解读比特币白皮书：点对点电子现金系统

￡神魔★判官ぃ 2021-07-29 02:16 554阅读 0赞

### 比特币：点对点电子现金系统 ###

> **批注 \[老阎1\]:** 这是比特币白皮书中文翻译版，网上有 很多白皮书翻译有误，很容易掉坑里，所以老阎找到了 一个翻译的比较靠谱的版本来给大家解读。英文好的可 以直接阅读原文，比特币白皮书英文原版地址：[https://bitcoin.org/bitcoin.pdf][https_bitcoin.org_bitcoin.pdf]

### 摘要 ###

【摘要】一个完全地（使用）点对点的改进版电子现金，将支持一方直接发送 给另外一方的在线支付方式，而无需通过金融机构。"数字签名"提供了部分解 决方案，但如果还是需要一个被信任的第三方来防止"双重支付"，则丧失了其 关键价值。我们提出的 "双重支付"问题解决方案是使用"点对点"网络。该网络 使用"hashing(哈希)" 将交易打上"时间戳"，以此将所有交易合并为一个不断延 展的基于哈希的"工作量证明"链条，构成（交易）记录。除非重建"工作量证 明"，该记录不可能被篡改。最长的链条不仅作为被目击事件序列的证明，还（表明）该证明来自最大规模的 CPU 算力池。只要被节点所控制的大多数 CPU 算力没有协同一致攻击网络，那么他们将生成最长的链条，超越攻击者。 此网络本身只需极少的基础设施。信息尽最大努力进行广播，节点可以随意离 开或重新加入网络，其离线期间所发生（的所有交易），由其（补充）接收最 长的"工作量证明"链条即可验证。

> **批注 \[老阎2\]:**中本聪提出了一个去中心化电子现金的 解决方案。十年运行的历史证明了这是一个精妙绝伦的 设计。
> 
> 想象有多大，价值便有多大。
> 
> 想象 1：去中心化可以被解读成去中介化，去掉中间繁琐 的流程与成本，因此也被称为是生产关系的改变，能革 掉很多中心化机构的命
> 
> 想象 2：电子货币的普及化，甚至比特币化，今后全世界 将能使用比特币进行便捷支付，不再经过换汇、汇款时 间不定、账目算不清等繁琐问题，极大刺激贸易的爆 发，促进文明的发展。秦始皇的伟大不只是中国的第一 个皇帝，而是统一了文字，统一了货币。
> 
> **批注 \[老阎3\]:** 要构建一个去中心化的电子现金系统， 数字签名（非对称密码学）解决了点对点直接交易的问 题，但交易过程中，在没有一个信任中心处理交易的情 况下，还有一个双重支付（一笔钱不能支付两次）的问 题，需要用到点对点网络的方案来解决，其中涉及了哈 希计算、时间戳、工作量证明链条等技术。 其实白皮书整篇论述的就是如何解决去中心化的点对点 交易问题，其中重点论述如何防止双重支付。 此问题解决代表着互联网价值唯一性的出现。

### 一、导言 ###

互联网商业，逐渐发展成为几乎完全借助作为被信任第三方的金融机构来处理 电子支付业务。然而，该系统即使目前运转良好，足以应付大多数交易业务，

但它还是受困于其固有的“基于信任模式”缺陷的问题。（互联网商业中，）“完全不可逆交易” 并非真正可行，原因是会导致金融机构不能避免地卷入争端的调解。这种调解成本导致的交易成本增加，限制了可实现交易的最小规模，同时断绝了日常小额交易的可能性，而且还有一种更为广义的成本，即为不可逆服务而设计出来的不可逆支付能力将会减弱。伴随着（交易）撤销可能性的是信任需求扩张。（由于交易可能单方面撤销，）商人们必须对他们的顾客保持戒备，由此，为了获取更多的信息不断烦扰顾客，（即使该信息量）远超他们所需。甚至无可奈何地接受一定程度上的欺诈。（现实中），人们使用物理货币时，这些成本与支付的不确定性能够避免，但（在互联网商业中），没有商家会通过一种没有信任方的信息渠道进行支付。

