Zcash 为什么重要
每当 Zcash 做出一项技术决策，整个行业后来都会照着做，尤其是以太坊。
如今使用透明账本，真的应该感到非常不安。
一个每秒处理一千笔支付的系统，和一个每周只处理一笔支付的系统，哪个匿名性更好？显然是每秒一千笔的那个。
99.9% 的隐私和 100% 的隐私之间有区别。
在隐私这件事上，我们不想低头妥协，那会背离我们的价值观。Zcash 现在还有哪些部分容易受到量子计算攻击？打算怎么解决？
这里有三大支柱。第一是量子可恢复性。
Tachyon 隐私设计里有一部分其实已经可以落地，面向近似意图的场景；现在一些钱包已经上线了。
我不知道大户是谁，因为交易是私密的。
隐私能带来很多好处。没有查看密钥，就没那么容易盯上别人的钱包。
ZEC 持有者怎么想真的很重要。他们是这个项目的命脉。
这里是 Bankless。今天请到 Sean Bowe 和 Dev Ojha。Sean 是 Zcash 联合创始人，从 2015 年起就在做 Zcash，也是 Tachyon 的首席开发者。Tachyon 想彻底改造 Zcash 的运作方式，稍后我们会细聊。Sean，欢迎来到 Bankless。
谢谢邀请，能来很高兴。
Dev 是资深零知识研究者，也是 Osmosis 的联合创始人。Osmosis 是 Cosmos 生态里最大的去中心化交易所。现在他在 Zcash 做隐私交易扩容和抗量子工作，稍后也会谈到。Dev，欢迎来到 Bankless。
谢谢邀请。
有人向我推荐你们，说你们是加密行业里最聪明的人之一，而且都被 Zcash 的技术问题迷住了。那就从这里聊起吧：为什么做 Zcash？Sean，Zcash 为什么对你重要？
大概十年前，我就被这个问题迷住了。我从 Zcash 刚开始时就在做。十几岁时我特别喜欢比特币，也一直知道比特币有很严重的隐私缺陷，迟早得靠密码学来修复。我想让这件事在比特币上成为现实，但渐渐看出这在比特币上根本不会发生。后来一些有意思的新密码学论文问世，让区块链实现这件事成为可能，我特别兴奋，一直在等机会，结果意外地得到了一份做 Zcash 的工作，运气很好。
一开始我着迷的是密码学，也对隐私有哲学和道德层面的认同，这对我很重要。这么多年过去，密码学依然非常吸引人。即使过了十年，每个月、甚至每隔几周还有新论文出来，让事情变好一点，或带来意外发现，这真的很令人兴奋。我喜欢数学，但这个项目多年来也一直对隐私至关重要。很长一段时间里，整个区块链领域里，真正努力做隐私的项目只有 Zcash，而且开发者个人还要承担很大的风险，监管压力始终是一种沉重威胁。我们坚持了下来，现在项目进展很好，也在不断成长。像 Dave 这样的人加入，让这个时期格外令人振奋。Zcash 正处在一个很令人兴奋的阶段。
Dave，我也想听听是什么让你这么投入地做 Zcash。就像我说的，有人很看好你们，觉得你们……
Zcash 为什么重要
你们都特别有使命感，全身心投入 Zcash 和隐私。Dave，是什么让你这么投入？
我最初进入加密货币，是因为发现这是个值得着迷的领域。我第一次开银行支票时就想：等等，只要知道这些数字，别人就能把我账户里的钱划走？后来我开始了解密码学，知道有一整套密码学系统。比特币正是用数字签名来保护这些东西，这很酷；但另一方面，我的公开身份和交易又都暴露在外，这实在有点离谱。我非常重视隐私。了解 Zcash 后，它成了我持有的第一种加密货币。我觉得它对解决全世界的隐私问题很重要。
之后我又开始研究权益证明，以及如何让区块链真正可用的其他问题，比如 IBC 和 Cosmos 生态。我意识到要让整个行业走得更远，链之间必须能够通信。我花了很多时间做 STARK 相关工作，也和 Zcash 的科学家 Alessandro Chiesa 合作，从他那里学到很多；之后又在 Tendermint 做事，尝试扩展权益证明、实现跨链通信。我不认为区块链行业能走多远，如果不同链之间无法交流。不会有一条包打天下的单体链。
快进几年，到 DeFi Summer 前后，我们意识到 2020 年左右加密行业有三大问题：扩容、权益证明和隐私。权益证明大体上已经解决，而隐私还没有。我发现 Penumbra 这条链正试图解决隐私问题。它最初的路线图包括隐私持仓，以及门限解密，用来解决一系列 MEV 风险。但后来事情被 DeFi 带偏了，隐私路线图始终没有真正兑现，而那恰恰是让我每天起床工作的动力。
去年年初，我们决定把方向重新调整为全面隐私。随之而来的大问题是：怎样才能做出一个可扩展、真正能走向大规模应用的隐私系统？我一直关注并喜欢 Zcash，它是我最早持有的币。我认识很多几年前那个时期的人，也了解相关研究。后来我遇见 Sean，发现大家正在齐心协力，让这件事成功。我想，咱们联手把它做成吧。我觉得 Zcash 是隐私胜出的最好机会。
另外，每次 Zcash 做出技术选择，其他行业后来都会照着做，这也很鼓舞我。当然，如果认真关注背后的原因，照搬的人本来应该做出不同选择。Zcash 在引路，以太坊就是一个例子。以太坊最初要做配对运算时，Zcash 已经从一条曲线换到另一条曲线，叫 12381。以太坊后来要做相关工作，本来显然应该选 12377，却没有这么做，只因为 Zcash 已经用了它。这挺让人振奋的。
还有，六个月前我跟一些人开会、向他们推介隐私方案时，他们还说没人关心、这永远不会重要；如今突然有很多人开始说自己重视隐私。Zcash 的成功也能激励世界其他地方认真对待隐私，这种影响是别的项目做不到的。
AI 让隐私变得迫在眉睫
Bankless 的听众大概都知道隐私为什么重要，我们也和 Zuko 等嘉宾聊过几次。但我想问，为什么隐私在 2026 年变得紧迫？我 2017 年刚入行时，以为权益证明之后很快就会有金融隐私，成为行业的核心支柱。权益证明没有很快到来，隐私也一样，Zcash 是少数例外。Sean，你先说说现在隐私为什么急迫？
过去普通人用透明区块链转账时，不太担心链上分析公司能追踪自己的一切、把所有交易串在一起，进而根据这些信息推断网上活动。像我这样的人会担心，但大多数普通人并不是明确的目标。
你可不算普通人。（笑）
黑客和盗贼一直很谨慎。但现在有了 AI，一个能用大语言模型的青少年，基本就能识别并追踪所有使用加密货币的人。所以今天用透明账本，即便你不是盗贼、黑客或罪犯，也真的应该感到不安。
