欧亿3平台开户需要什么？在本文中，我们将为您详细解析多项功能关于欧e下载欧e官网，欧e下载欧e官网作为全球领先的数字货币交易平台之一，是一家支持全球用户的交易平台，注册界面多语言适配，流程简明，确保世界各地用户都能顺畅加入。

欧e下载欧e官网

1.多种语言

交易所使用用户范围广泛，为了使更多的用户能够享受到无缝交易服务，交易所提供了多种语言支持。交易所目前支持简体中文、繁体中文、英文、俄语、德语、日语、韩语、越南语、土耳其语等多种语言。

2.数字资产研究院

为了进一步帮助用户了解数字资产，交易平台成立了数字资产研究院，旨在提供最新最全面的数字资产行情分析和研究报告。

3.最大优势

App作为数字货币交易平台的App之一，其最大的优势就是：全球24小时交易，国内唯一支持全球多语言交易App，这样即使你在国外，也可以方便快捷地进行交易。

4.业务覆盖范围

网主要提供数字资产交易及相关服务，包括数字货币充值、提现、交易、行情、资讯等多项服务。网采用先进的安全技术和稳健的交易系统，确保用户数字资产的安全和交易的稳定性。

5.交易速度快

交易所的交易速度非常快，交易订单被极快地确认，资金可以迅速转入转出。

6.动态验证码等，以保障数字货币交易的安全。

7.提高用户隐私保护

用户隐私保护一直是数字资产平台上的一个重要问题。在新版交易所平台上，提高了隐私保护措施，用户的数字资产安全得到了更好的保障。

8.数字货币充值与提现

应用程序支持多种数字货币的充值和提现功能。用户可以使用银行转账、信用卡、支付宝等支付方式进行充提，方便快捷。

9.商业化和盈利模式

作为一家企业，平台不仅需要不断推进其业务和技术，还需要实现商业化和盈利。平台通过多种手段和方式，如手续费、优惠政策、资金托管等，实现了自身的盈利。平台盈利的同时，也为其用户提供了更好的服务。

10.业务优势

作为数字资产交易平台，一直致力于为广大用户提供方便、稳定、快速的数字资产交易服务。的业务优势主要包括多币种交易、快速充提、高流动性、高安全性等。用户可以通过快速方便地进行数字货币交易，使其受到更多用户的青睐。

欧e下载欧e官网用户评价

用户名: CryptoKing88

星级: ★★★★★

评价: 该交易所是我使用过的最好的数字货币交易所。他们提供了丰富的交易对，包括比特币、以太坊和其他热门数字货币，还有一些新兴币种。不仅如此，他们还支持跨链交易，让我能够在一个平台上方便地进行各种交易。

初遇未遇

该交易所提供的交易品种非常丰富，涵盖了主流加密货币以及一些小型加密货币。让我有更多选择进行价值投资和波段交易。

评分：★★★★★ 利好：563 利空：17

用户名：幸运鸟 ★★★☆☆

评价内容：作为该交易所的长期用户，我希望他们能够增加更多的创新币种和交易对。这样可以为投资者提供更广阔的选择空间，同时也能够吸引更多的用户。期待该交易所的发展和改进。

安装内容

1.在这个软件中挖掘可以更加安全可靠。每天有很多次的信息。发个通知告诉我们。

2.用户的信息也都是加密的，安全可靠，K线图趋势也能让你看的更加清楚直观。

3.每秒数万笔业务的高性能和模块交易的能力，确保一切都方便快捷。

4.网上交易及时、安全、稳定。根据实时汇率进行，无需密钥。

5.等待撤回：撤回申请已提交，等待撤回。(提款需求拥挤时排队)，

6.非常靠谱的优质区块链交易，提供最好的交易体验，获得最好的满足。

7.还会通过曲线图等方法分析基本行业市场趋势等方法。

华为怎么下载欧意

1. 在华为手机上下载欧意应用时，需要确保手机号码已经完成实名认证并绑定银行卡；

2. 在下载欧意应用时，需要保证手机联网，并且使用流量或者Wi-Fi进行下载，保证下载速度和效率；

3. 使用华为手机下载欧意应用时，需要注意选择与手机系统版本匹配的欧意版本，以保证应用的兼容性和稳定性；

4. 下载欧意应用后，需要在手机上进行安装，并且确保安装过程中没有出现任何异常情况，否则需要重新下载和安装。

总体来说，华为手机下载欧意应用相对来说比较简单，只需要按照上述步骤一步一步操作即可。同时，在使用应用的过程中，需要保持手机网络畅通，并且正常使用该应用，以便获得更好的体验和使用效果。

