5.4 区块链与 Web3：加密状态上链

5.4 区块链与 Web3：加密状态上链

本节摘要：区块链把透明当作特性，但拍卖、投票、交易等场景恰恰需要保密。同态加密让智能合约在密文状态上执行，配合验证者委员会的门限解密，构成"加密虚拟机"路线；它与零知识证明形成互补分工——一个藏数据、一个藏计算。本节讲清架构分层、门限解密的角色、真实项目形态与成本量级，并给出与零知识证明的对照表。

透明的账本，藏不住的生意

公有链的设计哲学是全量公开：每个节点重放每笔交易验证状态转移，透明换共识。这个设计对转账够用，对更丰富的场景立即失灵。密封竞价拍卖里，出价必须互相不可见；链上投票要求 ballot 保密且可验证；去中心化交易所的前置问题（公开的挂单被抢跑）本质上也是"状态透明"的副作用。把数据加密后上链是显然的想法，但传统加密的密文不能参与计算——合约逻辑对密文无能为力，这正是同态加密的用武之地：合约在密文状态上执行加法、乘法与比较，明文只在最终解密时出现。

架构上要补一块关键积木：谁来解密。链上没有单一可信方，解密权必须分散——门限同态加密把解密密钥切成多份由验证者委员会分持，超过门限数量（例如三分之二）的节点协作才能解密一个密文，低于门限的合谋一无所获。解密时机由协议约束：只在满足合约条件的结果上执行（拍卖结算、投票截止、条件触发），且配合零知识证明确保"请求解密的节点确实按规则行事"。这套组合把信任从"单个机构"转移到"诚实多数的委员会假设"，与区块链自身的共识假设对齐。

加密虚拟机的分层

分层图自上而下走一遍：用户侧钱包完成加密（密钥派生自用户密钥与协议密钥的混合）；加密虚拟机把同态运算做成预编译指令，合约代码照常编写，编译器把算术映射到密文运算；加密状态（密文）随区块落链，全节点可以重放验证计算过程——注意这里保留了一个精妙性质：验证密文计算的正确性不需要看到明文，节点重放同态运算即可校验状态转移，公开可验证性与保密性同时成立；最后是解密出口，委员会在条件满足时按协议执行门限解密。

真实项目的形态可以概括为两条路线。路线一是改造执行环境：在兼容主流智能合约生态的虚拟机里内嵌同态运算预编译（以二零二三年前后出现的加密虚拟机为代表），布尔线方案承担加乘与比较，开发者用熟悉的语言写合约，编译器与运行时处理加密细节。路线二是应用层协议：不改造链，把同态部件做成应用合约（密封拍卖、隐私投票、保密订单），门限密钥由参与方与节点混合托管。两条路线的公开成本量级都比明文合约高一至两个数量级（以燃料或执行时间计），这与第四章的成本表一致——链上计算本就昂贵，再乘同态系数，决定了当前应用集中在低频高价值操作（拍卖、投票、结算）而非高频交易。

与零知识证明的分工

同态加密与零知识证明经常被放在一起比较，两者的关系是互补而非竞争。零知识证明回答"我算对了且不泄露输入"——计算在明文侧完成，生成证明上链验证；同态加密回答"在看不到输入的情况下替我算"——计算本身在密文域完成。用一张表把分工划清：

组合形态是当代研究的活跃地带：加密虚拟机里用零知识证明约束解密请求（上图虚线）；隐私求交的变体里用零知识证明保证参与方按协议构造输入。选型口诀一句话：要"别人替我算而不看"用同态，要"我自证清白"用零知识，两者都要就组合。

Web3 之外的延伸与冷思考

同态思想在 Web3 生态还有几个延伸应用值得记录：保密余额的转账（配合范围证明防止负数余额）、链下扩容方案里对提交数据的密文校验、门限托管的密钥恢复服务。同时要保持冷思考：门限委员会的诚实多数假设是系统最重的信任包袱，委员会规模与串通成本要认真设计；链上密文的状态膨胀（每个密文几百千字节起）对全节点存储是长期压力；监管接口（合规审计能否介入加密状态）尚无成熟范式。这些未解题意味着这条路线仍在快速变形，评估项目时应把"信任假设清单"和"成本清单"放在白皮书叙事之前。

💡 关键直觉：加密虚拟机的本质是把第五章第一节的外包模型搬到委员会架构——外包方从"云厂商"换成"验证者集合"，诚实但好奇假设升级为诚实多数假设。理解了这层映射，云场景的全部选型经验可以直接平移过来。

本节要点回顾

• 要点一：区块链的透明性与拍卖投票等场景冲突，同态加密让合约在密文状态上执行，明文只在条件满足的门限解密时出现
• 要点二：门限解密委员会是信任的落点，配合零知识证明约束解密行为，假设与区块链共识对齐（诚实多数）
• 要点三：公开可验证与保密同时成立——节点重放密文运算即可校验状态转移，无需看到明文
• 要点四：与零知识证明是互补分工：藏数据用同态、自证合规用零知识，组合使用是研究前沿

四、结合点的冷静评估

把同态加密与区块链的结合点做一次冷静的分级评估。成熟度较高的一级：链下隐私计算加链上验证——同态加密在链下完成对加密数据的统计与推理，把结果的零知识证明上链，链只背书可验证性而不接触数据本身，这条路已有多个隐私交易与审计项目在走，瓶颈在证明生成的工程成本。探索中的一级：加密状态的链上执行——全节点的共识机器直接在密文上跑智能合约逻辑，愿景动人但性能鸿沟在数量级以上，近期的可行形态是委员会式的可信执行与同态混合方案。方向性的一级：同态与零知识、可信硬件的三方融合——各自弥补对方的短板（同态的交互性差由 ZK 补验证、ZK 的可计算性弱由 FHE 扩表达、两者的性能差由 TEE 兜底），这类混合架构正在成为隐私计算工程的主流形态。评估任何区块链加同态的项目，用三问过筛：链上到底需要验证什么（结果还是过程）、密文计算由谁付费跑（激励是否闭环）、密钥治理归谁（去中心化的承诺有没有被密钥管理悄悄架空）。三问过后仍站得住的方案，才值得投入研究时间。