技术摘要：比特币及其友好链的概率性原子交换

1. 问题陈述

原子交换是一种基础密码学原语，支持无信任的跨链数字资产交换，并提供“全有或全无”的保障：要么双方都收到约定的资产，要么双方都收不到。尽管功能强大，但这种确定性本质排除了旨在产生概率性结果的交换场景。区块链上现有的概率性交换方案（例如彩票、赌注或随机分配）面临显著局限：

• 复杂性与成本：它们通常依赖复杂的智能合约或精细的脚本级机制，导致交易体积增大、费用升高，并降低了在脚本支持有限（如比特币）的链上的可移植性。
• 隐私与同质性：复杂的脚本使得链上行为可被区分，削弱了隐私性和同质性。
• 参与限制：许多现有的彩票协议要求参与者集合是固定且已知的，这使得它们不适合开放、无需许可的环境。
• 偏差漏洞：先前的方法往往无法阻止某一方预测结果，并在结果不利时选择性中止，从而扭曲有效概率。
  核心挑战在于将原子交换扩展到概率性场景——即一方支付固定、公开指定的概率以换取获得更大奖励的机会——同时不修改现有原子交换协议的最小链上足迹，也不引入可信中介。

2. 方法论与协议设计

作者引入了概率性原子交换，这是一种新的密码学原语，可实现具有指定结果分布的公平交换。该协议涉及两方：庄家（Dealer, D）和参与者（Party, P）。P 转移固定金额（例如 1 枚币），以换取从 D 处获得更大奖励（$\nu$枚币）的概率 $p$。如果概率事件未发生，P 一无所获，D 保留付款。

核心密码学构建模块

该构造依赖三个主要组件，均兼容标准比特币类脚本（数字签名和时间锁）：

1. 适配器签名（Adaptor Signatures）：用于确保原子性。它们允许仅在知晓特定见证（秘密）时，将预签名适配为完整签名。这将秘密的揭示与链上交易的完成绑定。
2. 不经意伪随机函数（OPRFs）：用于编码概率性结果。庄家充当持有秘密密钥 $sk_D$ 的 OPRF 服务器。参与者持有输入（一个“猜测”$y_{gss}$）。OPRF 允许参与者在庄家不知晓猜测、且参与者不知晓密钥的情况下，获得评估结果 $OPRF(sk_D, y_{gss})$。
3. 零知识证明（NIZKs）：用于证明协议陈述的良构性，确保庄家无法操纵概率分布。

协议流程

协议分为四个阶段：

1. 设置与资金锁定：

   • 庄家从大小为 $m$ 的域中采样目标值 $y_{tgt}$（其中 $p = 1/m$）。
   • 庄家计算“获胜见证”$y_{win} = OPRF.Eval(sk_D, y_{tgt})$，并构造语句 $Y_{win} = g^{y_{win}}$。
   • 庄家向参与者提供 $Y_{win}$ 及良构性 NIZK 证明。
   • 双方将资金锁定到由临时密钥对（通过 2 方 DKG 协议生成）控制的超时脚本中。

2. 庄家索赔（作为服务的 OPRF 评估）：

   • 参与者选择一个猜测 $y_{gss}$，并向庄家发送盲化 OPRF 请求。
   • 庄家评估 OPRF，使用临时密钥 $Z$ 加密结果，并提供密文及正确性 NIZK 证明。
   • 关键的是，庄家还使用 $Z$ 作为适配器语句，预签署参与者的付款交易。
   • 庄家使用解密密钥 $z$（$Z$ 的见证）适配此预签名，并广播交易以索取参与者的付款。
   • 原子性：参与者只能在庄家被支付后，从链上签名中提取 $z$。$z$ 是解密 OPRF 响应所必需的。

3. 参与者索赔：

   • 参与者提取 $z$，解密 OPRF 响应，并计算候选见证 $y'_{win}$。
   • 如果 $y'_{win}$ 匹配获胜见证（即 $y_{gss} = y_{tgt}$），参与者适配庄家的预签名以索取奖励。
   • 如果猜测错误，参与者无法获得任何可用于适配的有用信息。

