從側鏈到 zk-rollup：Tacit Chain 想用默認隱私重做支付

Tacit Chain 如何用隱私 zk-rollup 兼顧快速支付、默認隱私與抗量子，並比較擴容取捨。

撰文：@z0r0zzz

編譯：AididiaoJP，Foresight News

加密支付到底行不行，有個很實在的檢驗標準：能不能買一杯咖啡。咖啡隨處可見；商家要是嫌它太慢、不夠像「錢」而拒收，這種支付方式就算沒過關。

區塊鏈做匯款和儲蓄已經夠用，慢一點也能忍。線下支付不一樣。你盯著商家，商家也盯著你。沒人願意聽你解釋「這錢很安全，我自己就是銀行」。商家只想收到錢，然後讓你走。

所以支付必須快，但只快還不夠。隱私同樣關鍵。買一次菜就洩露生活軌跡，甚至被人盯上、遭遇人身威脅；或者十年後消費記錄被超級計算機翻出來，都不叫可用的支付。Tacit Chain 就是衝著這個問題來的：一個支付型 zk-rollup 原型，既要做今天的交易隱私，也要為未來更先進的機器預留「後量子」防護。

一杯咖啡，才是加密支付的硬指標

先看提速方案。最直接的是側鏈：把主鏈資產映射到一條更快、由聯盟或運營方控制的賬本上。用戶在主鏈鎖幣，在側鏈拿到錨定憑證，花起來更快，理想情況下也能隨時退出。Liquid 對比特幣就是這麼做的，由一組公司用多簽托管。

但側鏈的信任假設差別很大，「側鏈」這個詞本身也太寬泛。一個常見的比方是：在酒吧拿餐巾紙記賬、事後結算，某種意義上也算側鏈。主鏈不知道側鏈發生了什麼，也保護不了你。側鏈餘額更像禮品卡：公司給你一個可花的虛擬餘額，理論上隨時能作廢，只能靠運營方的理性激勵和基本風控兜底。

狀態通道像酒吧掛賬。用戶和商家，或者一條通道上的路由，先把錢鎖進主鏈共享賬戶，之後用簽名消息傳遞欠條。誰拿舊餘額結算，另一方就出示更新的簽名憑證覆蓋它。閃電網絡是代表。它相對去信任，適合支付，但用戶要在線監控、防止對方作弊，便利性打折。

從 Optimistic rollup 到 zk-rollup：退出速度背後的取捨

Rollup 是人們談「快速區塊鏈」時最常想到的方案。它另跑一條賬本，把交易壓縮成批次，再把記錄提交到主網。水果卷的類比很貼切：一包零食把水果壓進小口袋，但你要能拆開檢查裡面是不是真水果。對應到區塊鏈，就是批次提交後必須能被驗證。

Optimistic rollup 默認交易有效，所以提交成本低、速度快，Base、Robinhood 這類體驗就受益於此。但退出慢。排序器決定順序，運營方或合作方把批次和結果發到以太坊。若批次裡有雙花、餘額對不上等問題，任何人都能重放、指出錯誤，並在以太坊上贏得爭議。作惡方押金被罰，挑戰者拿獎勵。問題是這套機制要留挑戰時間，所以用戶退出往往要等約一周。

zk-rollup 換了一條路：提交前先生成有效性證明，以太坊收到批次時檢查證明。證明不過，批次根本落不了主網。它不需要「先樂觀、後挑戰」，也就沒有漫長的爭議等待。

Tacit Chain：支付做成「黑箱」，用證明兜底

Tacit Chain 走的就是 zk-rollup 路線，但把範圍收窄到支付。支付場景計算量較低，適合讓用戶自己證明自己發出的支付，再由 GPU 社區處理區塊批次。用戶設備證明一筆支付有效，rollup 驗證時不需要知道誰發給誰、金額多少。隨後第二道證明檢查整批支付處理正確，以太坊才接受。

排序角色在 Tacit 裡叫「leader」，可以理解為輪值排序者。輪到誰，誰就負責排序支付，並提交到以太坊驗證合約 TacitBlocks.sol。合約記錄區塊、檢查有效性，供提款使用。持有 1000 TAC 席位，可按排班獲得輪值資格；輪值者不幹活，10 分鐘後任何人都能接手。輪值者以 TAC 計費，TAC 也是這條 rollup 的貨幣。證明者通過獎勵計劃賺 TAC，做的是有用證明，不是浪費算力的哈希謎題。任何有 GPU 的人都能加入。