我觉得未来几年情况会糟得多。可能会出现免费的公开数据库，把区块链上的信息全部挖出来，把每个在公开账本上交易的人都量化、追踪，能分析的维度一个不漏。隐私不是慢慢变好，而是在过去一年突然爆发式地受到关注。因为越来越多关注这个问题的人意识到，这很严重，我们得马上摆脱透明账本。
还有个问题：不只是区块链交易，世界上其他每次数据泄露也会叠加起来。比如某家交易所泄露数据，你的地址就会和其他信息关联起来，不只是关联到你的实体地址。过去问题一直很严重，只是没多少人认识做链上分析的人，没法看清严重程度。现在不需要认识谁了，只要在 Claude 里输入一句话，或者看看当天发生的数据泄露，就能明白了。
Zcash 的开发路线图
很多听众熟悉以太坊的分轨路线图。我想借这个框架理解 Zcash 的路线图：Zcash 还有哪些工作要做？大致可以分成哪些类别？
我也想听听 Dave 怎么分类。在我看来有三块：密码学，要让它更安全、更高效；共识协议，也就是网络层，要让它能扩展；还有钱包，要让钱包本身可扩展、用户体验更好。我觉得钱包可能是最难的一块，Dave 可以具体谈谈。这也是我看好 Zcash 的原因之一：他最有可能解决这些问题。
从更高层看，我会把目标概括为扩容、强化链的安全性，以及确保经济可持续性。最后一项稍微独立一些，但也不可缺。扩容意味着很多事：钱包方面要做大量工作；共识方面要实现有史以来高吞吐量的工作量证明；密码学方面要推进递归证明等技术，还要更新手续费市场、构建聚合 Merkle 树等等。
第二个目标是强化安全性，包括改进隐私、提高安全位数、应对后量子威胁、采用多重安全假设、形式化验证，以及供应链安全等。
第三个是经济机制。以太坊或 Solana 钱包用起来时，RPC 等服务通常由 Phantom 或 MetaMask 这样的公司付费运营。他们也会采取措施防止有人生成海量钱包，并期待用户未来交易时能产生收入。Zcash 不追踪用户，所以少数几家机构免费提供这些数据请求服务。要让 Zcash 扩大规模，这些服务提供方今后得做更多工作。
但我们也不希望他们借此追踪用户。我们需要让用户能为 RPC 服务付费，同时切断支付和身份之间的关联。也就是说，要做一种私密订阅服务，不能只靠善意；善意支持最终可能会变成依赖某个中心化基金会或国家。用户应该合理付费，形成真正的市场，同时不暴露身份。我们可以先设想一些答案，但关键是方案要真正部署、实际运行。
听你们介绍时，很多内容都很熟悉：扩容、跨越量子计算这道门槛。Zcash 特别之处在于 Zcash 协议和使用它的钱包之间的关系……
Zcash 的开发路线图
为隐私而设计的钱包，这和以太坊、比特币或我熟悉的其他项目都不太一样。我理解的是：如果钱包还要保护隐私，就必须额外考虑如何保密，这带来了 Zcash 特有的工程挑战。我的理解对吗？
完全正确。我也会分成两类：让隐私钱包扩展起来是一个完全独特的挑战，而且比扩展区块链本身更难；另一类是怎样把链设计得更懂隐私，这两者里反而稍微容易些。
Tachyon 有个很棒的地方，是把过去捆在一起的东西拆开了。早期 Zcash 的协议里塞进了很多保证隐私、让钱包私密运行、以及钱包标准所需的功能。我的理解是，ZK 技术现在快得多，不必再为了最后那 5% 的效率把这些东西捆在一起。
我觉得当初把它们捆在一起，也有些历史原因。比如 Zcash 早期希望地址尽量短，于是地址里的一些密钥既要用于钱包侧，也用于链上私密传输信息，还要用于托管和花费授权。这些功能就被合并了，目的是缩短地址。但现在进入后量子时代，地址无论如何都会变得很长，我们也得解决这个问题。所以回头看，当年的架构选择有点白费功夫。
隐私不能妥协
我想逐一聊聊这三类工作。你们都提到了三类。我会尽量让技术讨论对普通听众也容易理解。往下展开之前，我想问：Zcash 开发有没有什么总体原则或理念？比如比特币人常说，一切设计都是为了守住 2100 万枚上限，这是一种架构理念。Zcash 有没有类似的经验？Sean，你以前说过“账本不可区分性”。作为写代码的开发者，代码里也承载着价值观。你能和听众分享 Zcash 的开发理念吗？
如果只选一条贯穿 Zcash 的理念，那就是在隐私上坚持到底。我们的屏蔽池尽可能提供强隐私。你提到的“账本不可区分性”是个学术术语，用来衡量一件事到底有多私密。密码学家会设计一个游戏，让攻击者尝试区分两笔交易，比如一笔来自你，一笔来自 Dave，看他能不能认出来。如果他分得出来，隐私就破功了。这是一项很强的性质，因为要通过这个游戏，交易看起来就必须像随机数据。
加密行业里不少隐私技术，比如隐身地址、环签名，在某些情形下有帮助，但很容易在这个游戏里失败。所以我们一直非常认真地对待这些安全性质，并在一定程度上为 Zcash 屏蔽池的账本不可区分性做了形式化证明。
这不是 Zcash 的绝对硬规则，因为我们也有透明地址，还要考虑其他实际因素，所以我们会务实处理。但另一方面，我们也不想加入后门，或给监管机构提供查看能力。很多尝试过隐私的项目，都考虑过一些荒唐的折中方案——
比如为了迎合别人而低头。
对，低头妥协。隐私这件事上我们不想妥协，因为那会背离我们的价值观，所以我们根本不考虑这种做法。
我想这正是很多人喜欢 Zcash 的原因。回到你刚才说的账本不可区分性，以及对隐私的全面承诺……
隐私不能妥协
我再把这个观点说得具体一点：隐私 99.9% 和 100% 是有区别的。回看密码学和密码分析之间的攻防，密码的弱点就是会留下痕迹；痕迹多了，人们就能像解数独一样把密码破解出来，攻防永无止境。换句话说，我们追求的不是 99% 隐私，而是 100% 隐私。
密码学里总有已知的未知和未知的未知。如果只泄露了几个比特，人们可能会说：“没关系，我们还想不到怎么攻击。”但密码学家知道，即使现在没想到攻击方式，将来也可能反过来伤到我们。
区块链隐私的情况更具体：如果隐私很好但不够彻底，有些攻击方式我们已经知道。比如“集合交集攻击”：攻击者要找出资金来源时，即使协议让每一笔交易看起来都混在一个很大的匿名人群里，只要拿到目标的两笔交易，就能很快排除其他人，锁定真正的来源。只要其中一笔交易泄漏任何信息，另一笔交易的隐私也可能立刻被破坏。
密码学家早就知道这个问题。大约十二年前，ZeroCash 或 Zerocoin 论文提出“账本不可区分性”这个概念，就是为了严谨定义攻击者如何破解隐私，并消除集合交集攻击等问题。我们大多知道哪些问题会回来困扰我们，但不是全部。
认识到问题是把它们从 Zcash 中剔除的第一步，这正是你的工作，Sean。Dev，你也谈谈 Zcash 背后的理念好吗？