因此，一种以建立在密码学基础上的证明来替代信任的电子支付系统，就很有 必要，该系统允许任何有交易意愿的双方直接相互交易，而不需要一个被信任 的第三方。在计算上不可能撤销的交易将保护卖方不被诈骗，常规的第三方中 间商亦能够轻松地实现对买方的保护。这篇论文里，我们提出一种双重支付问 题解决方案，就是使用一种点对点分布式时间戳服务器，以生成可计算的、按 时间的前后顺序排列的交易序列证明。只要诚实的节点共同控制的 CPU 算力， 比协同操作的攻击者节点集团更多，这个系统就是安全的。

> **批注 \[老阎4\]:** 这是中本聪认为基于中心化信任机构处 理交易时所存在的痛点：
> 
> 1、中心化机构的介入导致交易成本增加，限制了最小交 易的规模，断绝了日常小额交易的可能性（国内用户可 能不太理解我们移动支付在全球的极大优势，在国外可 没有这么便捷的支付手段）；
> 
> 2、交易能单方面撤销削弱了商家的信任，增加其他成 本。
> 
> **批注 \[老阎5\]:** 此处对照英文原版，翻译错误，故添加 了一个字进行更正，此句的翻译以下更为通顺：这些费 用和付款的不确定性可以通过使用实物货币来避免，但 没有一种机制可以在没有信任方的通信信道上进行支 付。
> 
> **批注 \[老阎6\]:** 上一段先引出使用者中心化系统的痛 点，这一段说明自己设计的去中心化的电子现金系统能 解决使用过程中的问题。白皮书后面的内容就是论述整 个解决方案的技术支撑。

### 二、交易 ###

我们规定电子货币等同于数字签名链。每一位所有者转移其电子货币给下一 位，通过数字签署一个哈希，这个哈希是前一个交易的，和下一个所有者的公 钥，和加在电子货币的末端。收款人能够通过核对签名来证明该链所有权。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70][]

问题当然就是收款人不能核实某个（货币）所有者没有"双重支付"该币。普通 的解决方案是引入一个被信任的中心权威（机构），或铸币厂，以核对每一笔 交易是否双重支付。每笔交易完成后，货币必须回收到铸币厂以发行新币，而 且仅铸币厂发行的货币能够被信任不会"双重支付"。此方案的问题是整个货币 系统的命运依赖于公司来运行铸币厂，导致每一笔交易不得不通过他们，就好 象一家银行。我们需要一种方式，来帮助收款人知晓前任所有者没有签署任何 更早的交易。为了我们的目的，最早的一笔交易是重要的，这样我们不必担心 后来者试图"双重支付"。证实一笔交易是否存在的唯一方式，就是使得所有的 交易都是可知的。在基于铸币厂的模式里，铸币厂是所有交易的知情者，而且 清楚哪一笔最先到达。没有一个被信任方情况下，要达到这一点，交易必须公开广播，如此，则我们需要一个系统，该系统可使参与者对他们接收到（交 易）顺序的单一历史达成共识。收款人需要证明每一笔交易的时点，大多数节 点承认该交易为最先被接收的交易。

> **批注 \[老阎7\]:**交易部分是由一条条链所组成的，公钥 加密别人转账给你的交易记录，私钥可以签署解密这条 交易记录，转账给别人，中间通过哈希值进行计算。
> 
> 粗浅的理解就是中本聪用了数学、非对称密码学等方法 把交易的过程写死进代码里了，当发起人发起了一个转 账请求，需要进行私钥签名，会验证发起人的私钥正不 正确，正确后，就顺利转账到收款人公钥名下。
> 
> **批注 \[老阎8\]:** 这个是中本聪提出解决"双重支付"的 方案，以前是由中心信任的机构验证你的这笔交易是不 是世上第一笔交易，验证成功后，才让你这笔交易转账 成功。在没有中心化机构的情况下，验证是不是第一笔 交易的唯一方式就是让区块链上所有的交易都是公开可 知的，让所有人都可以验证交易是否是第一次。很精妙 的设计。 这就让中心化的机构没有存在的必要了，各节点都有交 易的所有数据，可自行验证，这就产生了价值的唯一 性。过去互联网的信息是可以复制的，没有唯一性一 说，现在通过大家都有原始数据的方式进行验证唯一 性，这代表着有了一种全新的方式来衡量过去无法衡量 和切割的价值物品。既然是唯一性，无法复制，那就代 表了价值。这是一场革命，仅仅是转变了思维的设计， 便具有完全不一样的效果，并产生了巨大的影响。

