Статьи
Протокол Rand описан в печатных работах. Актуальны шесть документов: статья о протоколе в третьей редакции, статья о референсной реализации, написанная для узла, на котором работает тестовая сеть, отчёт о мосте, статья о zUSD — экранированном долларе, отдельный анализ безопасности и краткое описание для инвесторов. Каждый PDF является первоисточником: его можно скачать, процитировать, проверить. Там, где у дизайна есть ограничения, статьи указывают на них, а не умалчивают.
- WhitepaperSTARKProof of Stake · BFTEVMПостквантовая безопасность
Rand Protocol
Конфиденциальные произвольные вычисления
Редакция 3 · август 2026, обновлено в сентябре 2026 · 73 страницы
Мы представляем Rand — блокчейн с консенсусом по доле владения (proof-of-stake), чей византийски отказоустойчивый (BFT) консенсус обеспечивает быструю детерминированную финальность и в котором каждая транзакция является доказательством с нулевым разглашением. Вес в консенсусе определяется только заблокированной долей: никакие вычисления не дают права голоса, не выбирают лидера и не решают исход форка. Зато в цепочке есть множество доказательств, создаваемых параллельно консенсусу: каждый кошелёк строит STARK для собственной транзакции, а после включения агрегации доказательств на уровне блока агрегаторы с заблокированным залогом зарабатывают RAND, строя рекурсивные STARK над доказательствами пользователей. Валидаторы получают комиссии блоков, которые они предлагают; семантика смарт-контрактов — семантика виртуальной машины Ethereum (EVM). В статье объясняется сама схема с нулевым разглашением: как вычисление превращается в таблицу, таблица — в набор многочленов, а многочлены — в доказательство размером около 1,4 МБ на перевод, которое любой валидатор проверяет за миллисекунды. Rand — это универсальный блокчейн смарт-контрактов, в котором вообще нет прозрачного типа транзакций: любое вычисление — перевод токена или произвольный вызов контракта — по построению исполняется конфиденциально. Пользователи держат защищённые RAND, оплачивают из них газ и исполняют произвольный код, входные данные, операнды и промежуточное состояние которого никогда не появляются в цепочке, тогда как валидаторы проверяют единственный STARK, подтверждающий корректность исполнения. EVM задаёт семантику, относительно которой доказывается исполнение, в виде интерпретатора-гостя внутри схемы, поэтому существующий байткод Solidity работает без изменений; это не прозрачный путь исполнения рядом с защищённым.
В этой редакции также предлагается — как направление исследований, которое не реализовано, — верифицируемая атрибуция провера (Verifiable Prover Attribution, VPA). Работающая цепочка её не использует: кошельки сами доказывают свои транзакции, лидер выбирается по круговой схеме, мемпул не зашифрован, а единственная роль доказательства с залогом — реестр агрегаторов, где оплачивается первый финализированный агрегат, покрывающий пакет; часть II начинается с описания этого статуса, а её теоремы — утверждения о предложении, а не о развёрнутой системе. Исходный черновик доказывал, что схема приватной транзакции выполнена, но ничего не говорил о том, как доказательства распределяются между проверами, в каком порядке прувер доказывает пакет и как верификатор узнаёт, что субъект, представляющий доказательство, — это тот, кто его вычислил, в условиях, которые поощряет протокол. STARK удостоверяет, что схема выполнена, но не удостоверяет условия, при которых она была выполнена. Мы показываем, что этот разрыв открывает три конкретные поверхности атаки — сговор провера и валидатора, MEV на стороне провера и Sybil-атаки/неподотчётную работу, — формализуем каждую и предлагаем закрыть их пересчитываемым маяком назначения, каноническим упорядочиванием с запечатанным (пороговым образом зашифрованным) мемпулом и постквантовым аттестатом, несущим доказательство. Соответственно, мы переформулируем утверждение черновика «приватные транзакции исключают фронтраннинг» как условную теорему, условиям которой работающая цепочка не удовлетворяет, так что в этой цепочке содержимое скрыто, а порядок не защищён.