简单说，就是最大限度保护隐私，不走捷径。链从一开始就采用当时所知最好的方案，这个原则如今还在不断扩展。后来发现 RPC 这一层也很难做，所以我们也在引入方案持续改进。不要接受任何已知的区分方法。
我觉得另一个原则是继承比特币的一些东西：2100 万枚的硬上限不该改变，工作量证明也很重要。
这已经融入 Zcash 的文化了。曾经有人想推动改变或增加供应量，但工作量证明挖区块已经非常核心。我没看到什么要改的理由。真要改的话，也得让矿工和币持有者都支持。
有意思。我们稍后会谈 Zcash 的长期安全计划。先聊扩容这条路线和 Tachyon。先从大方向说，为什么 Zcash 必须扩容？为什么不能像比特币那样，做一条高度去中心化、速度较慢、规模受限的区块链？Sean？
用 Tachyon 扩展 Zcash
我们需要扩容。比特币之所以成功，是因为多年来越来越多机构把它纳入体系，数百万人开始使用它。现在如果做什么伤害比特币的事，会让很多人不满，所以它已经站稳脚跟。我希望 Zcash 也能达到那种地位，让尽可能多的人持有、使用它。这样它就会深深融入社会，也更难被攻击。
原因有很多，但私密支付必须能扩展，否则人们就会用别的技术。要是 Zcash 只是用来持有，那用比特币也能做到。
也可以这么想：每秒处理一千笔支付的系统，和每周只处理一笔的系统，哪个匿名性更好？显然是每秒一千笔。所以目标是让它像现金一样好用。
这里有两层关系：一方面，使用者越多，匿名集就越大，保护隐私越容易；另一方面，Zcash 的理念不止是做一个私密的价值储存工具，它也必须能私密地用于商业支付。
让我很受鼓舞的一件事是，过去十年我认识了不少 Zcash 团队的人。有次一群人在某个城市聚餐，11 个人要分账。一开始大家还在手算怎么平摊、怎么算税，挺滑稽的；后来我们直接用 ZEC 钱包点对点互相付款，也有人场外把 ZEC 换成美元来结账。全程不用信用卡，大家都用 ZEC 钱包，特别棒。我参加加密活动大概十年了，从没见过有人真的在活动现场用自己的钱包分账、把加密货币当作日常货币。这种文化很酷。
太棒了。再从人权和个人权利的角度看，这就像用密码学把集会权写进系统里。那 11 个人如果用信用卡付款，威权国家就可能知道他们聚在了一起；在我想象的压迫性社会里，当局可能不允许这样的集会。消除人们互相协调、聚集时留下的数据痕迹，就是这里的实际意义。
接下来聊 Tachyon，我认为它是 Zcash 扩容的第一步。Sean，你会怎样简单解释 Tachyon 是什么、它如何扩展 Zcash？这些年来，Zcash 有过不同的屏蔽池，几乎每隔几年就加一个新的，各自尝试提高效率、增加功能。大家通常会逐渐转向最新的池……
用 Tachyon 扩展 Zcash
最近加入的是 Ironwood，今年早些时候上线，大家转向它，是因为它经过了形式化验证。再之前是 Orchard，为了移除可信设置、提高安全性。更早的 Sapling 则是因为 Zcash 最初上线的零知识证明非常慢，手机根本用不了，所以我们需要采用当时最前沿的 ZK 技术。密码学就这样一步步进步，Tachyon 要做的是解决剩下那些阻碍扩容的密码学瓶颈。
主要有两个地方。第一，证明很大。要在一个区块里放进更多屏蔽交易，就得处理并聚合这些零知识证明。现在大家讨论后量子时代如何扩展比特币时，也会遇到后量子签名变得很大的问题。比特币、以太坊和其他链都得想办法把签名或类似对象聚合起来，从交易里拿掉，换成每个区块一个更大的证明。Zcash 在尚未进入后量子时代之前，就已经遇到了类似的扩容问题，不过这里面对的是零知识证明，而不是签名。Tachyon 用递归 SNARK 来解决，这是很精巧的密码学技术。
另一个问题是 Zcash 的空值器集合（nullifier set）：每笔屏蔽交易都会让它增长，而且不会停止。为了防止双重支付，这些数据不能删除。
这就是以太坊社区说的状态膨胀吗？
对，就是状态膨胀。在比特币或以太坊里，通常可以清理旧数据；当然，旧链数据可以留在归档节点里，但验证新交易所需的数据通常随用户数量线性增长。对我们这种认真保护隐私的链来说就比较棘手：这个集合一直增长。Tachyon 也用递归 SNARK 处理它，把这些东西压缩起来。
我们正在解决密码学层面的这两类扩容问题。这样一来，剩下的扩容工作虽然仍然是非常艰巨的工程挑战，但至少底层密码学不再挡路。上层的共识协议和面向用户的钱包还得继续解决扩容难题。这就是 Tachyon 要推动的方向。
用 Tachyon 扩展 Zcash
所以 Tachyon 解决的并非区块速度或区块大小这些传统扩容问题，而是缩小 Zcash 屏蔽交易的体积，从而提高这部分的扩展能力。对吗？
链上的私密支付密码学，说实话，交易太多就会撑不住。我们得先解决这个问题，才能谈提高 TPS、做更大的区块。
没错，得先推倒技术栈里前面的多米诺骨牌，才能获得实现高 TPS 所需的资源。
Tachyon 本身就是一次扩容升级，会改变全节点的计算方式。假设一个区块里有一百万笔交易，今天的全节点就得验证一百万个 ZKP；有了 Tachyon，全节点只需验证一个 ZKP，这很厉害。
另外，一百万笔交易本来会让状态永久增加一百万份。Tachyon 让状态膨胀消失。熟悉 2017 到 2020 年“无状态区块链”讨论的人会发现，Zcash 实现了当时大家设想的东西：在线全节点只需保留最近大约一个月的状态；其他历史状态可以通过可信查询获得，但不必保存在全节点本身。这两项合在一起，第一项从一开始就能带来五倍以上的扩容提升。
这让我想到以太坊里的 ZK Rollup：先用一个 ZK 电路汇总大量交易，再用另一个电路递归汇总，然后把证明发到以太坊一层的 blob 空间。
模式听起来挺像。大致是这样吗？也得感谢以太坊在递归 ZKP 部署上的开拓。第一部分相似，第二部分的无状态设计则是全新的东西，是 Sean 想出来的。
去年我和 Ian Myers 写了一篇论文，介绍了这种新方法。我不想把功劳全揽在自己身上，但论文讲的是如何把递归证明和另一种技巧结合起来，实现这种设计。
无状态设计、减少甚至消除 ZK 区块链的状态膨胀，会不会也让更多小设备能够接入并参与 Zcash 网络？
这取决于你的目标。如果你想让树莓派也能运行全节点，我认为 Solana 的人对这个取舍的判断完全正确：你要树莓派，就做不出大规模扩容；Solana 也不可能同时成为去中心化纳斯达克，这说不通。