欧意钱包官方下载特点说明

1.直接面向对象的服务提供者是企业机构等B端用户;

2.奖励十分的丰富化，在使用中不用垫付资金，当天就能提取收益。

3.社区很强大。世界五大国家同时启动，世界前100个社区也参与了进来。

4.用户可以安全交易平台上快速的获取自己想要的信息。

5.这里的数据完整、安全，各类财务信息在第一时间更新发布，使用方便。

欧意交易所怎么转账

首先需要登录欧意交易所的账户，进入个人信息页面。

2. 进入资产管理页面

在个人信息页面中，点击“资产管理”进入资产管理页面。

3. 选择数字货币

在资产管理页面中，选择要转账的数字货币。以比特币（BTC）为例，点击“BTC”图标进入BTC资产页面。

4. 点击转账按钮

在BTC资产页面中，点击“转账”按钮，进入转账页面。

5. 填写转账信息

在转账页面中，填写以下信息：

- 转账地址：要转账的目标地址

- 转账数量：要转账的数量

- 矿工费：矿工费可以根据实际情况进行选择，默认矿工费一般比较高，但可快速完成交易。

6. 确认转账

填写完转账信息后，点击“确认转账”按钮，即可完成转账操作。在转账成功后，相应的数字货币将从您的欧意交易所账户中扣除，转至目标地址。

需要注意的是，在进行数字货币转账时，需要确保转账地址的准确性和完整性，以免发生转错地址等意外情况。此外，转账前需要对目标地址所属的交易平台或钱包进行认真了解，尽量选择有信誉的平台或钱包进行转账操作。

类似欧e的交易所推荐

1.BTCC

创始团队由顶级区块链投资人与传统金融领域高管组成，CEO和联合创始人Ben Zhou在外汇和数字货币领域的保证金交易、衍生品交易和量化交易方面经验丰富;研发团队核心成员来自摩根士丹利、腾讯、平安银行和诺亚财富。团队具备丰富的交易经验和扎实的研发实力，人员配置合理。

2.阿波罗

这个交易所的安全性非常高，就犹如交易所中的铜墙铁壁”一般，不仅具有最基本的短信验证，高级加密等等最基本的安保措施之外，更能通过防止数据伪造High SSL和全年365天无休的24x7服务器检测来防止意外发生。可以说无论在什么情况下，都能在第一时间保护顾客的财产和信息安全，为玩家的比特币交易保驾护航。

在上面交易透明度很高。随时都会产生比特币抛售和购买需求。因其交易量非常大(7月的最高日交易额、8月9号交易量超过了60亿人民币)，所以是很值得信赖的一个平台。这一点对于准备进行虚拟货币交易的初级者来说可是很重要的一部分。另外，还有一个TIP要告诉大家~ 如果在进行虚拟货币比特币交易的话，可以获得意外的溢价”哦.

第三个优势是手续费低，它可以为用户们提供可以最优价格交易的环境，成为会员之后更可享受0.01%~0.075%的手续费!这无疑是为用户们减轻了不少负担。网路上也有不少朋友含着一把辛酸泪描述过自己被平台收取高昂手续费的血泪史”。手续费一高，相应的利润也会变低，有的玩家辛辛苦苦做了一把交易却让手续费拉低了收益，扎心了。还在为高昂手续费烦恼的朋友们不妨试一试交易所，市面上应该找不到手续费这么低的虚拟货币交易平台了。

3.币越

是一家独特的成立于2015年10月的数字货币国际站，允许兑换各种电子货币(法定货币和非法定货币)、虚拟货币和加密货币，手续费：0.25%。

4.威比特

老牌交易所，有中文界面，手续费：0%-6%

汇集了来自全球各地的专业家。自来西班牙、俄罗斯、印度和泰国的程序员同自来英国、美国、立陶宛和新加坡的成功的金融顾问员一起创建世界上最方便的数字货币交易平台。专家指出比特币能使金融计算变得更简单，更安全和更好为区块链技术发展作出自己的贡献。

5.阿格斯

数字货币交易所是全球领先的数字货币交易平台，平台成立于2017年，由加拿大顶级区块链投资机构打造，并迅速将业务扩展到全球，包含在美国、阿拉伯联合酋长国、泰国、新加波均设有分部。

6.多比

建立于塞舌尔共和国，是最先进的比特币衍生品国际站,对于比特币类产品提供高达100倍的杠杆，同时也提供针对其它数字货币产品的高杠杆。

7.9158

是一家老牌比特币交易所，2011年7月，比特币的早期玩家、来自Airbnb的软件工程师Brian Armstrong创立。2012年，高盛交易员Fred Ehrsam作为联合创始人加入了该公司。当年10月，推出了通过银行转账购买和出售比特币的服务。