Далее мы устраняем три внутренних несоответствия в исходном анализе безопасности: (i) противоречие между квантовой стойкостью к коллизиям около 85 бит (оценка BHT) и заявленной в аннотации и таблицах параметров 128-битной постквантовой стойкостью, исправленное в конструкции 384-битным хешем транскрипта и явной теоремой о разделении стойкости по примитивам (реализация по-прежнему использует 256-битный хеш транскрипта, ≈85 квантовых бит); (ii) неопределённую VRF для выбора лидера, которая взламывается алгоритмом Шора при построении на эллиптической кривой, — для неё мы задаём постквантовый маяк commit–reveal с криптографической сортицией на основе хешей (не реализовано: работающая цепочка выбирает лидеров по круговой схеме и вообще не имеет VRF); и (iii) недоопределённое поле Goldilocks, для которого мы предписываем расширение степени k и связываем стойкость FRI с числом запросов и бюджетом grinding. В этой редакции также исполнительный слой переносится с виртуальной машины Solana (Solana Virtual Machine) на виртуальную машину Ethereum (EVM), что подводит активы ERC-20 и контракты Solidity под модель защищённых транзакций, и вводится пакетный расчёт газа: поскольку плата за газ в защищённых RAND по каждой транзакции сама является деанонимизирующим отпечатком вызова EVM (а значит, и затронутого контракта ERC-20), газ внутри схемы фиксируется по публичным ступеням квантования и списывается единым совокупным платежом за пакет, так что след в цепочке — это один итог на пакет, а не списание по каждому аккаунту и каждому вызову. Наконец, мы приводим дорожную карту миграции с криптографической гибкостью: запуск на SNARK, переход на прозрачные STARK и усиление до полной постквантовой безопасности в течение примерно 18 месяцев (около 14 месяцев по распараллеленному критическому пути), причём каждый переход ограничен так, чтобы быть сменой параметра, а не форком консенсуса.
Эта редакция августа 2026 года расширяет защищённую модель от переводов стоимости до конфиденциальных произвольных вычислений: мы обобщаем отношение перевода до универсального отношения исполнения над виртуальной машиной, доказываемой STARK, описываем локальную и делегированную топологии GPU-доказательства с точной границей конфиденциальности и сопоставляем конструкцию с современным ландшафтом систем доказательств (Groth16, PLONK, Halo2, HyperPlonk, FRI-STARK), универсальных zkVM (RISC Zero, SP1, Cairo/Stwo, Miden, Jolt, OpenVM), роллапов zkEVM и приватных блокчейнов (Aztec, Aleo, Miden, Zcash), чьи ловушки при оплате газа и делегировании доказательства напрямую мотивируют конструкции защищённого газа RAND и VPA. Мы анализируем рынок проверов, который подразумевает слой стимулов, и показываем, что стоимость доказательства определяется загрузкой, а не энергией, и что спрос на доказательства насыщенной сети покрывается несколькими десятками GPU, — поэтому децентрализацию проверов следует обосновывать живостью и конфиденциальностью, а не бюджетом безопасности, поскольку корректность не зависит от набора проверов. Наконец, мы описываем, как внешнее долларовое обеспечение — USDT и USDC — импортируется в Rand в виде защищённых z-активов через удостоверяемый мост с блокировкой и выпуском, что даёт защищённому пулу стабильную расчётную единицу без необходимости для эмитентов развёртываться нативно — коммерческой зависимости, которая иначе поставила бы платёжный сценарий протокола в зависимость от дорожной карты третьей стороны. Мы выделяем свойство, которое делает такой мост корректным и которое проще всего упустить: кворум стражей удостоверяет, что сообщение было опубликовано в отслеживаемой цепочке, а не то, что его создал мост, поэтому в открытом слое сообщений действительность подписи не означает авторизацию, а привязка эмитента несёт нагрузку. Мы доказываем границу корректности хранения, ограничивающую потери объёмом хранения в каждой цепочке независимо от допущения о стражах, показываем, что предложение защищённых z-активов остаётся публично проверяемым относительно этого хранения без раскрытия какой-либо ноты, и определяем мост как постквантовый рубеж системы: подписи стражей secp256k1 взламываются алгоритмом Шора, поэтому путь выпуска остаётся классически защищённым, пока исходные цепочки не получат постквантовые прекомпиляты, как бы ни была усилена сторона Rand.
