💻 computer science

DAO to (Anonymous) DAO Transactions

本文提出了名为 Dao² 的框架，通过结合分布式密钥派生、分布式隐身地址生成和阈值签名技术，实现了在保持接收方资金分散控制的前提下，支持组织间（DAO 到 DAO）进行可选匿名且无需重建主密钥的安全转账。

原作者： Minfeng Qi, Lin Zhong, Qin Wang

发布于 2026-04-17

📖 1 分钟阅读☕ 轻松阅读

原作者： Minfeng Qi, Lin Zhong, Qin Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 DAO2 的新系统，旨在解决区块链上一个非常具体但棘手的问题：当一个由多人共同管理的“组织钱包”（DAO）需要给另一个“组织钱包”转账时，如何既能保护接收方的隐私，又能确保钱到了之后依然由大家共同控制，而不是落入某个人手中？

为了让你更容易理解，我们可以把区块链想象成一个巨大的、透明的公共账本，而 DAO（去中心化自治组织）就像是一个拥有多重锁的保险箱。

1. 核心痛点：现在的转账太“透明”且“不兼容”

现状： 目前区块链上的转账大多是为“个人”设计的。就像你给邻居寄信，信封上直接写着邻居的名字和地址。在区块链上，这意味着交易是公开的，大家都能看到“谁给了谁多少钱”。如果你反复使用同一个地址，别人就能把你们所有的交易联系起来，暴露你们的财务关系。
隐私方案（针对个人）： 为了解决隐私问题，像门罗币（Monero）这样的系统发明了“隐形地址”（Stealth Address）。这就像给邻居寄信时，不写他的真名，而是写一个一次性的、随机的假名。只有邻居手里有一把特殊的“扫描钥匙”，才能发现这封信其实是给他的。
DAO 的困境： 但是，DAO 不是一个人，而是一个委员会。
- 如果 DAO 要收钱，不能只靠一个人的“扫描钥匙”，因为钱进来后需要委员会里的好几个人（比如 3 个人里要有 2 个人同意）才能花出去。
- 如果为了收钱，让委员会把“主钥匙”拼凑出来，那就违背了 DAO“去中心化、无人能独吞”的初衷。
- 问题： 现有的技术要么能保护个人隐私，要么能让委员会共同管理，但没有一种方法能同时做到：既让接收方匿名（别人不知道是谁收的），又能让钱进来后依然由委员会多人共同控制。

2. DAO2 的解决方案：三个魔法工具

DAO2 就像是一个精密的**“组织级隐形快递系统”**，它结合了三个核心魔法工具：

工具一：分布式钥匙推导 (DKD) —— “无需拼凑的复制钥匙”

比喻： 想象 DAO 的保险箱有一把主钥匙，但这把钥匙被切成了碎片，分给委员会的每个人。以前，要生成一个新的子保险箱（子地址），通常需要把碎片拼起来，这很危险。
DAO2 的做法： 它发明了一种魔法，每个人手里拿着自己的碎片，不需要把碎片拼起来，每个人都能在自己的小本本上算出“新子保险箱”的钥匙碎片。
结果： 委员会可以无限生成新的收款地址，就像给每个人发了一把新钥匙的副本，但没人知道主钥匙长什么样。

工具二：分布式隐形地址生成 (DSAG) —— “只有收件人知道的隐形门”

比喻： 这是隐私的核心。当 DAO1 要给 DAO2 转账时，它不想直接告诉 DAO2“钱是给你的”。
DAO2 的做法：
1. DAO1 和 DAO2 的委员会成员通过一种复杂的“握手”（加密协议），共同计算出一个一次性的、随机的隐形门。
2. 这个门在区块链上看起来就像是一个随机的乱码地址，任何人都看不出它是属于 DAO2 的。
3. 只有 DAO2 的委员会成员，利用他们手中的“碎片钥匙”和刚才的“握手”信息，才能算出这个隐形门其实通向他们的保险箱。
结果： 外人看账本，只看到一笔钱去了一个随机地址；只有 DAO2 知道：“嘿，那是我们的钱！”

工具三：阈值签名 (Threshold Signatures) —— “多人共同盖章”

比喻： 钱到了隐形门后，怎么花出去？
DAO2 的做法： 当 DAO2 要花钱时，不需要把主钥匙拼出来。委员会里的成员（比如 3 个人中的 2 个）各自用自己的“碎片”盖一个章，系统把这些章拼起来，就形成了一个合法的签名。
结果： 钱始终在委员会的控制下，没有一个人能独吞。