費用也用 TAC。用戶進入時持有「份額」，這套賬本讓協議可以獎勵留存者，擴大匿名集。每筆支付的一部分、每次退出的小額費用，會留在共享池裡，而不是交給中間人。所以每發送一次，每份份額都更值錢一點。鏈上使用越多，份額越漲，費用也可能下降：一個區塊裡的支付越多，分攤到每筆支付上的以太坊落地成本越低。協議不抽成，任何人都能運行輪值節點，賺取發送到它那裡的支付費用。TAC 升值後，輪值者和證明者賣出更少 TAC，就能覆蓋 ETH gas 和 GPU 成本。

進出兩端：即時退出與跨 ETH、BTC 的橋

進入 Tacit Chain，可以從以太坊走。持有空投的 TAC，甚至不需要 gas，通過 EIP-2612 permit 元交易完成。沒有 TAC，可以在 DEX 買，或做任務、證明交易來賺。從比特幣進入，可以走「快速橋」，與流動性提供者做原子交換，也可以走常規橋。

目標不是再造一條割裂 BTC、ETH 流動性和 dapp 的鏈。Tacit 要做一條有原生貨幣、與以太坊去信任橋接、並通過橋連接比特幣的 zk-rollup；再用不可變的隱私池，把兩條鏈上的 BTC、BTC 衍生代幣、ETH、ERC20 等資產屏蔽起來。

退出也不等一周。用戶可以即時退回到 ERC20 形式的 TAC，再把這部分 TAC 屏蔽進 Tacit 橋，轉回比特幣，或用於內部 DeFi，比如做 LP 和兌換。強制退出走另一套隊列：force() 在以太坊上排隊；如果某個區塊跳過了超過 1 小時 FORCE_DELAY 的條目，會觸發 QueueOverdue() 回滾。這樣，輪值者最多拖延約 1 小時，再加窗口期。

抗量子隱私：今天的鏈上記錄，明天也不能被打開

維持今天的隱私是一回事，維持明天的隱私是另一回事。交易上鏈後就是永久記錄。Tacit Chain 把用戶支付附帶的備註（memo）做成抗量子計算的形式。備註可以理解為給收款人的加密留言：「你收到錢了，金額是多少。」這些備註用 ML-KEM 封裝。ML-KEM 贏下了 NIST 後量子密碼標準競賽。即便有人今天把鏈上支付全部抓走，等量子計算機成熟後再開，備註也不應被輕易打開。

作者認為，Tacit Chain 滿足 L2「第二階段」標準。控制權上，TacitBlocks 和 TacitSeats 等核心合約沒有所有者、升級路徑或多簽；驗證器、區塊密鑰、延遲和代幣都不可變。驗證器固定為 SP1 Groth16 驗證葉，不是可升級網關。第二階段要求，在用戶不想要的升級前留出 30 天退出窗口；這裡沒有升級可警告。

證明層面，它是有效性 rollup，沒有一套需要去中心化的欺詐證明參與方。每次落地後 10 分鐘內，只有輪值者能提交區塊；之後任何人都能提交。退出層面，force() 在以太坊排隊。數據層面，數據以 calldata 發到以太坊，節點可據此重建完整狀態。一個依賴是，跨池跳轉和遷移要經過保密 V1 池，因此要信任 V1 池的構造。V1 池同樣不可變、無升級路徑，不能把餘額卷走。退到以太坊則是合約內普通 TAC 轉帳，不依賴 V1。

未來：咖啡已能買，下一步是更低成本和可選遷移

支付只是起點。用這套方式買咖啡已經能做到：商家在你發送瞬間看到收款，約 1 分鐘後在以太坊最終確認。參與者和證明池更強後，確認時間可接近 30 秒；blobs 已經內置，成本可降到 1 美分以下。商家可把 TAC 提到以太坊，也可提到比特幣。不想持有 TAC，還能在內部 DEX 的保密池裡換成想要的貨幣。

更遠的方向包括運行程序和內部智能合約，以及接入其他資產。為此，Tacit Chain 設計了 migrate 操作，可升級到新版本，但只在用戶選擇加入時發生。更關鍵的是，升級不破壞匿名性：哪筆備註移動了、移動多少，不會被暴露。