Основные результаты- Теор. 5.3 — Утечка приватности при оплате газа
- Теор. 7.9 — Приватность пакетного газа
- Теор. 10.6 — Аттестация не означает авторизацию
- Теор. 10.14 — Корректность хранения
- Thm 10.19 — Мост — граница постквантовой безопасности
- Thm 13.2 — Разрыв атрибуции
- Thm 15.4 — Фронтраннинг: уточнение и условия
- Thm 15.9 — Корректность VPA
- Thm 18.1 — Разделение квантовой безопасности по примитивам
- Thm 19.2 — Корректность FRI, параметрическая
Черновик 3 заменяет черновики 1 и 2Черновик 1 (декабрь 2025 года) и черновик 2 (редакция VPA от мая 2026 года) отозваны. Три ошибки более раннего анализа исправлены, а не сглажены: утверждение о 128-битной постквантовой стойкости противоречило 85-битной квантовой границе коллизий 256-битной хеш-функции; VRF для выбора лидера был бы взломан алгоритмом Шора над эллиптической кривой; а обычное поле Goldilocks не способно обеспечить заявленную корректность FRI. Уровень исполнения переходит с SVM на EVM, а двойной токен сводится к одному RAND. Обновления сентября 2026 года сверяют проект с эталонным полным узлом вплоть до chain 15: Rand прямо назван системой proof of stake, схема доказательств с нулевым разглашением изложена полностью, а VPA отмечен как предложение, которое работающая цепь не использует.
- РеализацияzkVM · RISC-VHotStuffChain 15testnet
Rand Protocol — эталонная реализация
Экранированный реестр и виртуальная машина с проверкой STARK — в том виде, в каком они развёрнуты
Редакция реализации 3 · сентябрь 2026 · 46 страниц
Расчётные системы традиционных финансов конфиденциальны по умолчанию: остатки на счетах и записи о переводах видны владельцу счёта, учреждению и, в рамках юридической процедуры, регулятору — и больше никому. Публичные блокчейны переворачивают это свойство. В Ethereum и Solana глобальное состояние и очередь неподтверждённых транзакций доступны каждому участнику, что подставляет институциональный поток ордеров под систематический фронтраннинг и раскрывает контрагентов и суммы каждого перевода стейблкоинов. Ни один из существующих промышленных протоколов не сочетает конфиденциальность банковского реестра с детерминированным расчётом, прозрачной проверкой и постквантовой безопасностью публичной цепи.
В статье представлен Randprotocol — блокчейн первого уровня, призванный закрыть этот пробел, в том виде, в каком он реализован в эталонном полном узле. Собственный актив, RAND, существует только в виде нот в полностью экранированном пуле: дерево обязательств Poseidon2 глубиной 32 и множество аннуляторов заменяют счета, а каждый перевод представляет собой пакет фиксированной формы с двумя входами и двумя выходами, корректность которого устанавливается прозрачным доказательством STARK на основе хеш-функций — доказательством исполнения единственной зафиксированной гостевой программы RISC-V. Та же система доказательств поддерживает конфиденциальные произвольные вычисления: программы RV32IM развёртываются по хешу содержимого и вызываются с доказательством исполнения вместо их входных данных, а цепь записывает восемь публичных выходных слов. Консенсус — цепочечный HotStuff с кворумами, взвешенными по стейку, правилом фиксации после трёх последовательных видов и наборами валидаторов, определяемыми по эпохам из публичного реестра; стейк вносится из пула и выводится в него. Мост с подтверждением хранителей зачисляет активы из четырёх внешних цепей в виде нот. Подписи валидаторов — CRYSTALS-Dilithium2, а конверты нот используют ML-KEM-768 с ChaCha20-Poly1305.
Мы описываем реализацию по компонентам, а затем строим её формальный анализ для развёрнутых параметров: отношения пакета и вызова, доказываемые девятитабличной виртуальной машиной с нулевым разглашением, включая конструкцию аккумулятора taint, заменяющую утверждение внутри схемы; аргументы шины поиска, связывающие дайджест программы и засоленное обязательство входа; корректность FRI производственного профиля (80 запросов, 20 бит grinding, коэффициент расширения 8, расширение степени 2 поля Goldilocks), сформулированную как в рамках доказанной границы близости (proximity gaps), так и в рамках гипотезы ethSTARK; тождества баланса стоимости и аудита предложения пула; а также безопасность и живость правил консенсуса с учётом эпох.
Анализ выявляет свойства, которых реализация пока не обеспечивает. Комиссии, веса стейка, суммы депозитов на границе пула и идентификаторы программ публичны; текущий кошелёк раскрывает опрошенному узлу лист, который собирается потратить; доказательство из 80 запросов занимает около 1,3 МБ (1,43 МБ для четырёхслотового пакета начиная с chain 14), что ограничивает блок размером 4 МиБ тремя экранированными переводами (двумя — начиная с chain 14; в chain 15 блок увеличен до 20 МиБ); агрегация доказательств на уровне блока, слэшинг и гостевые программы EVM и SVM на базовой ревизии оставались нереализованными (гостевые программы с тех пор включены в поставку, хотя вызовы EVM недопустимы при ограничении числа вызовов уровня 14, а три раунда аудита под руководством основателей с тех пор закрыты; независимый аудит не проводился); а GPU-доказыватель не запускался на реальном оборудовании. Программное обеспечение развёрнуто в тестовой сети из 26 валидаторов (chain 17 с 2026-09-29, каждый валидатор управляется основной командой) и непригодно для использования с реальной стоимостью.