8.优币

交易平台注册于英属开曼群岛，研发、运营团队分布世界多地，全球化协同办公，包括纽约、东京、新加坡、香港、澳大利亚等地。我们拥有爱沙尼亚和马来西亚的牌照，同时新加坡和香港方面的牌照也在积极申请并争取。

9.雪碧

是币圈大型头部交易平台之一，以合约交易见长，近期又上线了期权交易，产品交易种类比较丰富。同时自带矿池服务，实现了挖矿到交易全流程闭环。交易上APP的操作也非常的流畅，交易深度也是没话说，符合一线大所的标准，并且其平台币xxxxxB也一直比较稳定，对于喜欢投资平台币的朋友也是一个不错的选择。

缺点：平台的交易系统偶尔会有掉线和插针的行情，未来还有一定的优化空…

10.币客

是一家全球安全领先的数字资产衍生品交易平台，拥有数字货币交易平台合规运营牌照和?融衍?品合规经营牌照。并由国际化区块链领域专业团队研发和运营，具有丰富的交易系统、?控、结算和安全管理经验。秉承合规、专业、友好的经营理念，坚持用户第一、服务至上的原则，努力为全球用户提供安全、稳定、便捷的数字资产交易服务。

自成立以来：

产品不断迭代，现已上线永续合约、快捷合约、赠金模式等多种交易产品;

运营持续创新，与同行业多个优质头部社区形成了战略协作，推广共识，共建生态;

品牌稳步推动，同全球多家行业优质媒体达成战略合作，为市场品牌建设提供有力支持。

币圈今日公告

5000万枚USDC从USDC Treasury转移至Coinbase。

据悉报道，据链上数据追踪服务Whale Alert监测，北京时间上午7:11左右，50,000,000枚USDC从USDC Treasury转移至Coinbase。

解析比特币 Layer2 扩容技术：有效性证明与欺诈证明

作者: mutourend & lynndell，Bitlayer Labs

原文标题：《Analysis of Bitcoin Layer2 Scaling Techniques: Validity Proofs and Fraud Proofs》

原文链接：https://blog.bitlayer.org/Analysis_of_Bitcoin_Layer2_Scaling_Techniques_Validity_Proofs_and_Fraud_Proofs/

1 引言

对于某个算法 f，两个互不信任的参与方 Alice 和 Bob，可通过如下方式建立信任：

Alice 输入 x，运行算法 f，获得结果 y。Bob 基于相同的输入 x，也运行算法 f，结果为 y′。如果 y = y′，则 Bob 认可 Alice 提供的输入 x 和输出 y。这是一种特殊的有效性证明机制，常用于区块链共识。其中，Alice 为打包区块的节点，Bob 为参与共识的节点。

Alice 输入 x，对算法 f 运行 zk.prove 程序，获得结果 y 和证明 proof。Bob 根据 f、y 和 proof，运行 zk.verify 程序。如果结果为 true，则 Bob 认可 Alice 的结果 y；如果结果为 false，则 Bob 不认可 Alice 的结果 y。这是有效性证明。其中，Bob 可以是链上合约。

Alice 输入 x，运行算法 f，获得结果 y。Bob 基于相同的输入 x，也运行算法 f，结果为 y′。如果 y = y′，则什么也不做；如果 y =? y′，则 Bob 对 Alice 发起挑战，所挑战的程序为 f。Alice 与 Bob 的交互次数可为一次或多次。根据挑战响应流程来实现仲裁。这是欺诈证明。其中，Bob 为挑战者，在链下监听，在链上挑战。

Alice 输入 x，对算法 f 运行 zk.prove 程序，获得结果 y 和证明 proof。Bob 根据 f、y 和 proof，运行 zk.verify 程序。如果结果为 true，则什么也不做；如果结果为 false，则 Bob 对 Alice 发起挑战，所挑战的程序为 zk.verify。Alice 与 Bob 的交互次数可为一次或多次。Alice 与 Bob 的交互次数可为一次或多次。根据挑战响应流程来实现仲裁。这是欺诈证明。其中，Bob 为挑战者，在链下监听，在链上挑战。

对于以上 2,3,4，令 x 为 Layer2 交易和起始状态，f 为 Layer2 共识程序，y 为交易结束状态，则对应为区块链 Layer2 扩容方案。其中：

有效性证明（Validity Proof）：基于悲观假设，必须证明有效后才接纳，且即时生效。在有效性证明中，需提供 L2 状态转换正确的证据，反应了对世界的悲观看法——当且仅当证明某状态正确时，才会接纳该状态。