### 三、时间戳服务器 ###

我们提出的解决方案始于一种时间戳服务器。提时间戳服务器通过从被时间戳记的项目区块中取哈希并广泛地传播该哈希来运转，类似在报纸上（广告）或在全球新闻网络发邮件。该时间戳验证数据在某一时点确实存在，显然，目的 是加入到哈希中。每一个时间戳都包括前一个被加入到哈希中的时间戳，形成 一个链条，因为每一条追加的时间戳补充其前一个时间戳。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1][]

> **批注 \[老阎9\]:** 这时间戳很好理解，就是每个交易、每 个区块都有一个时间。这个时间是在比特币系统中根据 独有的算法生成的，以此来形成一个时间上不容修改的 链条，就像每张发放世界的报纸上的时间。

### 四、工作量证明 ###

要在点对点的基础上构建一个分布式时间戳服务器，我们将需要用到与亚当•贝 克创造的"哈希现金"类似的"工作量证明"系统，而不是报纸或全球新闻网络邮 件。在进行哈希计算时，该"工作量证明"引入对于某一个值的检索工作，比如 运行 SHA-256，该哈希值从某一数量的 0 字符开始。其（检索工作）所需的平均工作量是所需 0 字符数量的指数，而（检索工作结果）则能通过仅仅执行一 次哈希计算来检验。对于我们的时间戳网络，我们在区块中（增补）某一随机 数，（通过哈希计算，搜索）给定的区块哈希值所需的零字符串，直到找到一个值为止，以构建"工作量证明"机制。只要 CPU（尽可能多的）算力被消耗在 满足“工作量证明”机制上，则区块不能被修改，除非重新进行（所有）工作。 由于下一区块链接其后，修改区块的工作量必须包括重建其后面的所有区块。

> **批注 \[老阎10\]:**工作量证明是中本聪为比特币系统引入 的一个激励机制，如果你想改变区块进行硬分叉，你就 得在新区快的基础上把以后所有区块都算出来以保证其 价值，这工作量是极其巨大的。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2][]

"工作量证明"机制也解决了代理作出大多数判断的人选确定问题。如果该"大多 数"建立在"一个 IP 地址一张选票"的基础上，它将被破坏，因为每一个人都能够分配到很多 IP。"工作量证明"实质上是"一个 CPU 一张选票"。最长的链条代 表大多数判断，因为该链条拥有尝试投入进来的最大量"工作量证明"。如果 CPU 算力的大多数由诚实的节点控制，诚实的链条将以超过其他与之竞争链条 的速度快速生长。为改变一个已完成区块，一个攻击者将被迫重建区块"工作量 证明"，以及所有后接区块，然后追上，超过诚实节点的工作量。我们稍后将提 及，由于随后区块持续增加，一个稍慢的攻击者追上的概率以指数级减少。随 着时间的推移，计算机硬件速度的持续加快和运行节点的兴趣变化无常，为了应对上述情况，“工作量证明”机制的难度通过一种以设定每一小时产生区块的 平均数量为目标的动⼀平均来调节，如果（区块）增长太快，难度将增加。

> **批注 \[老阎11\]:** 这里体现了比特币系统设计遵从多数人 的原则。
> 
> **批注 \[老阎12\]:** 算出区块的难度会根据全球节点提供的 算力大小来调整，基本上保证十分钟出一个块。