Zcash 也是一样：即使想做到每秒五万笔交易，也不能把这样的负载塞进树莓派，因为带宽和处理能力总有上限。树莓派能处理 10 兆还是 100 兆？但我们可以降低存储要求：也许不需要拍字节级的 SSD，只要几百兆——抱歉，是几百吉字节的 SSD。Zcash 还没到这种取舍的极端……
用 Tachyon 扩展 Zcash
树莓派全节点这件事，大家大概都认同：如果要做支付系统，树莓派就不现实；但我们可以在合理范围内尽可能优化。
美元稳定币让拉美用户学会了在链上储存价值。Ripio 正把同样的理念带到人们日常使用的本地货币。Wrapped Fiat 背后是 Ripio 十多年来为拉美领先公司提供加密基础设施的经验，产品包括六种本币稳定币，分别覆盖阿根廷、巴西、墨西哥、哥伦比亚、智利和秘鲁。每种代币都与当地货币一比一挂钩，储备由受监管金融机构持有，并为每种代币发布独立鉴证报告。
Wrapped Fiat 不只是放着不动，而是可以流通。目前它已部署在 10 条 EVM 链上，并与 Morpho、Uniswap、Chainlink 等平台集成，具备流动性。用户可在 Pix、SPEI 等本地支付渠道和对应的 Wrapped Fiat 之间实时一比一兑换，入金和出金都零手续费，也没有外汇转换。法币通过本地支付渠道进出，中间部分在链上完成。开发者从第一天起就能使用 Ripio 提供的 API、webhook、组件和沙盒。现在可以在 platform.rio.com 开始构建。
你的银行账户不会公开，为什么加密资产就该公开？AI 越强大，你的隐私越脆弱。无论链上还是链下，把身份和财务记录关联起来，都比以往任何时候都容易，而且只会越来越容易。每次数据泄露都会补上一块拼图，每笔公开交易都会留下追溯到你的线索。财富一旦可见，你就会成为目标。看得见的钱，就可能被偷走。掌控自己的钱，也应该包括掌控谁能看到你如何使用它。Zcash 用零知识密码学保障私密数字货币。屏蔽交易让你转账和消费时，不必公开收款人或金额。隐私没有次优选择。可以通过 Vizor 开始使用 Zcash，这是 Zcash 开发者和爱好者用来保护资金的钱包。Zcash 钱包并不简单，Vizor 会尽力保护你的资金和隐私。它开源、由用户自行托管、完全私密。请通过节目说明里的链接下载手机版或桌面版 Vizor。保护你的未来，使用 Zcash。
私密钱包与工作量证明
Tachyon 是否涵盖 Zcash 扩容的全部讨论？还有哪些扩容工作不在 Tachyon 里？
Tachyon 改变密码学层面，让区块链扩容的计算关系更容易处理。
假设每笔交易是 2 千字节，你想要每秒五万笔，那就得建一条吞吐量达到每秒 100 兆字节的区块链。这就带来一整套新问题：怎样设计工作量证明区块链来实现每秒 100 兆字节吞吐量？
另一个隐私特有的问题，是怎样做出一个私密钱包：收到钱时能发现款项到账，又不必下载区块链上的全部数据。人们常花很多精力理解 Zcash 的零知识证明如何工作，这确实很酷；但另一个该理解的问题是，为什么 Zcash 的用户体验花了这么久才变得可用？难点在于如何知道自己收到了钱。匿名支付意味着没人知道付款人、收款人或金额。接下来就有个问题：
Zcash 的量子防御路线图
钱包不能直接问服务器“我的余额是多少”，对吧？因为这是条私密区块链。那钱包怎么知道链上哪些交易属于自己？
直到最近，Zcash 的办法都是下载全部交易历史，再逐笔检查是不是付给自己的款项。但这无法扩展。如果区块链每秒处理 100 兆字节，钱包就得每秒下载 100 兆字节，根本行不通。
有一条很有意思的新密码学方向，大约在 2022 年左右出现，最近才真正实用，叫私有信息检索（PIR）。它的做法不是让手机把一整 TB 数据都下载下来，而是向服务器查询；服务器在一 TB 数据上运算后返回答案，却不会知道你查了什么。这有点像全同态加密（FHE）：我加密一些数据，去找服务器处理，服务器返回一个对我有用的答案，但它什么也学不到。
因为它就是 FHE。（笑）
对，底层确实用了同态加密。针对这个具体场景，后来有了突破和技巧，让服务器能很快处理。问题可以转化成大型矩阵向量乘法，而 AI 行业已经把大型矩阵向量乘法做得非常便宜、好用了。找人买一台 H100，就能为大家提供服务。密码学研究和 AI 行业的 GPU 优化碰到了一起，钱包端就有了扩展的可能。
Zcash 已经部署了这类 PIR。几个月前刚进行了一次持币者投票，我认为这是任何加密项目首次使用 PIR。
如果我们要查询服务器，这怎么不会引入一个中心化第三方？
我明白 FHE、GPU 和算力进步能让我的查询保持匿名，数学可以保护这一点；但我还是在查询一个中心化服务器。它怎么不会变成我和 Zcash 之间的可信中介？
可以分两部分看。先说 RPC：以太坊用户也得和某个 RPC 服务商通信。不过，任何人都可以下载一份链并自行索引，创办新的 RPC 服务商，不需要许可。现在已经有很多选择，比如 Alchemy、Infura，还有十多家——
还有那些你漏掉的服务商。（笑）
对，选择很多。Zcash 也会有许多服务商，市场会提供激励；你可以匿名付费使用服务。如果你因为某种原因被排除在外，或者某个服务商无法访问，那就自己启动一个节点，当然需要相当大的带宽，完成同步后就能提供服务。
Zcash 的量子防御路线图
我猜想给 Alchemy、Infura 这样的 RPC 服务商付费，本身也是隐私工程上的挑战，不过你觉得能解决。
我可以简单勾勒一下方案。Zcash 有防止双重支付的机制。如果我要付费使用 RPC 服务，就要在查询时证明自己有有效订阅，比如每秒能发 10 次请求，而且没有超额使用。可以为每秒发放 10 个一次性令牌。更实际一点，假设一个月能查询 1000 次，就发 1000 个一次性令牌。每次查询时，我用私密支付所用的技术证明自己消耗了一个新的有效令牌，服务端认可这些令牌，但不知道一百万个用户中的哪一个在使用订阅。
有两个工程难点。第一，用户初次注册时，谁来替他付第一笔订阅费？用户可能得先为钱包或账户付费。可以想象一种类似 Solana 状态租金的机制：账户里的每一单位状态都得有一定余额作为门槛，但不会被扣走。或许钱包体验能设计成这样。
第二，钱包做一笔支付时，后台可能已经查询了十次。那是不是要在后台做十次 Zcash 级别的零知识证明？这工作量不小。刚才只是口头草图，肯定还有很多工程技巧能优化。总得有人花几个月把它做出来，不过这问题是能解决的。
