想象一个这样的世界：你的数字钱包是一个神奇的、隐形的保险库。你可以向朋友转账、买咖啡或支付账单，而无需任何人知道你是谁，也无需知道你花了多少钱。这就是“隐私保护型支付系统”所承诺的愿景——这是一个研究了数十年如何构建隐形保险库的密码学领域。但问题在于：如果这些保险库过于完美，它们就会变成坏人藏身之处。犯罪分子可能会利用它们进行洗钱或资助恐怖活动，而不留下任何痕迹。政府和银行需要一种方法，在拥有正当理由（例如针对特定嫌疑人的搜查令）时能够窥视内部，同时又不剥夺其他所有人的隐私。核心问题一直在于：如何给警察一把手电筒来追踪犯罪分子的资金流向，而不至于意外地让整座城市都陷入曝光之中？

本文介绍了一种被称为“瞬态硬币追踪”（Ephemeral Coin Tracing, ECT）的巧妙解决方案。把它想象成一个会自动消退的神奇追踪贴纸。在过去，追踪工具就像是一种永久性的、发光的油漆，一旦喷在嫌疑人身上，就会永远跟随其资金，照亮他们所做的每一笔交易，并可能暴露那些仅仅是与他们有过交易的无辜者。作者提出了一种新系统，其中的“贴纸”内置了失效日期。它只能在网络中移动特定的步数（或称“跳数”）。一旦达到这个限制，魔法就会失效，追踪痕迹也会随之消失，变得与普通的、未被追踪的硬币无异。这确保了即使是最执着的权威机构，也无法将追踪范围扩大到预设的边界之外，从而保护了绝大多数非调查对象的用户的隐私。

问题所在：“永恒的手电筒”

长期以来，数字支付系统一直面临一个困境。如果你想阻止洗钱，通常必须给当局提供一把“永恒的手电筒”。一旦他们针对某个嫌疑人打开了这束光，这道光就会跟随资金移动到任何地方，经过每一笔交易、每一个钱包和每一次交换。如果犯罪分子把钱传给了朋友，而朋友又传给了表亲，光就会一直追踪下去。

问题在于，这束光不仅追踪犯罪分子，还会照亮与他们接触的所有人。如果嫌疑人买了一份披萨，披萨店的其他顾客也会被照亮；如果嫌疑人向一家合法的企业转账，该企业的整个历史记录都可能被暴露。现有文献中的工具赋予了当局“无限制的能力”。一旦开始追踪，它就会扩散到整个交易图中，或者永远跟随用户的未来交易。阻止他们监视所有人的唯一手段，原本应该是依靠权威机构的“善意”或委员会的“诚实”。但正如作者所指出的，依赖于人的“善良”并不是一个非常强大的安全系统。

解决方案：“褪色墨水”贴纸

来自丹麦、瑞士和新加坡大学的密码学家团队引入了一个名为**瞬态硬币追踪（ECT）**的新原语。他们将其描述为一种在数学上被编程为会自动消退的“追踪贴纸”。

其系统运作方式如下：

1. 设置： 当针对嫌疑人发布搜查令时，权威机构不仅是在标记资金，而且是用一个特定的“预算”步数来标记。假设预算是 10 跳。
2. 旅程： 每当资金从一个人转移到另一个人时，标签就会进行一次“步进”。每走一步，标签就会变弱。这就像一个电池，每进行一次交易就会消耗一点电量。
3. 消退： 在恰好 10 步之后，标签归零。它会坍缩为一个看起来与普通、未标记硬币完全一致的值。甚至连最初放置标签的权威机构也无法再看到它。它变得“瞬态”了——即临时的且消失了。
4. 安全网： 至关重要的一点是，这种消退过程是内置在系统的数学逻辑中的。无论权威机构多么想要继续观察，他们都无法强迫标签持续超过预算。限制是由公开参数固定的，这意味着任何人都可以检查规则，而权威机构无法通过更改规则来实施监视。

魔法是如何发生的：“幂零”技巧

论文在这里进入了技术层面，但其核心思想是一个被称为“幂零退化”（nilpotent degradation）的数学技巧。想象你有一种特殊的墨水，每当你触摸它时，它的颜色就会改变。

• 第 1 步： 墨水是鲜红色的（嫌疑人的标签）。
• 第 2 步： 它变成了橙色。
• 第 3 步： 它变成了黄色。
• ……
• 第 10 步： 它变成了完全透明。

在现实世界中，如果你将透明液体与红色液体混合，通常会得到一种粉红色的浑浊物。但在这种密码学系统中，“透明”液体（过期的标签）是特殊的。当它与其他标签混合时，它不会破坏其他标签，而是直接消失。这使得系统能够处理复杂的场景，即来自被追踪嫌疑人的资金与来自无辜人士的资金发生混合的情况。被追踪的部分会按其既定计划消退，而无辜的部分对追踪者而言依然保持不可见。

作者提供了两种构建此系统的方法：

1. 指数 ElGamal： 这个版本使用一种特定的数学群，其中的数值会越来越小，直到变为零。它创建了非常小巧、紧凑的标签，这对于速度非常有益，但如果你想同时追踪大量的人，数学处理会变得非常复杂。
2. Damgård–Jurik： 这个版本使用另一种稍大一些的数学结构，但它能更高效地同时追踪许多人。这就像是在微型、快速的跑车（ElGamal）和稍大、更全能的 SUV（Damgård–Jurik）之间做选择。

这为什么很重要

论文认为，这种方法解决了“隐私与监管”之间的僵局。

• 对于无辜者： 如果你不是嫌疑人，你的隐私就不会受到干扰。即使你与嫌疑人进行交易，“手电筒”也会在能够追踪你的整个历史之前耗尽电池。
• 对于权威机构： 他们仍然可以调查犯罪。他们可以追踪嫌疑人的资金若干步，以寻找同谋或洗钱路径。但他们被迫停止。他们不能就这样永远观察下去。
• 对于系统： 规则是透明的。“跳数预算”（标签可以走多远）是设定在公开参数中的。如果政府想要改变规则以允许更长时间的监视，他们必须修改公开代码，而所有人都能看到这一点。他们无法秘密进行。

本论文没有做的事情

需要注意的是，本文并未声称解决以下问题：

• 它没有解决追溯性追踪的问题。如果犯罪发生在过去且当时没有人被标记，该系统无法回到过去去标记那笔旧资金。它仅适用于“前瞻性”追踪——即在发出搜查令之后标记资金。
• 它不会自动识别嫌疑人是谁。它只是追踪资金。系统仍需通过法律程序将钱包与真实身份联系起来。
• 它并不声称是一个消除了所有犯罪的“完美”解决方案。它是一个使有针对性的追踪变得更安全、更有界限的工具。

结论

作者在数学上证明了该系统的有效性。他们展示了标签确实会在预定时间失效，并且权威机构无法通过修改系统来延长其寿命。他们还证明了标签与普通硬币是不可区分的，因此用户无法得知自己是否正在被监视。

最终，这篇论文提供了一种全新的平衡。它表明，我们不必在“犯罪横行的完全隐私世界”和“每个人都被监视的完全透明世界”之间做二选一。我们可以拥有一个警察拥有手电筒，但手电筒带有计时器的系统。它能照得足够亮以抓获坏人，但在致盲我们其他人之前就会熄灭。它将权威机构的“善意”转化为了一个无法被打破的硬性数学规则。