### 五、网络 ###

运行网络的步骤如下所示：

> **批注 \[老阎13\]:** 第 5 节基本把比特币系统运行的流程说 了一遍。
> 
> 每发生一笔交易，都会向全球所有节点广播，各个节点 的矿工算区块哈希值时会把收到的交易纳入区块后进行 运算，直到有一个幸运的矿工算出来正确的哈希值，把 交易记录到区块中，这个正确的哈希值就代表着他勤劳 的工作量证明。然后这幸运的矿工就迫不及待的把代表 他工作成果的区块向其他矿工传播，其他矿工来验证区 块是不是真的，真的话才会接收区块。之后在新区块的 基础上继续工作，争取下一个区块是自己挖到的。
> 
> 如果两个矿工同时挖到区块，由于系统设计的特点，两 个矿工都有记账权，所以就出现了分叉。其他节点会以 收到的第一个区块为准，进行挖矿，但保留的另一个区 块，直到看哪一个区块先挖到更多的区块，最后只视区 块最长的那条链为正确的继续进行挖矿。 这遵从着比特币"多数人"的原则，视最长区块链条的 为有效，所以比特币区块链就是一个不断分叉不断合并 的过程。
> 
> 小知识： 一个区块的容量是 1M，
> 
> 1M=1024KB=1024×1024=1048576 字节
> 
> 一个区块总容量1048576字节÷224个字节≈4681笔交易 用比特币交易时一个区块确认的时间是10分钟，10分钟
> 
> =10×60=600秒
> 
> 每秒交易的笔数 4681÷600≈7.8 笔/秒
> 
> 以上每笔交易占 224 字节为最小值，实际结果经常比这 个大，以实际为准

1）新的交易向所有的节点广播。

2）每一个节点将新的交易纳入一个区块。

3）每一个节点努力为自己区块寻找一个具有一定难度的"工作量证明"。

4）当一个节点找到了"工作量证明"，它向所有节点广播该区块。

5）当且仅当区块里面的所有交易有效且之前从未发生时，（其他的）节点才接 受该区块。

6）节点通过追加链条中的下一区块的工作以表示其对区块的接受，使用该被接 受区块的哈希作为（下一区块的）前置哈希。

节点总是把最长的链条视为正确，并将持续延长该链条。如果两个节点在同一 时点广播的下一区块描述并不一致，一些节点会率先接受其中一个或另一个区 块。在此情况下，他们工作于率先被他们接受的区块，但保存另外分叉以防其 变得更长。当下一个"工作量证明"被找到，以及一个分叉变得更长时，这种"平 局"将被打破；工作在其他分叉上的节点最后将转到这个较长的区块。

新交易的广播并非一定需要到达所有的节点。只要他们到达多数节点，他们将 在短时间内被纳入一个区块。区块广播亦对缺失的信息具有容错功能。如果一个节点没有收到某个区块，它将在接收下一区块，且意识到缺失了一个区块 时，提出（相应）请求。

### 六、激励机制 ###

> **批注 \[老阎14\]:** 激励机制是很精妙的设计，结合了工作 量证明，充分利用了经济学原理，谁付出的多就奖励 谁。 比特币系统的核心需求是各节点能提供算力来维持系统 的运转。谁能提供，系统就奖励谁比特币。可以说没有 激励机制的点对点是不成立的。
> 
> 当比特币挖完后，将用手续费进行激励节点继续提供算 力的支持。
> 
> 当有超过 51%运算实力的攻击者要攻击系统获得双花效果 的话，根据利己原则，他会发现按规则老老实实挖矿更 为有利。

根据规则，区块里的第一笔交易是一笔特殊交易，该交易产生一枚归属于区块 创造者的新币。 这将增加节点支持网络的激励，并且提供一种方式来开始货币 分配并进入流通，因此这是一种没有中心机构的发行方式。这种新货币数额持 续稳定的增长类似于黄金矿工耗费资源来增加黄金流通。.就我们来说，这类资 源就是被耗费 CPU 时间和电力

此类激励亦可见于交易费用。如果一笔交易的输出值低于其输入值， 其差额就 是交易费，用以增加控制交易区块的激励价值。一旦一个预先设定的货币数量 已经（全部）进入流通，该激励则全部转变为以交易费用（激励），并可完全 地免除通货膨胀。

该激励还能有助于促使节点保持诚实。如果一个贪婪的攻击者有能力比诚实节 点组织更多 CPU 算力，他将被迫进行选择，是通过欺诈以偷回其支付的款项

（译者注：即双重支付攻击），还是通过（获取）生成的新货币。他应当会发 现，按照规则行事更加有利可图，这样的规则有利于他比其他联合起来的每一 个人获取更多的新货币，亦优于破坏系统以及损害自己拥有财富的有效性。

### 七、恢复磁盘空间 ###

一旦一枚货币中的最后一笔交易被纳入了足够多的区块中，则能丢弃之前那些 失效的交易以节省磁盘空间。为确保同时不破坏区块哈希，交易被随机散列（are hashed）在一棵 "梅克尔树（Merkle Tree）"上，仅仅将其"根节点（root）"置入该区块哈希中。只需剪除此树的其他分枝，先前的区块则能够被 压缩。内置的哈希无需保存。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3][]