欺诈证明（Fraud Proof）：基于乐观假设，默认接纳，除非有人证明有误才拒绝。具有挑战窗口期，挑战窗口期过后才生效。在欺诈证明中，需提供 L2 状态转换不正确的证据，反应了对世界的乐观看法——某状态转换默认是正确的，除非证明其不正确。

表 1: 信任建立方式

此外，需要注意：

区别欺诈证明和有效性证明的关键不是判断是否使用了 SNARK/STARK 等 ZK 证明系统。ZK 证明系统所表达的是所用的证明方式，而欺诈还是有效性，则代表的是所证明的内容。这也是为何说表1中场景 1 所表示的为有效性证明。

有效性证明时效性更佳，但链上验证复杂度相对高；欺诈证明链上验证复杂度更低，但时效性相对差。

对于表1中 2 和 4 情况，借助 ZK 递归和组合技术，可对多个 f 进行计算压缩，大幅分摊降低链下计算在链上的验证成本。

当前，受益于 solidity 图灵完备智能合约，欺诈证明和有效性证明技术广泛用于以太坊 Layer2 扩容。但是，在比特币范式下，受限于比特币有限的操作码功能、1000 个 stack 元素等限制，这些技术应用仍处于探索阶段。本文针对比特币 Layer2 扩容场景下，总结了比特币范式下的限制和突围技术，研究有效性证明和欺诈证明技术，并梳理了比特币范式下所独有的脚本切分技术。

2 比特币范式下的限制和突围

比特币范式下有诸多限制，但是能够使用各种巧妙方法或技术来突破这些限制。例如，比特承诺可突破 UTXO 无状态限制、taproot 可突破脚本空间限制、connector output 可突破 UTXO 花费方式限制、契约可突破预签限制。

2.1 UTXO 模型与脚本限制

比特币采用 UTXO 模型，每个 UTXO 都锁定在 locking 脚本中，该脚本定义了花费该 UTXO 所必须满足的条件。比特币脚本具有如下局限性：

比特币脚本是无状态的；

对于P2TR输出类型，单笔交易中可容纳的操作码总数最多约为 400 万个，会填满整个区块，而对于其他输出类型则仅有 1 万个操作码；

单个 UTXO 的花费方式有限，缺少组合花费方式的探索；

不支持灵活的契约功能；

栈大小最多限制为 1000 个元素（altstack + stack），且单个元素最大 size 为 520 字节；

算术运算（如加法、减法）仅限于 4 字节元素。无法修改为长元素，如 20 字节或更大的元素，但这是密码学运算所必需的；

OP_MUL和OP_CAT等操作码均已被禁用，若使用现有操作码进行模拟，成本极高，如模拟 one-round BLAKE3 哈希，script size 约为 75K。

2.2 比特承诺：突破 UTXO 无状态限制

当前比特币脚本是完全无状态的。当执行比特币脚本时，其执行环境在每个脚本之后都会被重置。这导致比特币脚本无法原生支持约束脚本 1 和脚本 2 拥有相同的 x 值。但是，可通过一些方法来绕过该问题，其核心思想是以某种方式对一个值进行签名。如果可对一个值创建签名，则能够实现有状态的比特币脚本。即需通过在脚本 1 和脚本 2 中检查 x 值的签名，就可强制脚本 1 和脚本 2 中使用相同的 x 值。如果存在冲突签名，即对同一变量 x 签署了 2 个不同的值，则可对其进行惩罚。该解决方案即为 bit commitment（比特承诺）。

Bit commitment 的原理相对简单。所谓 bit，是指对待签名消息中的每个 bit，设置 2 个不同的哈希值，即 hash0 和 hash1。如果需要签署的 bit 值为 0，则揭露 hash0 的原像 preimage0；如果需要签署的 bit 值为 1，则揭露 hash1 的原像 preimage1。

以单个 bit 消息 m ∈{0,1}为例，相应的 bit commitment 解锁脚本只是一些原像：如果该 bit 值为0，则对应的解锁脚本为preimage0——”0xfa7fa5b1dea37d71a0b841967f6a3b119dbea140”；如果该bit值为1，则相应的解锁脚本为 preimage1——”0x47c31e611a3bd2f3a7a42207613046703fa27496”。因此，借助 bit commitment，可突破 UTXO 无状态限制，实现有状态的比特币脚本，从而使得各种有趣的新特性变得可能。

OP_HASH160

OP_DUP

<0xf592e757267b7f307324f1e78b34472f8b6f46f3> // This is hash1

OP_EQUAL

OP_DUP

OP_ROT

<0x100b9f19ebd537fdc371fa1367d7ccc802dc2524> // This is hash0

OP_EQUAL

OP_BOOLOR

OP_VERIFY

// Now the value of the bit commitment is on the stack. Either ”0” or ”1”.