所以 Zcash 扩容有两半：一半是协议和区块链里的密码学，让区块链更精简、更高效。我想到 SpaceX 的发动机，最初线路复杂、到处都是线，最后变得很简洁、活动部件很少。密码学让 Zcash 区块链更高效、更快，于是钱包必须聪明地跟上链上数据。再把刚刚讲的服务器端 FHE 和 RPC 配上，就能得到一条快速、可扩展的 Zcash。
还差一个要素：可扩展的工作量证明。
我就担心这个。（笑）
对，正好三个要素。第三个就是 Zcash 作为区块链目前每秒只能处理大约 60 千字节。要用 Tachyon 实现每秒五万笔交易，就得达到每秒 100 兆字节。我们需要做很多工程，才能从 60 千字节提升到 100 兆字节。第一步大约两周后会开始：缩短区块间隔、保持现有区块大小，这样带宽先提升三倍，从 60 千字节变成 180 千字节。然后还要继续做下去，开始使用擦除码区块，就像 2017 年大家讨论的、以及 Solana 现在采用的方式，也类似以太坊 blob 所用的方法。还要采用更先进的 gossip 传播方式，像 Celestia 及其 Fiber 方案。这样每秒 100 兆字节就可能变得可行。
Zcash 的量子防御路线图
还有一个问题：工作量证明的出块时间波动很大。自从以太坊合并之后，大家好像把这问题忘了。假如 Zcash 平均 25 秒出一个区块，1% 的区块会快到 250 毫秒，也就是快 100 倍；另有 1% 会慢到 110 秒以上，是平时的四倍多。
未来两年要解决的是，怎样在保持单链工作量证明安全假设的同时维持高吞吐量。这里有很多技巧，各有取舍。社区得讨论哪种适合 Zcash。依我看，从每秒 1 兆字节到 10 兆字节，路线比较直接，几乎没什么取舍；但从 10 兆到 100 兆，就得引入不少新东西，让整个社区审慎权衡，同时仍保留单链工作量证明。我从没想过自己在加密行业会被工作量证明的问题吸引，这真是个新难题。（笑）
自从以太坊不再使用工作量证明，我们都忘了出块时间波动有多痛苦。（笑）好，我们先结束扩容，转向安全强化。Zcash 另一个重要方向是安全。先从如今很热门、很有意思的量子计算聊起：Zcash 迈向后量子安全的路线图是什么？现在还有哪些部分容易受量子攻击，打算怎么修复？
我记得我们四月左右做过一期视频，勾勒了 Zcash 后量子密码学的路线图，里面有三大支柱。第一项是你可能在社交媒体的 Zcash 讨论里听过的“量子可恢复性”。假如我的钱在屏蔽池里，量子计算机突然出现，我还能把钱取出来、找回资金吗？
如果把这项能力加入协议，就能争取缓冲时间，在攻击者或密码学技术快速进展时占得先机。等足够多人转入支持量子恢复的方案后，我们可以更安心地、谨慎而有计划地在 Zcash 里加入更多后量子技术，让用户逐步迁移，不必突然大规模迁移，否则可能会丢钱。第一根支柱已经在 Zcash 实现了。我们四月还在讨论，如今几个月前它就已经上线。如果你在 Zcash 的屏蔽钱包里有资金，很可能已经在支持这一能力的新屏蔽池里。很好，这是朝正确方向迈出的一步。
Zcash 的量子防御路线图
用 Justin Drake 的说法，这些资产已经进了“地堡”。新屏蔽池里的 ZEC 处于地堡模式，我们对此很放心。
也就是说，用户什么都不用做，它们已经在地堡里了。你接着说。
现在你就可以把钱包藏好，十年后回来照样能花里面的钱。
这个说法简单明了。
第二根支柱是后量子隐私。刚才 Dave 说过，现在如果要在 Zcash 收款，基本得扫描整条区块链，找出哪些交易是给你的。目前这靠的是前量子密码学，因为它很小；但我们得移除它，换成后量子密码学。这是 Tachyon 屏蔽池的一部分，Tachyon 也会解决它。正如之前所说，Tachyon 把密码学和钱包使用的机制解耦，让钱包可以采用后量子密钥交换技术，比如 ML-KEM。完成后，隐私就能全面抵抗量子计算。
其实 Zcash 今天已经有一些后量子隐私能力。我们很早就在考虑这个问题。在某些情形下，对某些攻击者来说，Zcash 现在就已经能提供后量子隐私。比如你不公开自己的地址，攻击者就无法解匿名或分析你的链上支付。我们会把这种保护扩展到整个系统。
我们也很早就开始考虑量子可恢复性。社区大约在 2025 年初就开始写第一版规范，远早于大家开始担心量子问题。第三根支柱是后量子可靠性：切换后，量子计算机就不能攻击密码学了。今天，量子计算机可能攻击屏蔽池来伪造 Zcash；实现后量子可靠性后，它们就做不到了。这三块就是路线图的重点。
很棒的是，自四月那份路线图以来，我们发现一些可以更早交付的中间步骤。量子可恢复性已经在隐私方面实现了。我们还发现额外的提升：Zcash 的近似意图集成现在已经完全无法被量子链接。它是进入 Tachyon 前的一项新隐私进展。一些支持钱包已经采用 PIR 等功能。原来 Tachyon 隐私设计里有一部分可以提前交付给近似意图场景，现在已在一些钱包中上线。
后量子可靠性更难。Zcash 得从椭圆曲线证明迁移到后量子递归 STARK。Tachyon 里很多工程工作都在做这件事。对 SNARK 来说，每次实现递归都是非常大的技术突破，确实值得骄傲。
Zcash 的量子防御路线图
现在椭圆曲线上的递归证明已经有了非常巧妙的实现，我们正在把这些经验迁移到 STARK 上。不过，透明池可以早得多进入后量子状态；量子可恢复性代码也可以更早发布。
所以你应该会看到一些阶段性进展：明年年初可以有完全后量子安全的透明交易；到明年年中，也许能演示完整流程——假设明天量子计算机出现、我们冻结椭圆曲线，用户仍可以从屏蔽池迁移到后量子透明池，链会允许这样做，资金也不会丢失。最终一步则是实现完整的后量子递归 STARK 屏蔽池。
听起来未来某一刻整个 Zcash 系统会达到后量子安全，但过程是逐步推进的，不会等到某个特定日子才一下子完成。现在到全面后量子安全之间，主要里程碑是什么？
最大的里程碑是量子可恢复性已经上线。后量子隐私的目标是明年一月左右随 Tachyon 全面上线。Tachyon 是 Zcash 迈向后量子安全的一大步。
有了后量子隐私和量子可恢复性之后，其实没太多可担心的。至少你得相信 Zcash 社区看到可信的量子威胁、判断量子计算即将到来时，会主动冻结椭圆曲线。如果你相信社区会这么做，就没什么好担心的。很多量子恐慌来自不了解密码学攻击在现实里是怎么发生的。假设你现在口袋里有台神奇的量子计算机，也不可能立刻破解每把密钥、每个系统。你得独占它一年多，还得不让任何消息泄露出去。
而且 Zcash 大概也不会是我的第一个目标。我可能会先拿走中本聪的币，再去攻击整个中国。（笑）
