到网络中的所有其他节点。 广播的区块包含了已验证的交易记录以及用于证明其有效性的工作量证明。
- 区块验证与接受： 接收到新区块的节点会验证该区块的有效性。 验证过程包括检查工作量证明的正确性、验证区块中所有交易的有效性（例如，确保交易的输入未被双重支付）、以及确认该区块是在已知最长链的末端创建的。 只有当区块中的所有交易都有效，且交易之前未被支出，节点才会接受该区块。
- 链的扩展： 节点通过将新接受区块的哈希值包含在下一个待挖掘区块的头部中，来表示对该区块的接受。 这种哈希值的链接关系将区块按时间顺序连接起来，形成了区块链。 每个新的区块都建立在前一个区块的基础上，从而创建了一个不可篡改的交易记录。
在区块链网络中，最长的链被认为是权威的链，代表了网络共识的状态。 节点会持续尝试扩展这条最长的链，这意味着它们会尝试在最长链的末端挖掘新的区块。 如果两个节点几乎同时广播了不同版本的下一个区块，网络可能会暂时出现分叉。 一些节点可能会接收并基于一个版本进行工作，而另一些节点可能会选择另一个版本。 在这种情况下，节点会暂时保存这两个分支，但会优先在收到的第一个区块上继续挖掘，并监控哪个分支增长得更快。 当其中一个分支通过找到下一个工作量证明而变得更长时，网络上的节点会切换到更长的分支，从而解决临时分叉，并确保整个网络最终达成共识。 这种机制保证了区块链的一致性和可靠性。
为了保证网络的健壮性，新交易的广播不需要到达网络中的每一个节点。 只要交易能够到达足够多的节点，它最终会被包含进一个区块中。 类似地，区块的广播也允许存在消息丢失的情况。 如果一个节点没有收到某个区块，它会在收到下一个区块时，通过向其他节点请求缺失的区块来同步区块链。 这种容错机制确保即使在网络连接不稳定或存在消息丢失的情况下，区块链也能保持同步和一致。
6. 激励机制
在区块链网络中，每个区块包含一系列交易记录。按照惯例，一个区块中的首笔交易是一种特殊的“coinbase”交易，用于生成新的加密货币，并将这些货币奖励给成功创建该区块的矿工或验证者。这种机制是激励节点参与网络维护和安全的关键。由于没有中央银行或管理机构负责发行加密货币，这种方式提供了一种去中心化的货币发行和分配机制。通过预先设定的规则和算法，逐步释放一定数量的新货币，激励机制鼓励节点持续投入资源维护网络运行，同时也保证了货币逐渐进入流通。
除了区块奖励（coinbase交易），交易费用也是激励机制的重要组成部分。用户在发起交易时，可以选择支付一定的交易费用，这些费用会附加到交易中。如果一笔交易的输出总值小于输入总值，其差额即为交易费用。该费用会被计入包含此交易的区块的奖励总额，最终由成功创建该区块的矿工或验证者获得。随着流通中的加密货币数量逐渐接近预设上限，区块奖励的金额会逐渐减少，直至最终完全依赖交易费用作为主要的激励来源。这种设计可以确保即使在不再产生新的加密货币后，节点仍然有足够的经济动力来维护网络的正常运行，避免通货膨胀风险。
7. 回收硬盘空间
为了优化区块链的存储效率，并降低参与节点的硬件要求，比特币协议引入了回收硬盘空间的机制。当一个比特币交易被包含在足够多的区块中，即被足够多的后续区块“覆盖”时，该交易的历史数据可以被安全地丢弃，从而释放硬盘空间。这是因为足够多的区块确认确保了该交易的不可篡改性，历史交易细节对后续的验证和交易处理不再是必需的。
为了在删除历史交易数据时保持区块链的完整性，并避免破坏已有的区块哈希值，比特币采用了一种名为 Merkle 树的数据结构。Merkle 树是一种二叉树，其叶子节点是交易数据的哈希值，而非叶子节点是其子节点哈希值的组合哈希值。通过这种方式，所有交易数据都被组织成一个树状结构，最终的树根，即 Merkle 根，被包含在区块头中。这意味着即使删除了大部分交易数据，只要保存 Merkle 根，就可以验证区块中是否包含特定的交易。
旧区块可以通过移除 Merkle 树的非根节点分支（即不再需要的交易数据哈希值）来进行压缩，从而减小区块的大小。核心在于，只需要保留 Merkle 树的根节点（Merkle 根），就足以验证该区块包含的所有交易的完整性，因此无需保存 Merkle 树的内部哈希值，从而进一步节省空间。
一个不包含交易数据的块头（仅包含时间戳、前一个区块哈希值、Merkle 根、难度目标等信息）大约为 80 字节。按照平均每 10 分钟生成一个区块的频率计算，每年产生的区块头数据量约为 4.2 MB (80 bytes/块 * 6 块/小时 * 24 小时/天 * 365 天/年 ≈ 4.2 MB/年)。即使将所有区块头数据存储在内存中，对于当前的计算机系统来说，也是完全可以接受的。根据摩尔定律，计算机的性能和存储容量将持续增长，预计每年将增加约 1.2 GB 的内存容量，因此存储区块链数据的压力将进一步减轻。
8. 简化支付验证 (SPV)
简化支付验证 (SPV) 允许用户在无需下载完整区块链的情况下验证交易的存在性和有效性。 传统的完整节点需要下载并验证整个区块链，这需要大量的存储空间和带宽。 SPV 客户端则只需下载区块头，区块头包含了区块的元数据，例如前一个区块的哈希值、时间戳和 Merkle 树的根哈希值。 通过查询网络上的完整节点，SPV 客户端可以检索到与特定交易相关的 Merkle 分支，并利用已下载的区块头信息来验证该交易是否包含在区块链中。
SPV 的安全性依赖于诚实节点控制的网络算力大于攻击者。 攻击者如果想要欺骗 SPV 客户端，需要控制网络的大部分算力，从而能够构建一条比诚实链更长的伪造链。 这种攻击被称为 51% 攻击。 然而，随着网络规模的扩大和去中心化程度的提高，攻击者控制足够算力的难度也呈指数级增长，因此 SPV 在实际应用中仍然是一种相对安全的支付验证方式。 重要的是，SPV 客户端应连接到多个节点以进一步提高安全性，并减轻单点故障风险。 即使部分节点受到攻击，客户端仍然可以依赖其他诚实节点来获取准确的区块链信息。 Bloom filter 等技术可以用来优化 SPV 客户端的隐私，防止节点获知客户端正在查询哪些特定交易。