Основные результаты- Thm 5.8 — Условная знаниевая корректность
- Thm 5.11 — Статистическое нулевое разглашение
- Thm 5.12 — Корректность FRI в принятой конфигурации
- Thm 5.14 — Безопасность развёрнутой системы по примитивам
- Thm 5.17 — Баланс стоимости пула
- Thm 5.22 — Безопасность
- Thm 5.24 — Живость после GST
- Thm 5.28 — Мост не является постквантовым
Написано для fullnode 26ab1d4, с дополнениями до 8e64781Каждое утверждение о системе относится к эталонному узлу на коммите 26ab1d4 (ветка main, 2026-09-16): экранированный пул, стейкинг, мост в виде нот и конвертов вызовов, набор ограничений zkVM 6, рекурсивная виртуальная машина и агрегация на уровне блока, влитая, но включаемая только в genesis. Два более поздних прохода записаны как отмеченные дополнения там, где узел изменился: 2026-09-24 (d050259, v0.5–v0.5.5, chain 14 — четырёхслотовый пакет со скрытым активом, реестр токенов, усиленный мост) и 2026-09-27 (8e64781, v0.5.6–v0.5.8, chain 15 — привязка заголовка вызова и ограничение уровня, замороженные константы Poseidon2, привязка агрегата).
- МостLock-and-MintECDSA · Dilithium2Четыре сети
Мост Rand
Подтверждаемые lock-and-mint в экранированный пул с постквантовыми соподписями
Технический отчёт, черновик 1 · сентябрь 2026 года · 13 страниц
Rand — конфиденциальный блокчейн, в котором стоимость существует в виде обязательств в экранированном пуле, а не прозрачных остатков. Для платёжных сценариев ему нужен стабильный актив, а ни один эмитент не разворачивает такой актив нативно в цепи без объёма. Мост Rand импортирует USDT и USDC из Ethereum, BNB Smart Chain, Tron и Solana в виде единого экранированного доллара, zUSD, обеспеченного один к одному средствами в кастодиальном хранении в этих цепях. В отчёте определяется мост в том виде, в каком он построен: 184-байтовое сообщение о переводе и два его слоя подписей — кворум хранителей secp256k1 для каждого сообщения и кворум соподписей Dilithium2 для каждого минта в Rand, оба сегодня шесть из восьми; путь депозита, завершающийся нотой, которую цепь сама выводит из подтверждённой суммы; путь вывода, в котором сжигание привязано к своему доказательству и исполняется против счётчиков кастодиального хранения по цепям; поверхность управления (ротация хранителей с однодневным льготным окном, явное листингование, односторонняя пауза, снять которую может только постквантовый кворум); а также правила часов, которые подключённая цепь накладывает на собственный консенсус.
Мы формулируем и доказываем свойства, которые даёт конструкция, — неподделываемость кворума, необходимость привязки эмитента, корректность кастодиального хранения, аудируемость предложения и асимметричную постквантовую границу, при которой противник с возможностями Шора может подделывать выпуски средств, но не минты, — и с той же тщательностью формулируем, чего она не даёт: хранители не имеют залога и не подлежат слэшингу, и хотя шесть из восьми ключей теперь работают на собственных хостах, один хостинг-аккаунт и один ключ оператора по-прежнему охватывают их все. Приводятся адреса развёртывания, размеры сообщений, стоимость газа и результаты живых раундов.
Основные результаты- Prop 5.1 — Отсутствие перенаправления
- Thm 5.2 — Корректность кастодиального хранения
- Thm 8.1 — Неподделываемость кворума
- Thm 8.3 — Подтверждение — не авторизация
- Thm 8.4 — Аудируемость мостового предложения
- Thm 8.5 — Постквантовая асимметрия
Дополнение к разделу о мосте в протокольной статьеОписывает мост в том виде, в каком он развёрнут, в тех же обозначениях, что и раздел о межсетевом взаимодействии в протокольной статье, и согласуется с ним: набор хранителей 1 (шесть из восьми, secp256k1) заменил исходный набор «пять из шести» 25.09.2026, а набор Dilithium2 вырос с шести до восьми ключей при генезисе chain-15 26.09.2026.