一个不含交易（信息）的区块首部大约是 80 字节（bytes）。如果你希望在每10 分钟左右生成一个区块，则每年约（需空间）4.2MB(80B×6×24×365=4.2MB)。鉴于计算机系统在 2008 年通常以随机附带 2GB 存贮 空间出售，而且摩尔定律（Moore’s Law）预示现在的增长速度是 1.2GB 每年， 则即使区块首部必须永久保存，存贮（空间）亦不成问题

> **批注 \[老阎15\]:** 这一节旨在说明必要时，可以通过一些 技术手段节省区块占用的内存，让用户下载时，下载文 件不用那么大。但后面说根据硬件摩尔定律的发展速 度，就算不用这个技术手段，用户保存全节点的数据也 是绰绰有余的

### 八、简化的支付验证 ###

在不运行覆盖全网全部节点情况下，支付验证也是可能的。用户仅需保留一个 最长“工作量证明”链条的区块首部备份，由此，他能够通过质询网络中节点， 直到他确信拥有最长的区块链，从而达到通过"梅克尔树"分支将交易连接到被 打上了时间戳的区块的目的。他无法自行检查交易，但通过连接到链条的某一 位置，他能够看到一个网络节点已经接受了该笔交易，而且，在之后的追加区 块，进一步证实了这个网络已经接受了该笔交易。

> **批注 \[老阎16\]:** 此处说明了，当比特币使用了第 7 节所 说了节省内存的技术时，可以通过连接附近已经下载全 部数据的节点进行验证这个交易是否正确

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4][]

此时，只要诚实节点控制网络，则验证是可靠的，但是，如果该网络被攻击者 压服，则非常容易遭受攻击。虽然网络节点能够自己验证其交易，只要该攻击者能够继续压制该网络，简易方法将被攻击者伪造的交易所愚弄。必须采取一 种针对性保护策略，以接收当网络节点发现无效区块时发出的报警信号，并提 示用户软件下载整个区块及被报警交易，以确认其不一致。出于更加自主的安 全保障和更快的验证考虑，接受大量日常频繁支付的商业机构很可能仍然希望 运行他们自己的节点。

> **批注 \[老阎17\]:**这里说明了简化支付验证的方法，当网 络攻击者的算力大于 51%后，就比较容易遭受攻击，所以 设置了一个程序保护的措施，当发现错了就会提示用户 下载整个节点的数据。 从这延伸，根据经济效益，一般大型的商业机构应该不 会用这种节省内存的方法

### 九、价值的合并与分割 ###

尽管处理单个货币是可以的，但为了一次转让中的每一个货币而将一笔交易分 割开来，将会变得很不便利。为允许价值进行分割和合并，交易包括多次输入及输出。通常地，要么是一个来自前一笔更大交易的单一输入，要么是合并了 更小金额（交易）的多次输入，输出则至多只有两笔：一笔用来支付；另一笔 找零（如果有的话，全部廿回购买者）。

> **批注 \[老阎18\]:** 这一节解释了比特币转账的方式。 比特币交易不像银行有余额的说法，全是一个个交易记 录组成的链条。
> 
> 所以当转账 100 个比特币时，这 100 个比特币的来源要 么是有之前一笔≥100 的比特币交易，要么是合并之前多 个≤100 个比特币的交易合并而成。
> 
> 如果你有 150 个比特币，那输出的只有两笔输出，一笔
> 
> 就是转账金额 100 比特币，另一笔是找零的金额 50 比特 币继续转到你的账上。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5][]

这时需要注意的是输出端，那里一笔交易依赖于多个交易，这些多个交易又依 赖于更多的交易，这并无问题。从来不需要提取一个完全独立的交易历史备份。

### 十、隐私 ###

传统的银行业务模式通过限制关联方获取数据入口和被信任的第三方来构建隐私等级。公开广播所有交易的必要性阻碍了这种方法施行，但是隐私还是可以 通过在其他地方隔断信息流来保证：使用匿名持有的公钥。公众可以看见某人 支付某金额给另外一人，但没有信息将此交易连接到任何人。这与股票交易所发布信息的方式类似，那里个人交易的时间和规模，即"报价"，是公开的，但 不会告诉谁是交易方。