比特承诺目前有 2 种实现方式：

Lamport 一次性签名：原理相对简单，仅需要使用哈希函数，所以是比特币友好的。对于消息中的每一位，均需要承诺 2 个哈希值，导致签名数据相对较大。换言之，对于一个长度为 v bits 的消息，公钥长度为 2v bits，签名长度为 v bits。

Winternitz 一次性签名：相比于 Lamport 签名，可大幅降低签名和公钥长度，但是增加了签署和验签复杂度。该方案可灵活设置不同的 hash chain 长度 d 值，从而在长度和复杂度方面进行权衡。例如，设置 d =15时，则公钥长度和签名长度均要短约 4 倍，但是验签复杂度将提高 4 倍。这本质上是在比特币栈空间和 script size 之间的取舍。Lamport 签名可视为 Winternitz 签名中 d =1时的特例。

目前，BitVM2 库中，基于 Blake3 的哈希函数实现了 Winternitz 签名。单个 bit 对应的签名长度约为 26 字节。由此可知，通过 bit commitment 来引入状态，成本是昂贵的。因此，在 BitVM2 工程实现中，首先对消息进行哈希运算获得 256bit 的哈希值，然后再对哈希值进行 bit commitment，从而节约开销，而不是直接对原始较长的消息的每个 bit 进行承诺。

2.3 Taproot：突破脚本空间限制

自 2021 年 11 月激活的比特币 Taproot 软分叉升级中包含 3 个提案：Schnorr 签名（BIP 340），Taproot （BIP 341）和TapScript（BIP 342）。引入了一种新的交易类型——Pay-to-Taproot（P2TR）交易。P2TR 交易通过结合 Taproot、MAST（默克尔抽象语法树）和 Schnorr 签名的优点，可创建更私密、灵活和可扩展的交易格式。

P2TR 支持两种花费方式：根据 key path 或 script path 实现花费。

根据Taproot（BIP 341）中的规定，当按 script path 花费时，对应的 Merkle path 最大长度不超过 128。这意味着 taptree 中 tapleaf 个数不超过2128 个。自 2017 年 segwit 升级以来，比特币网络以 weight units 来衡量区块大小，最大支持 400 万 weight units（即约 4MB）。某 P2TR output 通过 script path 被花费时，实际只需要揭露某单个 tapleaf 脚本，即区块打包的为单个 tapleaf 脚本。这意味着，对于 P2TR 交易，对应每个 tapleaf 的脚本 size 最大约为 4MB。不过比特币默认策略中，许多节点只转发小于 400K 的交易，更大的交易若想被打包，则需跟矿工合作。

Taproot 所带来的脚本空间溢价，使得用现有 opcode 模拟乘法、哈希等密码学运算更具价值。

当基于 P2TR 构建可验证计算时，所对应的 script size 可不再受限于 4MB 的限制，而是可将该计算切分为多个子函数，将其分布在多个 tapleaf 上，从而突破 4MB 的脚本空间限制。事实上，当前 BitVM2 中所实现的 Groth16 verifier 算法，其 size 高达 2GB。但是，能够对其切分并分布在约 1000 个 tapleaf 中，通过与 bit commitment 结合使用，可通过约束各子函数输入输出之间的一致性，约束整个计算的完整性和正确性。

2.4 Connector output：突破 UTXO 花费方式限制

比特币目前提供的单个 UTXO 原生花费方式有：按脚本花费，或按公钥花费。因此，只要提供了对应正确的公钥签名或满足脚本条件，则能够花费该 UTXO。两个 UTXO 是可独立花费的，不能添加限定措施以约束两个 UTXO，使得需满足一些额外条件才可被花费。

但是，Ark 协议的创始人 Burak，通过巧妙借助 SIGHASH flag，实现了 connector output。具体而言，Alice 可创建一个签名，将其 BTC 发送给 Bob。但是，由于签名可对多个 Inputs 进行 commit，Alice 可设置其签名是有条件的：该签名对 Take_tx 交易是有效的，当且仅当该交易消耗了第二个 input。第二个 input 就称为connector，连接了 UTXO A 和 UTXO B。换言之，Take_tx 交易有效，当且仅当 UTXO B 未被 Challenge_tx 花费掉。因此，通过销毁 connector output，即可阻断 Take_tx 交易生效。