对 Zcash 来说，还有一点：你并不容易知道余额。难道要随机检查每个地址？你不能只盯着大户，因为你根本不知道他们的地址。
对，我不知道大户是谁，因为交易是私密的。
没错。
所以 Zcash 的特性本身就提供了一层隐含的“地堡”保护。
隐私能带来很多保护。这可能有点岔题，但很多钓鱼攻击都得先知道该构造什么交易才能偷走你的资金。要做到这一点，攻击者需要查看密钥，而在 Zcash 上很难拿到。没有查看密钥，就没那么容易盯上别人的钱包。
AI 威胁与形式化验证
量子威胁是方程的一边。我们现在正好处在“互联网末日”或“黑色十月”期间。几周前 Justin Drake 发文说该进入“地堡模式”了，这不是因为量子，而是 AI 模型越来越强，连传统攻击手法都开始变得可行。AI 在数学上的能力这么强，会不会在量子计算之外，也开始威胁 Zcash 这样的密码系统？Sean，这类事你怎么看？
这个说法大概有两个论点。第一，AI 的进步可能攻击传统密码学，但我还没看到很多这样的例子。第二，AI 可能加速量子计算机等技术的发展。
我觉得更宽容的理解是：这些技术发展正在加速，所以以前担心转向后量子密码学的理由，现在应该更重视。以太坊把一部分技术身份和新密码学联系在一起，一方面这和市场共鸣，另一方面他们多年来确实投入很多，相关密码学家、工程师也做了不少工作。他们目前在这方面有隐含的领导地位，而这种地位有时也会被利用。我觉得 Justin 可能正借此推动更悲观的叙事、慢慢改变大家能接受的观点，因为另一边的人如果完全否认 AI 或量子威胁，又会显得很可笑。这只是我的个人看法。
说到让 Zcash 长期变得更稳健，形式化验证能提供更强的系统安全保证吗？
我们早就在为 Tachyon 做形式化验证，因为它用了比较少见的密码学。一年前，我们就和形式化验证专家签约，帮忙把这些方法整合进密码学技术栈。
今年早些时候，Orchard 出现了一个伪造币漏洞。我们得排除协议里还存在其他伪造币漏洞的可能。形式化验证可以用数学证明，屏蔽池协议里不存在无法检测的伪造币漏洞。我们开展了大约一个半月到两个月的冲刺来验证它，最后成功了，并发布了升级。这非常鼓舞人心。我听说加密行业里几乎每个项目都来问我们，怎么给自己的协议做这件事、我们具体怎么做、又怎么能这么快完成。
这真的很重要，特别是使用零知识技术的项目，因为出错的方式太多，后果难以估量。我们在这方面走在前头，确实有帮助。
AI 威胁与形式化验证
我觉得我们在 AI 安全保证方面也走在前面。很早就开始用前沿 AI 模型攻击自己的协议，尝试找出那些审计人员、密码学家和黑客多年都没发现的难题。最后发现好像只有一个问题，而且非常隐蔽，看来只有 AI 才能找到。我们很谨慎，也愿意在这类事情上投入，所以今后会继续做。我们得提前考虑未来几个月可能面临的威胁和攻击，尤其是 AI 带来的风险，还有供应链风险，并聪明地做好防御。
形式化验证的能力每个月都在进步。就在今天，有朋友发帖讲，怎样从原始汇编代码出发做形式化验证，避免 PHP 相关软件再出现问题。简单说，PHP 的问题依赖于内存管理漏洞，而 C 代码经常有这类问题。现在有人提出一套可以长期防护的方法，并展示了 Anthropic 的实践：直接对真实代码进行编译，再形式化验证内存安全性质。有人用定理证明工具实现了这件事，我们也可以开始做。
我们已经形式化验证了 ZK 技术栈，还做了模糊测试。这里我说“我们”，但具体是 Sean 和 ZK Security 做的。他们会注入漏洞，检查形式化验证能不能发现。下一阶段是把类似方法用于全节点程序的其他漏洞，比如证明编译后的代码不可能破坏数据库。形式化验证和审计工作还很多。Dave 刚才提到模糊测试，我知道这个术语，但不太熟悉。为什么相信形式化验证？长期来看它能给 Zcash 带来什么？
形式化验证就是证明某段代码或某个数学过程符合特定性质或规格。但这个说法很宽泛，因为规格本身可能有错，检查的性质也可能不对；被检查的代码或数学，还可能和最终发布的产品不一致。所以还是需要人来确认，它在数学上是否被正确描述。审核人员不必读成千上万条定理、几十万行 Lean 证明代码，只要从高层检查：安全性质写对了吗？有没有可能攻击它？
AI 威胁与形式化验证
我们请了 ZK Security 团队做形式化验证专家的工作。他们做了两件事。第一，他们按我刚才说的角度审核形式化验证本身，而不只是审核代码。第二，他们有一个庞大的漏洞库，收集了大约一千个多年来在 SNARK 证明、电路和协议中发现的漏洞。他们归纳出常见模式，尝试把这些漏洞注入代码，再稍微调整形式化证明，看看证明会不会提示“这不安全，不能这么做”。他们逐一测试后，没找到任何一种注入的漏洞能逃过形式化验证。这就是这里所说的模糊测试。
我认为以前没人这样做过，我们可能是第一家。所谓安全保证，就是检验形式化验证是否可靠。
你们测试的其实是形式化验证本身能否工作。你们不只是审计 Zcash，而是在审计那个负责审计 Zcash 的工具。
没错。可以说，普通漏洞已经被排除，接下来要找的是会逃过分析的漏洞类别，寻找那些本来可能存在、却不会被抓到的问题。这是更高一层的安全保障。
我们现在是在比直接找漏洞更高一层的审计。
这项工作是开创性的。我觉得 Zcash 在密码学方面处于领先地位，如今大家正尝试把同样的方法扩展到其他所有漏洞，包括原始二进制文件。我认为这会成为未来两年全世界安全工作的方向。
我们最近已经开始把它用在实际优化上。Dave 提出了一些很棒的优化，能加速密码学，我们想部署到 Zcash。协议本身不需要改，只改了证明生成方式和维持零知识隐私的做法。我们原本不必为这部分单独做证明，只需要系统的可靠性证明。但整个协议已经形式化验证过了，所以要检查 Dave 的优化是否破坏协议或隐私，可以从已有形式化模型出发，快速证明零知识性质，再调整我们想优化的部分，立即检查安全性是否保持，或至少量化精确的安全界限。这也让我们能更快优化，并更有把握地做决定。
多重安全假设
很有意思。Dave，你之前提到“多重安全假设”，想请你展开讲讲。Bankless 好像没怎么聊过这个。多重安全假设对 Zcash 意味着什么？
这个想法目前还没有形成共识。大意是，攻击 Zcash 或其他区块链有几种不同的密码学路径，而系统的安全性取决于其中最薄弱的一环。比如椭圆曲线被破解，Zcash 就会被攻破；Blake2b 或 SHA-2 被攻破，屏蔽池也可能被攻破。