> **批注 \[老阎19\]:** 要保护隐私的话，没人知道公钥后面的 持有人是谁。但交易频繁的话，仍然有可能通过交易人 的身份关联追查结果，所以要保护隐私的话安全防护意 识得强。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6][]

作为一个补充防火墙，一对新的钥匙被用于每一笔交易，以阻止他们连接到一 个普通的所有者。有些连接还是不可避免，原因是多次输入的交易，必然会泄 露出他们的输入来自相同的所有者。真正的危险是如果所有者的私钥被泄露， 连接将会泄露属于此同一所有者的其他交易。

### 十一、计算 ###

我们设想一个场景：一个攻击者试图比诚实链条更快地生成一个替代链条。即 使其技术高超，还是无法做到突然侵入系统随心所欲地篡改，诸如无中生有地 创造价值或者掠夺从未归属于他的财富等。

> **批注 \[老阎20\]:** 这一节计算是论证了即使有人有实力去 攻击这个系统进行双重支付造假，根据数学计算的结 果，也是无法做到随意篡改数据。

节点将不会接受一笔无效的交易作 为支付，而且，诚实的节点亦将不接受包含该无效交易的区块。一位攻击者仅 能试图篡改一个他自己的交易，以收回最近消费的金钱。诚实链条和攻击者链 条之间的竞赛可以描述为"二叉树随机漫步（Binomial Random Walk）"。成功 事件为诚实链条延展一个区块，则增加领先，是为"+1"；失败事件则是攻击者的链条延展一个区块，则缩减差距，是为"-1"。攻击者从一笔给定的亏损迎头 赶上的概率与"赌徒破产问题"类似。假设一个赌徒，拥有无限透支信用，（他）从一笔亏损开始，可以进行无限次数的测试以试图达到盈亏平衡点。我 们能够计算他可能达到盈亏平衡点，或者攻击者赶上诚实链条的概率，如下所 示：

p=诚实节点找到下一区块的概率

q=攻击者找到下一区块的概率

qz=攻击者在 Z 区块后赶上的概率

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7][]

我们给定一个假设，p>q, 随着攻击者不得不赶上的区块数量不断增长，其概率 呈指数级下降。由于胜算与其相悖，如果他无法幸运地在早期取得突飞猛进， 则将被远远地甩在后面，他篡改（的可能性）将变得微乎其微。我们现在考虑 在充分确定付款人不能修改交易之前，此笔新交易的收款人需要等待多长时 间。我们假设这位付款人是攻击者，他想让收款人相信当时已经支付了，过一 段时间后，将其改换为支付给他自己。事情发生时，会惊动收款人，但这个付 款人希望是为时已晚。收款人生成一对新的密钥，将公钥给予付款人，并在签 署前预留较短时间。如此将阻止（下述事情）发生：付款人通过连续不断地工 作，提前准备区块链，直到他非常幸运地到达足够远的前方，（即其区块链长度超过诚实区块链长度），然后执行该交易。一旦该交易发送，不诚实的付款 人在一条包含一项他的交易替代版本的并行的链条上秘密开始工作。收款人等 到该笔交易已经纳入了一个区块，且已有 Z 个区块连接在后。他并不知道攻击 者已经制造增长（区块）的确切数量，但假设诚实区块在每一区块上预期耗费 的时间的均等，攻击者区块潜在增长将呈"泊松分布"，期望值为：

![20191226101022739.png][]

为了获取攻击者追赶上的概率，我们将攻击者取得进展区块数量的泊松分布的 概率密度，与在该数量下攻击者依然能够追赶上的概率相乘：

![2019122610103560.png][]

转换为以下形式，以避免无穷数列求和......