图 1: connector output 示意

在 BitVM2 协议中，connector output 充当 if...else 功能。一旦 connector output 被某交易花费，就不能被另一笔交易花费，以确保其独占性花费。在实际部署中，为预留挑战响应周期，额外引入了具有 timelock 的 UTXO。此外，相应的 connector output 也可根据需要设置不同的花费策略，如对挑战交易可设置为任何人可花费，而对响应交易可设置为仅 operator 可花费或超期后任何人可花费。

2.5 契约：突破预签限制

目前比特币脚本主要限制了解锁的条件，而没有限制该 UTXO 如何进一步被花费。其原因在于比特币脚本无法读取交易自身的内容，即无法实现交易自省。如果比特币脚本能够检查交易的任何内容（包括 output），就可实现契约功能。

当前的契约实现方式可分为两类：

预签：基于现有比特币脚本能力，通过预签构建功能有限的预先确定的契约。即提前设计和签署所有可能的未来交易，将参与方锁定在特定的私钥和费率中。一些方案甚至要求参与方生成用于所有预签名交易的短期私钥。当预签完成后，则安全地删除这些短期私钥，使得攻击者无法获得短期私钥，从而盗走资金。但是，每次新增参与方，或更新操作时，均需要重复以上过程，导致维护成本繁重。例如，闪电网络通过预签实现了 2 方契约，并借助哈希时间锁（HTLC）技术，实现了多个 2 方契约的路由功能，从而实现信任最小化的扩容策略。但是，闪电网络需预签多笔交易，且仅限于两方，略显笨重；在 BitVM1 中，每次初始化时均需要预签数百笔交易，而优化后的 BitVM2 中，每次初始化时需要预签的交易数也达数十笔。无论是 BitVM1 还是 BitVM2，只有参与预签的 operator，才有资格进行报销。如果有 n 个参与方参与预签，每个参与方需预签 m 笔交易，则每个参与方的预签复杂度将为 n ? m。

引入契约操作码：引入新的契约功能操作码，可大幅降低契约参与方之间的通信复杂度和维护成本，从而为比特币引入更灵活的契约实现方式。例如，OP_CAT：用于拼接字节字符串。尽管其功能非常简单，但是功能非常强大，能够大幅降低 BitVM 复杂度；OP_TXHASH：能够以更好的粒度控制契约内的动作。如果在 BitVM 中使用，则能够支持更大的 operator 集合，从而大幅改进 BitVM 的安全假设，让其信任最小化。此外，预签方式注定了 BitVM 设计中，operator 只能采用垫付报销流程，资金利用效率较低；而通过新的契约操作码，有可能实现直接从 peg-in 资金池付款给出金用户，进一步提高资金效率。因此，灵活的契约模式，将有效突破传统预签限制。

3 比特币Layer2扩容：有效性证明与欺诈证明

有效性证明与欺诈证明均可用于比特币L2扩容，二者的主要区别如表2所示。

表 2: 有效性证明与欺诈证明

基于比特承诺、taproot、预签和 connector output，可构建基于比特币的欺诈证明。基于 taproot，同时通过引入契约操作码，如 OP_CAT，可构建基于比特币的有效性证明。此外，根据 Bob 是否有准入制度，欺诈证明可分为许可式欺诈证明和无需许可式欺诈证明。其中，许可式欺诈证明中，仅特定群体才能作为 Bob 发起挑战，而无需许可式欺诈证明中，任意第三方均可作为 Bob 发起挑战。无需许可式的安全性要优于许可式，可降低各许可参与方窜谋作恶的风险。

根据 Alice 和 Bob 挑战响应交互的次数，欺诈证明可分为一轮欺诈证明和多轮欺诈证明，如图2所示。

图 2: 一轮欺诈证明与多轮欺诈证明

如表3所示，欺诈证明可以通过不同的交互模型来实现，包括一轮交互模型和多轮交互模型。

表 3: 一轮交互与多轮交互

在比特币 Layer2 扩容范式下，BitVM1 采用多轮欺诈证明机制，BitVM2 采用一轮欺诈证明机制，bitcoincircle stark采用有效性证明。其中，BitVM1 和 BitVM2 可在不对比特币协议做任何修改的情况下实施，而bitcoin-circle stark 需要引入新的操作码 OP_CAT。

对于大多数计算任务，比特币 signet,testnet 和 mainnet 均无法以 4MB 的脚本来完整表示，需要使用脚本Split 技术——即将表达完整计算的脚本，切分为小于 4MB 的 chunk，分布到各个 tapleaf 中。

