💻 computer science

Proof of Source of Funds: Efficient On-chain Provenance of Cryptoassets

本文介绍了资金来源证明（Proof of Source of Funds, PoSoF），这是一种加密框架，使用户能够生成零知识证明，在不泄露交易历史的情况下验证其加密资产的合规来源，从而在保护财务隐私的同时，将监管合规的负担从中心化平台转移到个人用户身上。

原作者： Alireza Kavousi, István András Seres, Zhipeng Wang

发布于 2026-06-10

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Alireza Kavousi, István András Seres, Zhipeng Wang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你正走进一家高安全级别的银行。在过去，这家银行拥有一支庞大的侦探团队，他们会花费数小时、数天甚至数周的时间，通过挖掘你的整个财务历史，来确保你没有携带“脏钱”。这既缓慢又昂贵，而且往往让诚实的人感到自己正处于持续的监视之下。

有时，这些侦探也会出错。他们可能会仅仅因为你曾经在某家后来被发现从事非法活动的商店买过一杯咖啡，就将一个完全清白的人标记为可疑。这被称为“误报”（False Positive），它会导致无辜者的资产被冻结。

当前加密货币规则的问题
在加密货币（DeFi）的世界里，没有银行。每个人都是自己的银行。目前，为了阻止不良行为者，平台依赖于同样的“侦探”（第三方公司）来不断扫描区块链。如果他们发现与不良行为者有关联，就会封锁用户。但这个系统存在缺陷：

它是被动响应的： 它通常是在坏钱已经进入系统之后才将其抓获。
它是脆弱的： 不良行为者可以通过在存款前通过几个看起来很干净的新地址转移资金，从而轻易地欺骗系统。
它损害隐私： 为了证明你是清白的，你通常必须展示你的整个历史记录，这破坏了你的财务隐私。

新理念：“资金来源证明”（PoSoF）
该论文的作者提出了一个巧妙的逆转方案。与其让银行（平台）雇佣侦探去搜寻你的历史，不如让你（用户）成为那个侦探。

可以这样理解：

旧方式： 你走到银行柜台前，柜员开始询问：“你的钱是从哪儿来的？把从1995年至今的所有收据都拿给我看。”
新方式（PoSoF）： 你带着一个密封的、神奇的信封走上前。信封里有一个数学证明，上面写着：“我保证这笔钱仅来自受信任且合法的渠道（例如我已通过身份验证的受监管交易所）。”

你不需要打开信封，也不需要向柜员展示你的收据。你只需递给他们这个信封。柜员进行一次超快速的、仅需一秒钟的检查（就像扫描二维码一样），以验证封条是否完好且数学逻辑正确。如果验证通过，他们就让你进入。

这个“神奇信封”是如何工作的？
论文描述了一个名为**资金来源证明（Proof of Source of Funds, PoSoF）**的系统。以下是使用简单比喻进行的拆解：

地图（DAG）： 想象你资金的旅程是一张路径图。有些路径始于“安全区”（如符合 KYC 标准的交易所）。有些路径始于“危险区”（未知或被列入黑名单的地址）。
过滤器： 你拿着你的地图，只剪下那些始于“安全区”的路径。你忽略那些始于“危险区”的路径。
神奇证明： 你使用一种特殊的密码学工具（零知识证明）来创建一个证书。这个证书证明了两件事：
- “我拥有一条从安全区到当前资金的有效路径。”
- “我没有在撒谎，关于这条路径的信息是真实的。”
- 至关重要的一点是： 该证书隐藏了你的其余地图。验证者（平台）知道这笔钱是干净的，但他们不知道你具体使用了哪个安全区，也看不到你的其他交易。

为什么这种方式更好？

它是主动性的： 你在尝试存款之前就证明了资金是干净的。坏钱根本没有机会进入系统。
它是隐私保护的： 平台不需要了解你的整个生活故事。他们看到的只是你资金干净的证明。
对平台而言它很快： 平台不需要配备侦探团队。他们只需要一台计算机，在几分之一秒内即可完成检查。
它难以作弊： 系统使用了一种“流”规则。想象水在管道中流动。如果你试图将脏水与净水混合，数学逻辑会证明你无法创造出比初始状态更多的净水。如果你试图用同一笔干净的交易去支付两件不同的事情，系统就会抓到你。