我们要问的是，能不能让攻击者必须同时破解椭圆曲线和哈希函数，才会造成不良后果？等 Zcash 使用完全基于哈希的密码学，这可能是最安全的方案，因为所有操作都会依赖哈希函数。但如果只用一种哈希，比如 SHA-2 或 Blake3，大家就会担心 Blake3 会不会被破解。自然的应对方式是同时用两种哈希，比如 Blake3 和 SHA-2。只要两者没在短时间内同时被破解，即使其中一种出问题，也可以升级协议。
我觉得 Zcash 最终的屏蔽池会要求攻击者打破两种假设，而不是一种。这种漏洞很少见，本来就不容易发生。最近有人发起了 Hashmash 挑战，想看看怎么破解这些哈希函数。AI 进步这么大，破解能力却几乎没推进，这反而令人安心。不过我们还是要保持警惕，采用两种哈希。未来的密码学部署大概会要求同时攻破两样东西，也可能把我们现在叫作 128 位的可靠性提升到 140 位或 160 位，以跟上全球算力增长。我觉得这是很可能的方向。
这听起来像多客户端系统：一个客户端失效，另一个还会坚持工作，让系统继续运行。也就是说，必须同时攻破两项安全假设才能攻击系统。你刚才说 Zcash 还没形成共识，所以这只是你对长期安全的想法，还需要 Zcash 社区达成一致？
说这是我的想法，太抬举我了。我觉得很多人都独立认同，但具体何时做、怎么做、是否要做，还有许多细节要讨论。
当然，最后还是走正常的区块链治理流程。
对。我觉得 Sean 可能比我早得多就提过这事。
是的，Zcash 上线之前我们就在讨论。
Zuko 非常支持让多个证明系统覆盖同一笔交易，即使证明会变成两倍大；一种证明系统失效时，另一种还能兜底。这和 Dave 说的哈希做法在理念上差不多。以前讨论过。我可能是比较担心它对扩容的影响的人之一，但我愿意继续考虑。
多重安全假设
我们首先得实现扩容。Zcash 很多问题都受扩容限制。现在区块链容量最高大约每秒 2.9 笔，钱包可能会卡住；如果回到六个月前，钱包已经会卡住。下一次升级会把容量提高到每秒 6 笔，但钱包大约在 6 TPS 满载时就会遇到瓶颈。
在这种情况下，每一点扩容都很重要。等我们达到 5 万到 10 万 TPS，打破钱包和链的根本扩容瓶颈后，才有更多空间尝试别的方案。
我做加密交易快十年了，用过很多钱包、交易所、聚合器和前端。我一直想找一个界面，能跨很多条链和资产提供深度流动性，让我访问市场、赚取收益、保密交易，同时还能掌控自己的资金。我一直没找到这样的产品，不停换钱包、折腾 gas 费，还会被滑点吞掉收益。但 Near.com 对我来说完全不同。我可以在任何链上做想做的事，并让所有活动保持机密：加密资产、代币化资产、点对点支付，甚至能私密赚取收益。一个账户覆盖 30 多条链，默认保密。这才是加密货币应该有的样子。
它由 Near 提供支持，已完成超过 300 亿美元的跨链转移，使用后量子签名，主网运行超过五年、零停机。Near.com 是上链并掌控资产的好方式。通过节目说明里的 Bankless 链接在 near.com 交易，可返还 20% 手续费。不构成投资建议。
还有个好消息：我们要推出一档新播客，帮助大家判断加密货币周期、学会应对市场。我认识最好的周期投资者叫 Michael Noto，他经营 DeFi Report。10 月 10 日价格下跌前，他给我发过卖出提醒。他的周期分析一直非常准确，我关注他很多年了。今年我们开始每周录一期播客，聊他的投资组合、持仓、市场结构、入场目标、比特币和以太坊的公允价值，以及目前所处的周期。每周三更新，每期 30 分钟，短小有力。我觉得这一轮周期比大多数时候都更难应对，我们一起走过吧。去你常用的平台订阅这档播客，搜索 DeFi Report，也可以在 YouTube、Apple、Spotify 收听，或点击节目说明里的链接。新一期已经上线。
为什么支付优先
技术路线图部分差不多聊完了。我学到很多，谢谢你们花时间带我了解。接下来想跳出技术细节，回到理念层面。我脑子有点累了，这样更有意思。我们快速聊几个问题。先说 Zcash 的表达能力：它在很多设计理念上跟随比特币，选择精简、简单、范围较窄；以太坊则更宽泛、复杂、通用。为什么 Zcash 选择这条路？它在比特币和以太坊之间怎么确定自己的位置？Sean，你先说。
我想 Dave 也会有不错的看法。我觉得如果几年前我们加入那些花哨功能，Zcash 现在可能就完了。很多年里 Zcash 市场表现不佳、价格偏低，大家想尽办法加功能。DeFi 兴起时，大家觉得可编程性、私密可编程性听起来很适合 Zcash。我甚至参与写过一篇论文，后来发展成支持这类功能的协议。还有你可能听过的 Zcash 屏蔽资产（ZSA），有人想做迷因币来推高价格。
如果当时加了这些功能，现在我们想改协议来扩容，就必须兼顾它们，过程会复杂很多，也更难保证安全。每个功能都会扩大攻击面、增加漏洞，尤其是零知识证明系统里，一个看似无关紧要的小错误也可能破坏整个系统，不会只影响局部。功能过多会拖慢我们的灵活性，也让可扩容的区块链更难设计。
我们必须先解决支付。所以我多年来的重点一直是：支付没有扩展起来之前，先别谈其他功能，保持简单。现在 Zcash 内部也越来越倾向于不要增加这些功能，因为不想危及项目安全。等支付扩容真正实现后，大家可能会更保守地看待新功能。不过我也想听听 Dave 的看法。
我觉得要表达的需求有两类。第一是托管方式。现在 Zcash 用户只有一个私钥；想要多重签名，就得在链下通过 MPC 实现。这样挺好，但世界已经发现大家需要更多选择。比如现在大家推动通行密钥，技术问题是怎样在链上支持 P-256，而不是 secp256k1。这是新型托管方式，我们应该有能力表达它。挺有意思的是，递归和 Tachyon 的某些功能可能让我们能实现这种方式。
为什么支付优先
第二类是最终希望支持的无信任客户端链间桥接，这可以支撑 L2 等方案。比如你想让 Zcash 或比特币改动，却推动不了；或者你想让以太坊改动，能不能做一个最小化扩展？除此之外，我看不出还有什么特别需要的功能。
不过在支付扩容之前，我甚至不想讨论这两类东西，而这两类对支付最重要。我可能会被说服接受 ZSA，或者接受不禁止迷因币，但现在 Zcash 区块间隔 75 秒、每秒只能处理 3 笔交易，把脑力花在迷因币上很离谱。现在这就是我们的现实，我希望大家别用核心协议之外的东西。等我们每秒处理五万笔、延迟不到一秒，大家都来帮忙把链用满，那时才值得讨论。