3.1 比特币上的多轮欺诈证明

如表3中所示，多轮欺诈证明适于希望降低链上仲裁计算量，和（或）无法一步定位出问题计算片段的场景。多轮欺诈证明，顾名思义，证明者和验证者之间，需要多轮交互以定位出问题计算片段，然后再基于所定位出的计算片段进行仲裁。

Robin Linus 早期的BitVM 白皮书（通常称为 BitVM1），使用的多轮欺诈证明。假设每轮挑战期为一周，采用二分查找法定位问题计算片段，则对 Groth16 Verifier 的链上挑战响应周期将高达 30 周，时效性极差。尽管当前有团队在研究比二分法更高效的 n-ary 查找法，但相比于一轮欺诈证明中的 2 周周期，其时效性仍低很多。

目前，比特币范式下的多轮欺诈证明均采用许可式挑战，而一轮欺诈证明实现了无需许可式挑战方式，降低了参与方串谋风险，从而安全性更高。为此，Robin Linus 充分利用了 taproot 的优势，对 BitVM1 进行优化。不仅将交互轮次降低至 1 轮，还将挑战方式扩展为无需许可式，但是其代价是增加了链上仲裁计算量。

3.2 比特币上的一轮欺诈证明

在证明者和验证者之间仅通过一次交互，即可完成验证欺诈证明。该模型中，验证者仅需发起一次挑战，证明者只需做一次响应。在该响应中证明者需提供一个证据，声称其计算是正确的。如果验证者能够从该证据中找出不一致性，则挑战成功，否则挑战失败。一轮交互欺诈证明的特点如表3所示。

图 3: 一轮欺诈证明

Robin Linus 2025 年 8 月 15 日发布了BitVM2: Bridging Bitcoin to Second Layers技术白皮书中，采用类似图3的方式，以一轮欺诈证明方式，实现了 BitVM2 跨链桥。

3.3 比特币 +OP_CAT 实现有效性证明

OP_CAT 是比特币最初发布时脚本语言的一部分，因安全漏洞问题在 2010 年被禁用。但是，数年来，比特币社区一直在讨论将其激活。目前OP_CAT 已被分配编号 347且已在比特币 signet 上启用。

OP_CAT 主要功能是将堆栈中的两个元素结合起来，并将合并后的结果推回堆栈。这个功能特性，开启了比特币上的契约和 STARK Verifier：

契约：Andrew Poelstra 提出CAT and Schnorr Tricks I，使用 OP_CAT 和 Schnorr 技巧在比特币上实现契约。其中，Schnorr 算法是 P2TR 输出类型的数字签名；对于其他输出类型，可以使用类似的 ECDSA 技巧，见Covenants with CAT and ECDSA。借助 OP_CAT 契约，可协助将 STARK Verifier 算法拆分为多笔交易，逐步验证整个 STARK proof。

STARK Verifier：STARK Verifier 本质上是将数据连接在一起并对其进行哈希运算。与代数运算不同，哈希运算是一种原生比特币脚本操作，可以节省大量开销。以 OP_SHA256 为例，原生方式仅为一个操作码，而模拟方式则需要数百 K 个。STARK 中的主要哈希运算是 Merkle 路径的验证和 Fiat-Shamir 变换。因此，OP_CAT 对 STARK Verifier 算法非常友好。

3.4 比特币脚本 Split 技术

尽管经 SNARK/STARK 证明后，运行相应 verifier 算法验证 proof 所需的计算量要远小于直接运行原始计算 f 所需的计算量。但是，将其转换为以比特币脚本实现 verifier 算法时，所需的脚本量仍然是巨大的。当前，基于现有比特币操作码，经优化后，所实现 Groth16 verifier 脚本 size 和 Fflonk verifier 脚本 size 仍均大于 2GB。然而，比特币单个区块 size 仅为 4MB，无法在单个区块内运行整个 verifier 脚本。但是，比特币自taproot 升级后，支持按 tapleaf 执行脚本，可将 verifier 脚本切分为多个 chunks，然后以每个 chunk 为 tapleaf，构建 taptree。各个 chunk 之间，借助 bit commitment 来保证 chunk 之间值的一致性。

在有 OP_CAT 契约情况下，可将 STARK Verifier 拆分为多笔小于 400KB 的标准交易，从而可在无需与矿工协作的情况下，完成整个 STARK 有效性证明的验证。

本节，重点关注的是未引入激活任何新操作码的现有情况下，比特币脚本的相关 Split 技术。

当进行脚本切分时，需平衡如下维度信息：

单个 chunk script size 不超过 4MB，需包含 input bit commitment 脚本、交易签名等空间。

单个 chunk stack size 最大不超过 1000。所以应让各个 chunk stack 上仅保留所需的元素，从而预留足够的 stack 空间来为 script size 优化服务。因为比特币交易手续费不取决于所用 stack size。