论文中的现实世界案例
作者测试了这个想法并证明了其有效性：

隐私池（Privacy Pools）： 想象一个类似“Tornado Cash”风格的混币器，人们在那里隐藏资金。通常，监管机构讨厌这些工具，因为犯罪分子会利用它们。通过 PoSoF，混币器可以声明：“我们只允许带有有效‘干净来源’证明的资金进入。” 现在，混币器对所有人都是私密的，但它能保证不含脏钱。
交易所： 当你向交易所存款时，交易所不再需要花费数周时间检查你的历史记录，你只需提交该证明。交易所可以在毫秒级完成检查。
借贷： 如果你想在不提供巨额抵押品的情况下进行借款，你可以证明你拥有长期、稳定的干净收入记录。贷款人基于此证明信任你，而无需了解你的姓名或查看你的银行流水。

核心总结
这篇论文介绍了一种方法，让普通的加密用户能够在不放弃隐私且不让平台承担所有繁重工作的前提下，证明其资金的合法性。它利用先进的数学，将工作重心从“警察”（平台）转移到了“公民”（用户）身上，从而创造出一个更快、更安全且尊重隐私的系统。

作者构建了一个工作原型，并发现生成此类证明在普通笔记本电脑上仅需约 1.8 秒，而在区块链上的检查成本极低（约 1.5 毫秒）。这表明，一个既能保持隐私又能实现合规的加密未来实际上是可能的。

技术摘要：资金来源证明 (Proof of Source of Funds, PoSoF)

1. 问题陈述

本文探讨了去中心化金融（DeFi）中金融隐私与监管合规之间根本性的张力。目前的合规方法依赖于两种存在缺陷的方法：

脆弱的二元列表： 依赖于包含/排除列表（白名单/黑名单），这类列表极易被通过将资金转移到新的、未被标记的地址来规避。
追溯性图分析： 依赖于中心化的区块链情报机构进行持续的交易历史追踪。这种方法计算成本高昂，误报率高，且无法防止非法资金在进入协议之前就已存在。

此外，现有的隐私保护方案（如 Tornado Cash）因无法区分合法的隐私行为与洗钱行为而受到了制裁。相反，试图通过追溯性“污染（taint）”追踪来集成合规性的尝试，使诚实用户面临“污染攻击”的风险，即恶意行为者故意将非法资金与合法资金混合，从而冻结诚实用户的资产。本文认为，当前的平台侧监控模式剥夺了用户的隐私，并给去中心化协议带来了沉重的负担。

2. 方法论

作者提出了资金来源证明（PoSoF），这是一种从平台侧监控向**用户侧溯源（user-side provenance）**的范式转变。与其由平台追踪资金，不如由用户在本地生成一个零知识证明（ZKP），证明其存款完全源自一组合规的来源。

2.1 统一的时序有向无环图（Temporal DAG）抽象

为了处理异构的区块链结构（基于 UTXO 的比特币和基于账户的以太坊），作者提出了一个统一的**时序有向无环图（Temporal DAG）**抽象：

节点： 定义为时序对 $(a, h)$ ，其中 $a$ 是地址， $h$ 是确定性的序列坐标（区块高度、索引）。这创建了特定时间点的身份唯一快照。
边：代表节点间的价值转移，分配一个分数容量 $v_e \le v(tx)$ 。
模型： 该抽象将账本历史统一为广义的价值流模型，将合规容量视为一种有限的、非通胀性的资源。

2.2 密码学框架

系统利用通过折叠方案（如 Nova）实现的增量可验证计算（IVC），以实现常数时间验证。用户从全局账本 ( $G$ ) 中提取一个合规的子图 ( $G'$ )，并在不泄露中间拓扑结构或具体来源的情况下，证明满足严格的状态转换谓词。