3. 整个流程像什么？

想象一下 DAO1（发货方） 要给 DAO2（收货方） 送一个加密的、一次性的保险箱。

准备阶段： DAO2 的委员会成员各自算出一个“新地址的碎片”，并告诉 DAO1 这个地址的“公开特征”（但不透露私钥）。
发货阶段： DAO1 的委员会成员利用这个“公开特征”，通过魔法算出一个一次性的隐形门。他们把保险箱（资金）锁在这个门上，并盖上“多人共同盖章”的封条。
运输阶段： 这个交易被广播到区块链上。外人看：哦，有人把钱锁在一个随机生成的隐形门里，不知道是谁的。
收货阶段： DAO2 的委员会成员扫描区块链，发现这个隐形门。他们利用自己的“碎片”和刚才的“握手”信息，各自算出这个门的“临时开锁碎片”。
开箱阶段： 只要凑齐足够的人数（比如 2 人），他们就能用这些临时碎片打开门，把钱取出来，并存入 DAO2 自己的“分布式保险箱”里，准备下一次使用。

4. 为什么这很重要？

保护隐私： 就像给公司转账时，不想让竞争对手知道“哦，A 公司给了 B 公司一大笔钱”，DAO2 让这笔交易看起来像是发给一个陌生人的。
保持安全： 钱到了之后，依然遵循“少数服从多数”或“多人授权”的原则，防止内部人员作恶。
高效实用： 论文测试表明，即使是一个有 7 个成员的 DAO，完成这样一次复杂的匿名转账，只需要不到 27 毫秒（比眨眼还快），而且通信数据量很小。

总结

DAO2 就像是给区块链上的“组织钱包”穿上了一件 “隐身斗篷”，同时给这个斗篷加了一把**“多人控制的锁”**。

它解决了“既要匿名，又要集体管理”的难题，让 DAO 之间的资金流动既像个人转账一样私密，又像公司财务一样安全可控。这对于未来 Web3 世界中，机构、基金会和大型组织之间的资金往来具有巨大的实用价值。

这是一篇关于区块链组织间隐私支付技术的学术论文《DAO to (Anonymous) DAO Transactions》的详细技术总结。

1. 研究背景与问题 (Problem)

随着区块链资产越来越多地由组织（如 DAO、联盟钱包、托管交易所）而非个人控制，现有的支付机制面临严峻挑战：

控制模式不匹配：现有的支付系统主要针对单用户钱包设计，而组织资产通常采用阈值授权（Threshold Authorization）和多方密钥管理。
隐私缺失：在比特币等主流公链上，交易公开透明，重复使用地址或相关密钥材料会泄露组织间的财务关系。现有的隐私技术（如隐形地址 Stealth Addresses）通常假设接收方由单用户控制，无法直接应用于分布式控制的组织钱包。
密钥管理断层：在接收资金后，组织需要继续管理这些资产。传统的分层确定性钱包（HD Wallets，如 BIP32）在单用户场景下工作良好，但在分布式环境中，若要求在不重构主密钥（Master Secret）的情况下进行密钥派生和匿名接收，现有方案缺乏统一框架。

核心问题：如何在保持接收方隐私（匿名）的同时，确保接收到的资金仍处于组织的分布式控制之下，并支持后续的阈值签名花销？

2. 方法论：DAO2 框架 (Methodology)

作者提出了 DAO2，一个统一的框架，旨在实现组织到组织（DAO-to-DAO）及组织到匿名组织（DAO-to-anonymous-DAO）的资产转移。该框架结合了三个核心密码学组件：