4. 超时/退款：

   • 如果庄家未能在超时时间内索取付款，参与者退还其锁定的资金。
   • 如果参与者未能在超时时间内索取奖励，庄家退还其锁定的资金。

良构性证明

一项关键的技术贡献是证明 $Y_{win}$ 对应于正确域内某值的合法 OPRF 评估，而无需揭示目标值。作者提出了两种实例化方案：

• Bulletproofs：使用 R1CS 约束来证明 2HashDH OPRF 的结构。它提供恒定的证明大小和验证时间，但需要实例化随机预言机。
• 切割与选择（Cut-and-Choose）：一种庄家提供多个实例、参与者验证随机子集的技术。作者修改了 OPRF，允许在不揭示目标值的情况下打开实例，确保即使庄家作弊，获胜概率仍严格保持为 $1/m$。这种方法对于高获胜概率（$p \ge 1/2^{12}$）更为高效。

3. 主要贡献

• 新原语：引入概率性原子交换，通过理想功能形式化定义，将确定性原子交换推广至概率性结果。
• 最小链上足迹：该协议仅需标准比特币脚本（签名和时间锁）。它不需要复杂的智能合约或新的操作码，使其可立即部署于比特币、莱特币及其他支持原子交换的链上。
• 用于支付的 OPRF 评估：作者开发了一种新颖机制，用于实现与支付绑定的 OPRF 评估的原子交换。这确保庄家在参与者知晓结果前获得付款，从而防止偏差。该工具被认为对支付驱动的速率限制等应用具有独立价值。
• 形式化安全性：该协议在基于模拟的模型中被证明针对静态腐蚀是安全的，满足概率性原子性（公平性、无偏差和原子性）属性。
• 实际实现：完整的 Rust 实现，已在比特币和莱特币测试网上测试，并包含一个针对闪电网络的变体（使用 HTLC 和链下链接证明）。

4. 结果与基准测试

• 测试网部署：作者成功执行了比特币与莱特币测试网之间的跨链概率性交换。一次完整的获胜交换恰好涉及四笔标准 Taproot 交易。
• 交易大小：每笔交易约为 575 重量单位（WU）。
• 性能：
  • Bulletproofs：证明时间 $\approx 5.6$秒，验证 $\approx 0.35$秒，证明大小 $\approx 2.8$KB（与概率无关，恒定）。
  • 切割与选择：对于小 $\ell$，证明时间更快（例如 $\ell=10$ 时为 $0.27$秒），但随域大小呈指数级扩展。对于$\ell=16$，证明耗时$\approx 16$秒，证明大小为 16MB。
  • 闪电原型：实现了基于 HTLC 的变体，三轮（含预计算）的总在线执行时间约为 1.30 秒。
• 成本：费用与标准原子交换相当（例如，比特币测试网上 616WU 的资金锁定交易费用为 1550 sat）。

5. 意义与主张

该论文声称，概率性原子交换通过实现具有随机结果的无信任、去中心化交换，解决了经典原子交换的一个根本局限。其意义在于：

• 启用新用例：实现比特币上"OP_RAND"的愿景，允许进行赌注、彩票和概率性跨链交易，而无需可信机构。
• 保持隐私与同质性：通过避免复杂脚本，该协议的链上足迹与普通原子交换无法区分，从而保持了资产的隐私性和同质性。
• 可访问性：对最小脚本支持的依赖使得该协议可部署于广泛的现有区块链和二层网络（如闪电网络，一旦 PTLCs 激活或通过 HTLC 变体）。
• 安全性：该协议提供了严格的密码学保证，确保结果无偏差且符合广告概率，即使存在恶意行为者，也无需可信第三方。

作者明确指出，虽然其协议支持非对称概率性交换（一方付费以换取机会），但由于顺序决策中固有的不对称性，双向概率性交换（即双方均具有概率性结果）在最小化区块链上可能无法实现，这是他们讨论但未试图克服的局限性。