在完成扩容之前，其他功能基本是干扰。只有这两类能力值得关注，因为它们可能加快扩容。比如 Near Intents 如果有更可信、原生的托管方式，速度和用户体验都可能更好。
Zcash 的长期安全计划是什么？我们说过工作量证明是计划 A，也会继续作为计划 A。Zcash 还有 2100 万枚硬上限，那长期的安全预算怎么支付？比如到了 2100 年，谁来付 Zcash 的安全成本？
为工作量证明安全提供资金
一种方案叫网络可持续性模块（NSM）：现在收集一部分交易费，留给未来用于矿工奖励。从下一次升级开始，60% 的交易费不会给矿工，而是由协议持有，计划像减半周期那样从四年后开始重新分配。思路是，趁现在 Zcash 价格还比理想状态低，先收集资金，帮助解决未来的安全预算问题。
这是已经确定的计划，还是提案？
这是已经合并、两周后就会启动的计划。
所以它已经写进链上升级了？
对，11 月 5 日开始收集，四年左右后重新分配。至于这够不够，或者未来市场使用量和扩容是否足够支撑长期安全，这是个合理的问题。
这个问题有答案吗？还是留待将来解决？
比特币可以作为参照。到目前为止，这还不是比特币的问题；实际上比特币遇到过更棘手的情况，比如 DAT 公司被激励去购买算力，后来发现行不通，矿工只好关机，出现算力过剩。我觉得这方案会有效。如果 Zcash 极其成功，运营成本大概能覆盖；同时人们可能会因为觉得这个系统很有价值而自愿运行矿机。
我觉得有意思的是，如果问比特币社区，他们一般会说“这不是问题，别动我的币，安全肯定没问题”。你们的说法却是持续关注，并愿意根据数据和现实调整。现在 Zcash 优先发展速度和规模，安全预算以后会排上优先级，但现在还不是第一或第二位。我们已经通过现在收取费用、未来用于安全支出的办法解决了一部分。这也说明 Zcash 承认安全是现实问题，它并不会自动得到保障。现在它还不是首要事项。
你可以直接问大语言模型：比特币将来会有一天不再给矿工任何 Satoshi。你很难说这不是问题。（笑）
治理与持币者投票
最后快速问几个问题，因为已经超时了。先说治理和持币者投票。Zcash 治理怎么运作？Zcash 改进提案 ZIP 和比特币的 BIP、以太坊的 EIP 有什么不同？通常要怎样改变 Zcash？
历史上，Zcash 没有一部书面宪法规定协议如何演进。基本上是有一定公信力的人和不同组织达成共识，项目里有影响力的倡导者普遍没有异议，就会推进。大体上，我们做的是不具争议、各个组织都认可的事。
我们有 ZIP 流程，用来具体描述协议修改意味着什么、会以什么方式改变。这个流程很有价值，能把事情写清楚、详细记录；但它本身不是治理，而是治理过程之后的文书流程。过去几年，尤其最近一年，我们一直缺少真正一致的治理机制。
近来我们开始全面推进持币者投票。持币者可以对追溯性资助等事项表达意见。Zcash 有资助计划，资金池里有很多币，申请者可以申请，持币者投票决定分配。这个机制一直在改进。最近还有一次大约 700 万美元的追溯性资助投票，很棒。
我们还就下一次 NU7 升级该做什么举行了一次规模很大的持币者投票，参与的 ZEC 数量达到数百万——具体数字我记不清，但参与度很高。我认为接下来的方向是：如果持币者普遍反对某件事，我们就不该做。这是我的个人看法。随着时间推移，我们正在形成一种以持币者为基础的治理方式。
这不是正式投票，也不是链上治理，而是一次温度调查。关键是看这样的意见调查能多大程度影响未来。它只是一个微弱信号，还是持币者真的很想要某个方案、足以显著影响综合决策？
我认为我们必须明确传达，持币者的想法非常重要。这对开发者来说也是问责机制。持币者是项目的命脉。但如果持币者投票支持荒唐的事情，甚至违反我们的道德原则，我们当然不会照办。
治理与持币者投票
不过我们应该明确表达：持币者的意见有分量。
比如说，如果持币者投票支持给隐私加后门、把信息交给 NSA——
对。
不管为什么，他们都不会这么做。
他们不会做，而且你们也不会做。
我们也不会。没错。
Zcash 在开发方面也非常去中心化。有很多开发组织都拥有重要发言权。但如果这些组织意见不一，或者只能按照最慢的人的偏好行动，就有个问题。我觉得大家都能认同一点：如果持币者非常反对某个方案，甚至有人说“你要是这么做，我们就卖掉 10%、20% 甚至 30% 的供应量”，那显然就不该做。很难证明应该做一件所有持币者都反对的事。
我也会和钱包团队、社区成员、在 Zcash 上构建产品的人交流，只是很难比较他们、不同开发组织和持币者之间谁更重要。持币者是最终、最中立的一方。
ZEC 价格与协议威胁
我知道你们只能代表自己发言，但 ZEC 的价格重要吗？它应该有高价格吗？高价格是不是你们做这件事的目标之一？金融隐私当然重要，但 ZEC 价格上涨是不是也是你们努力实现的结果？
我觉得这是一种财务激励，也是实现每秒数千笔支付这个愿景的必要条件。想做到每秒数万笔支付，就得有每秒数万笔的需求。那需要多少人持有？比如一亿人，每人平均持有多少？这样算下来，想让系统有意义，就得有很高的市值。你不能一边要求达到 Visa、Mastercard 级别的 TPS，比如五万 TPS，一边又说市值很低也行，这说不通。
Sean 点头表示赞同。
高价格就像协议演进、防御和成功的飞轮。它确实很重要。历史上我们已经看到，正因为 ZEC 价格上涨，现在可用于开发和建设的资源远高于几年前。社区里也建立了更多长期资金储备。这让我们对项目的长期愿景更有信心，而要取得任何进展，都需要这种信心。
如果你的任务是尽可能伤害 Zcash，你会怎么做？你会破解加密、让链停摆，还是做别的？（笑）
我接下来要说的话可能会让我惹上麻烦。我觉得最大的问题是停滞。怎么让项目停滞？成立很多委员会，让一堆委员会互相掣肘——你知道 NSA 那套做法。
所以你会攻击治理层。
对。让委员会越来越多，所有事情都得等最慢的成员同意。我觉得在当前阶段，最大的威胁就是被缓慢的委员会拖垮。
我完全同意。
所以如果要阻止项目，就从治理下手。
我觉得有两部分：治理，以及货币供应。先把治理搞乱，再破坏升级能力，让治理可以通过损害核心价值观的升级。
Dave、Sean，这堂 Zcash 大师课太棒了。谢谢你们来和我、Bankless 社区分享这些内容。希望一年左右之后再来聊聊 Zcash 的进展。现在我已经了解了想知道的一切。
太棒了，谢谢。
问得很好。
Bankless 社区，你们知道的。加密资产风险很高，投入的钱可能会亏掉。这是一个前沿领域，不适合所有人，但很高兴你们和我们一起走这段 Bankless 旅程。非常感谢。