A. 核心组件

分布式密钥派生 (DKD, Distributed Key Derivation)：
- 将 BIP32 风格的非硬化派生（Non-hardened derivation）适配到阈值环境。
- 机制：接收方 DAO 的成员在不重构主密钥的情况下，利用本地密钥份额和链码（Chain Code），通过 HMAC-SHA512 计算偏移量 $\omega$ ，共同更新为子密钥份额。
- 作用：生成标准的非隐形子地址，用于普通 DAO 间转账，保持钱包结构的连续性。
分布式隐形地址生成 (DSAG, Distributed Stealth-Address Generation)：
- 用于生成不可链接的一次性目的地（Unlinkable One-time Destination）。
- 机制：
  - 发送方 DAO 的授权子集利用其密钥份额与接收方的子公钥进行分布式 ECDH 计算，生成共享秘密 $\Omega$ 。
  - 基于 $\Omega$ 生成偏移量 $\rho$ ，将接收方的子公钥 $B$ 转换为一次性隐形地址 $D = B + \rho G$ 。
  - 接收方 DAO 同样利用其份额重构共享秘密，计算出相同的 $\rho$ ，从而恢复一次性私钥份额 $d_j = b_j + \rho$ 。
- 作用：确保外部观察者无法将交易输出与接收方 DAO 的长期公钥关联，同时接收方能在分布式控制下恢复花销能力。
阈值签名 (Threshold Signatures)：
- 作为授权骨干，用于发送方的支付授权和接收方的资金赎回。
- 框架支持线性可重构的离散对数份额（如基于 Shamir 的阈值 ECDSA），确保只有达到阈值的成员子集才能签署交易。

B. 工作流程

交易生成阶段 (Phase I)：
- 接收方通过 DKD 派生子公钥 $B^{(k)}$ 。
- 发送方通过 DSAG 生成一次性隐形地址 $D^{(k)}$ 并附带元数据（标签）。
- 发送方 DAO 对支付交易进行阈值签名。
恢复与赎回阶段 (Phase II)：
- 接收方 DAO 在链上检测到交易，利用元数据和本地份额重构子密钥状态。
- 接收方计算共享秘密，恢复一次性私钥份额。
- 接收方 DAO 对赎回交易进行阈值签名，完成资金转移。

3. 主要贡献 (Key Contributions)

形式化问题与统一框架：首次形式化了"DAO 到（匿名）DAO"的交易问题，提出了 DAO2 框架，将区块链支付从单用户扩展到了阈值控制的组织。
端到端协议设计：设计了包含分布式密钥派生（DKD）、分布式隐形地址生成（DSAG）和阈值签名的完整协议，实现了匿名接收、分布式派生和阈值花销的无缝集成。
安全性证明：在自适应阈值敌手模型下，形式化证明了交易正确性、阈值花销安全性、接收方隐私与不可链接性、以及鲁棒性。此外，还论证了在一次份额擦除下的前向安全性。
原型实现与评估：在 secp256k1 曲线上实现了原型。实验表明，对于典型规模（7 名成员）的 DAO，一次完整的匿名 DAO 到 DAO 交易耗时不到 27 毫秒，通信开销小于1.2 KB，且性能随 DAO 规模呈线性扩展。
通用性：证明了当 DAO 退化为单用户时，该框架自然退化为经典的单用户隐形地址支付方案。

4. 实验结果 (Results)

性能：
- 计算时间：对于 7 人 DAO，总延迟低于 27ms；即使扩展到 20 人，总延迟也低于 75ms。
- 通信开销：主要开销来自 DSAG 协议（成员广播承诺和份额），随 DAO 规模线性增长。对于 20 人 DAO，总开销约为 2.9 KB，相对于区块链交易尺寸可忽略不计。
- 扩展性：DKD 模块的计算成本与派生深度无关，保持恒定（约 2.5ms/次），支持深层的钱包派生树。
对比：与传统的单用户隐形地址支付（Standard SA）和普通的阈值签名（Plain TS）相比，DAO2 在引入隐私和分布式控制后，增加了约 7.5 倍的计算开销（在 3 人规模下），但这在区块链确认延迟（秒级到分钟级）面前是微不足道的。

5. 意义与影响 (Significance)

填补技术空白：解决了现有区块链系统中缺乏统一框架来处理“组织间匿名转账”且保持“分布式控制权”的难题。
机构级隐私保护：为 DAO 金库、联盟基金和托管基础设施提供了原生的隐私保护方案，防止组织间的财务关系被链上分析工具追踪。
架构兼容性：该框架不依赖于特定的区块链模型（UTXO 或 Account-based），并兼容现有的阈值签名方案（如 2-of-n ECDSA）。
未来方向：为未来的跨链匿名转账、批量交易处理以及与更高级隐私技术（如机密交易、环签名）的结合奠定了基础。

总结：DAO2 是一个具有理论深度和实用价值的创新框架，它成功地将隐私保护技术（隐形地址）与组织治理技术（阈值签名、分布式密钥派生）融合，为去中心化组织在公开账本上进行安全、隐私且受控的资产转移提供了可行的解决方案。