![20191226101042156.png][]

转换为 C 语言代码......

double AttackerSuccessProbability(double q, int z)
    {
        double p = 1.0 - q;
        double lambda = z * (q / p);
        double sum = 1.0;
        int i, k;
    
        for (k = 0; k <= z; k++)
        {
            double poisson = exp(-lambda);
            for (i = 1; i <= k; i++)
            {
                poisson *= lambda / i;
            }
    
            sum -= poisson * (1 - pow(q / p, z - k));
        }
    
        return sum;
    }

运行结果，我们能够看到概率 Z 值呈指数级下降。

q=0.1
    z=0 P=1.0000000
    z=1 P=0.2045873
    z=2 P=0.0509779
    z=3 P=0.0131722
    z=4 P=0.0034552
    z=5 P=0.0009137
    z=6 P=0.0002428
    z=7 P=0.0000647
    z=8 P=0.0000173
    z=9 P=0.0000046
    z=10 P=0.0000012
    q=0.3
    z=0 P=1.0000000
    z=5 P=0.1773523
    z=10 P=0.0416605
    z=15 P=0.0101008
    z=20 P=0.0024804
    z=25 P=0.0006132
    z=30 P=0.0001522
    z=35 P=0.0000379
    z=40 P=0.0000095
    z=45 P=0.0000024
    z=50 P=0.0000006

求解，令 P 少于 0.1%时的 Z 值......

P < 0.001
    q=0.10 z=5
    q=0.15 z=8
    q=0.20 z=11
    q=0.25 z=15
    q=0.30 z=24
    q=0.35 z=41
    q=0.40 z=89
    q=0.45 z=340

### 十二、结论 ###

我们提出一个无需借助信任的电子交易系统。我们一开始，（即介绍了）基于 数字签名生成货币的普通框架，（该框架）提供强有力的所有权控制，但无法 完全防止"双重支付"。 为解决此问题，我们提出一种点对点网络，（该网络） 运用"工作量证明"来记录一个公共的交易历史，对攻击者来说，如果（该点对点网络的）大多数 CPU 算力由诚实节点控制的，则篡改（记录的行为）很快变 成在计算上是不可实现的。该网络因其简单随意的拓扑结构而粗壮皮实。节点 只需很少的协调即可协同工作。他们无需辨认（身份），因为（交易）信息无 需路由（routed）到某些特定区域，仅需尽最大努力传播即可。节点能够随时离 开和重新接入网络，其离线期间所发生所有交易，由其（补充）接收"工作量证 明"链条即可验证。他们以 CPU 算力投票，并以努力延展有效区块和拒绝在无 效区块后延展方式来表达他们的意见，即是否接受某区块的意见。通过这种共 识机制，任何必需的规则和激励都能够被强制执行。

> **批注 \[老阎21\]:**最后的结论总结了系统的基本框架。 这是一场异常浩大的社会实验，非具有多个学科深厚理 论基础的人不能创造此白皮书。 要了解比特币更深层次的发展，还需要多了解货币演变 的知识方可游刃有余的做判断和投资。 创造比特币过程中所使用的区块链技术具有去中心化、 唯一性、激励体系等特点，其技术影响范围将逐渐显 现。
> 
> 1、去中心化因改变了组织结构、协作方式，配合激励机 制将可能改变现有的组织形态；
> 
> 2、价值的唯一性为资产证券化提供了实现的途径；
> 
> 3、激励体系为塑造社区经济体提供了有力武器。 凡此种种的变革，正在悄然发生。 以前想成事而苦于没有工具实现，当恰当的工具出现 时，必然有人悄然兴起，使用手中的剑，斩断前方荆 棘，为大众开路！

[https_bitcoin.org_bitcoin.pdf]: https://bitcoin.org/bitcoin.pdf
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70]: /images/20210728/660cdb0264aa480e948fa63e9342cd2b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 1]: /images/20210728/eb95e80e1ca34d35984865e745735b23.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 2]: /images/20210728/a30acf88ecfa4939949c0fa980792712.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 3]: /images/20210728/48ca29331a8643888744346cb53650fa.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 4]: /images/20210728/21f9ee6eebe64664bcf2fa5cf452bf0b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 5]: /images/20210728/6aa4e9335688407490dc252703ec7310.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 6]: /images/20210728/bc485584218f47368e5dd9c95da22b0c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3doYXRkYXk_size_16_color_FFFFFF_t_70 7]: /images/20210728/3e8ce47dff194d4e811f11b41bd3728e.png
[20191226101022739.png]: /images/20210728/97654c79d3d344fab78525b4d0d836a6.png
[2019122610103560.png]: /images/20210728/2ac3115436f64e37892c0394f81c1efa.png
[20191226101042156.png]: /images/20210728/032b03e1006e4bdd8c30d0c5b1a016cc.png