比特币上的 bit commitment 是昂贵的。所以当前 1 个 bit 对应 26 字节，应让相邻 2 个 chunk 间的输入输出的 bits 数量最小化。

为便于审计，每个 chunk 的功能应尽可能明确。

当前，脚本的切分方式主要分为以下 3 大类：

自动切分：根据 stack size 和 script size，寻找 script size 为 3MB 左右而 stack size 最小的切分方式。这种方式的优点在于：与具体的 verifier 算法无关，可扩展为任意计算的脚本切分。缺点在于：（1）需单独标记整块逻辑，如 OP_IF 代码块不可被切分，否则切分后的脚本执行结果将不正确；（2）chunk 执行结果可能对应 stack 上的多个元素，需根据实际计算逻辑来标记需应用 bit commitment 的栈元素个数；（3）每个 chunk 脚本所实现逻辑功能可读性差，不利于审计；（4）stack 上可能包含下一 chunk 不需使用的元素，浪费栈空间。

功能性切分：根据计算中的各个功能子函数来切分，子函数的输入输出值明确，在脚本切分的同时，也实现了各个 chunk 所需的 bit commitment 脚本，使最终的 chunk 总脚本 size 小于 4MB，stack size 小于 1000 即可。优点在于：功能清晰，单个 chunk 逻辑明确，可读性好，便于审计。缺点在于：原始计算逻辑的表达，与脚本级逻辑的表达，是不匹配的，原始计算子函数可能最优，并不代表脚本级最优。

人工切分：脚本切分点不在于功能子函数，而是人工设置切分点。尤其适合于单个子函数 size 大于4MB 的情况。优点在于：可对 heavy script size 子函数，如 Fq12 相关计算子函数进行人工切分；单个 chunk 逻辑明确，可读性好，便于审计。缺点在于：受限于人工调优能力，当总体脚本做了优化后，之前设置的各个人工切分点可能不是最优，需重新调整。

例如，Groth16 verifier 经过多轮优化，其 script size 由约 7GB 降低至约 1.26GB。除做这种总体计算优化外，还可对各个 chunk 单独优化，以充分利用 stack 空间。如可通过引入更优的基于 lookup table 的算法，并对 lookup table 进行动态加载卸载，可进一步降低每个 chunk 的 script size。

web2 编程语言计算成本和运行环境，与比特币脚本成本和运行环境完全不同，所以对于各种算法的比特币脚本实现，仅翻译现有实现是行不通的。因此，需针对比特币场景，考虑以下优化：

寻找内存局部性最优的算法，哪怕牺牲部分计算量，可降低 chunk 间输入输出 bits 数，从而降低 BitVM2 设计中的 assertTx 交易所需承诺的数据量。

利用相关运算（如逻辑运算）的可交换性，x&y = y&x，节约几乎一半的查找表。

当前，Fq12 运算对应的脚本量很大，可考虑借助 Fiat-Shamir、Schwartz-Zipple 和多项式承诺方案，大幅降低 Fq12 扩域运算的计算复杂度。

4 小结

本文首先介绍了比特币脚本限制，并介绍使用比特币承诺突破 UTXO 无状态限制、使用 Taproot 突破脚本空间限制、使用 connector output 突破 UTXO 花费方式限制，使用契约突破预签限制。然后对欺诈证明和有效性证明的特点、许可式欺诈证明和无需许可式欺诈证明的特点、一轮欺诈证明和多轮欺诈证明的特点、比特币脚本切分技术进行了全面的梳理和总结。

参考文献

OP_IF, OP_CAT, OP_SHA256

Lamport one-time signature

Winternitz one-time signature

BitVM: Compute Anything on Bitcoin

BitVM2: Bridging Bitcoin to Second Layers

CAT and Schnorr Tricks I

Covenants with CAT and ECDSA

Validity Rollups on Bitcoin

StarkWare, Validity Proofs vs. Fraud Proofs, 2019.01.23

StarkWare, Validity Proofs vs. Fraud Proofs, 2025.05.09

StarkWare, The path to general computation on Bitcoin, 2025.07.24

BitVMX, Optimizing Algorithms for Bitcoin Script, 2025.06.27

Alchemy, How Do Optimistic Rollups Work (The Complete Guide), 2023.08.09

Ethereum, Optimistic Rollups Fraud proving, 2025.07.17

ZeroSync: Introducing Validity Proofs to Bitcoin

Robin Linus on BitVM, 2025.01.16

SNARK Verifier in Bitcoin Script