由零知识电路强制执行的核心谓词包括：

链上完整性与唯一性： 每条边必须具有有效的包含证明（Merkle 证明），映射到已确认的链上交易。交易必须是唯一的，以防止在多个分支中重复使用同一个合规交易。
来源锚定： 子图中的每个源节点必须属于预定义的合规集合 $C$ （例如，符合 KYC 标准的交易所），并通过正向包含证明（例如，Merkle 树）进行验证。
边链接： 入站边的接收者必须在密码学上匹配出站边的发送者，以防止拓扑伪造。
时序排序： 强制执行严格的无环性（ $h_{in} < h_{out}$ ），以防止通过未来的合规流入来使过去的非合规转移合法化的“穿越时间”攻击。
流向偿付能力： 对于每个中间节点，出向分数容量之和不得超过入向容量之和 ( $\sum v_{out} \le \sum v_{in}$ )。
终端执行绑定： 证明必须绑定到特定的目标交易载荷 ($txtarget$)，确保证明是非易失性的，且仅对预期的存款有效。

2.3 架构

证明者（Prover）： 用户在本地构建合规的子图并运行 IVC 电路。他们提取一条“干净”的路径，忽略非合规的边（例如，用户收到的非法尘埃资金）。
验证者（Verifier）： 智能合约执行该简洁证明的常数时间 $O(1)$ 验证。它无需与动态黑名单同步，也无需分析交易图。

3. 主要贡献

本文做出了三个主要贡献：

形式化证明者侧溯源： 引入了 PoSoF，将合规负担转移给用户。它建立了一个统一的时序 DAG 抽象，在严格的安全定义下捕捉了账户型和 UTXO 型账本。
高效的协议实例化： 利用 IVC 构建了 PoSoF 协议，以实现常数规模的 $O(1)$ 链上验证。该系统包含了鲁棒的应用层防御机制（公开的作废符/nullifiers、私有的找零承诺），以防止干净历史的二次使用。
实现与经验评估： 开发了一个兼容以太坊的工作原型，证明了主动合规在消费级硬件上是切实可行的。

4. 结果与性能

作者使用 Groth16 证明系统（用于单体线性路径片段）和 Nova（用于 IVC）评估了一个兼容以太坊的原型。

单体原型 (Groth16)：
- 证明生成： 在 Apple Silicon 笔记本电脑上，生成一个包含 8 跳路径的证明大约需要 37 秒。
- 验证： 链上验证成本约为 797,916 gas（约 1.5 毫秒），主要由配对检查（pairing checks）构成。
- 约束： 统一的证明者电路需要约 2570 万个 R1CS 约束。
IVC 实现 (Nova)：
- 增量更新： 对于活跃钱包，使用新交易更新证明大约需要 1.8 秒。
- 验证： 最终的链上验证保持为常数时间 ~1.5 毫秒（约 800k gas），无论合规子图的大小或深度如何。
- 可扩展性： 虽然在 IVC 下从头构建一条链具有累积开销，但添加新交易的边际成本是恒定的，并且显著低于单体方法所需的重新证明整个历史的成本。

5. 重要性与主张

本文声称 PoSoF 通过实现主动的、链上合规层，解决了“隐私与合规之间的根本张力”。

免疫污染： 通过在数学上追踪资金回到合规来源，并允许用户从其见证（witness）中排除非合规边，该系统对被动“污染”具有免疫力。一个收到非法资金的诚实用户可以简单地将该笔交易从其溯源 DAG 中排除。
静态 vs 动态约束： 通过将资格锚定在静态的合规来源（如受监管实体）而非动态黑名单，PoS F 消除了验证者需要与快速变化的列表进行同步的需求。
隐私保护： 系统在保证资金合法性的同时，不会泄露中间交易拓扑、中间地址或具体来源。
实用性： 基准测试表明，完全私有的主动合规是非常实用的，仅需常数时间的链上验证以及可控的离线计算时间。

作者将 PoS F 定位为并非要取代所有的合规机制，而是一个基础层，可以与存款后审计（如 Derecho）相结合，从而为去中心化隐私池和交易所创建一个全面的、端到端的合规系统。