- Экранированный стейблкоинПолный резервНесколько сетей · несколько эмитентовChain 15
zUSD — полностью обеспеченный экранированный доллар в Rand
Конфиденциальные переводы стейблкоинов без риска потери привязки на основе заблокированного резерва в нескольких сетях и от нескольких эмитентов
Сентябрь 2026 · заменяет zUSDT (декабрь 2025, ред. август 2026) · 11 страниц
zUSD полностью обеспечен резервом: каждая единица обеспечена один к одному долларовым стейблкоином, который хранится в кастодиальном контракте в той сети, где этот стейблкоин выпущен изначально — USDT и USDC в Ethereum, BNB Smart Chain и Solana, а также USDT в Tron, всего семь обеспечений, — и может быть в любой момент погашен любым из них. Он намеренно не является алгоритмическим или частично обеспеченным стейблкоином, поэтому не имеет рефлексивной зависимости от цены какого-либо волатильного актива и не создаёт поверхности для «спирали смерти», разрушившей UST от Terra. Токен существует в Rand, экранированном реестре, поэтому с момента выпуска он является экранированной нотой. Каждое звено засвидетельствовано, поэтому гарантия для каждой единицы равна min(платёжеспособность резерва, целостность порога хранителей) при двойном пороге из шести подписей ECDSA из восьми и шести соподписей Dilithium2 из восьми.
Инвариант резерва S = Σ_b L_b выполняется как равенство и обеспечивается по построению в одной функции реестра. В статье для каждого обеспечения сформулировано, что именно гарантируется, включая новый риск, который возникает при объединении двух эмитентов, и описаны механизмы ограничения потерь, предусмотренные в развёртывании: скользящий 24-часовой лимит выпуска для каждого обеспечения и общий лимит, ключ паузы, который может только приостанавливать, верхняя граница опережения времени блока и лимиты выпуска средств из кастодиальных контрактов. Прямо указано, чего ещё нет: независимых операторов хранителей, администратора с мультиподписью и таймлоком в каждом кастодиальном контракте и доказательства резервов, которое можно проверить без собственного обозревателя проекта.
Основные результаты- Теор. 2.6 — Сохранение инварианта
- След. 2.7 — Погашаемость
- Утв. 2.8 — Ухудшение полного резервирования из-за моста
- След. 2.9 — Гарантии для каждого обеспечения
- Утв. 4.1 — Публичная проверяемость при экранировании
Сентябрь 2026 — заменяет zUSDTОписывает конструкцию в том виде, в каком она развёрнута в Rand chain 15, и отличается от zUSDT тремя чертами, которые теперь воплощены в коде: токен существует в Rand, а не в Solana, поэтому прозрачной формы, которую нужно экранировать, нет; резерв охватывает не только несколько сетей, но и двух эмитентов, и держатель может погасить токен любым обеспечением; и каждое звено засвидетельствовано при двойном пороге «шесть из восьми» соподписей ECDSA и Dilithium2. Утверждение 2.8 воспроизведено без изменений, поскольку остаётся верным, а следствие 2.9 фиксирует новый риск, который возникает при объединении двух эмитентов.
- Анализ безопасностиПостквантоваяТаксономия атак
Анализ безопасности протокола Rand
Постквантовые криптографические основы, устойчивость к атакам и формальные гарантии безопасности
Декабрь 2025, сверено в сентябре 2026 · 13 страниц
Анализ безопасности протокола Rand с формальными доказательствами в классической и квантовой моделях противника: консенсус BFT с учётом доли стейка (Rand — сеть proof-of-stake: вычисления не дают веса в консенсусе), система приватности на основе STARK, а также постквантовые примитивы CRYSTALS-Dilithium и Kyber. Анализируется устойчивость к атакам 51%, атакам дальнего действия, nothing-at-stake, grinding, eclipse и Sybil, к опережающим сделкам (front-running), атакам по времени и квантовым противникам; для каждой даны формальные оценки и конкретные параметры.
При стандартных предположениях о сложности решёточных задач и назначении размера дайджеста по ролям — 384 бита там, где коллизия нарушает стойкость, и 256 бит там, где требуется лишь стойкость к нахождению прообраза, — каждый примитив достигает не менее 128 бит постквантовой безопасности; без такого назначения та же конструкция даёт 85 бит. Нижней границей системы служит стойкость FRI: не менее 100 бит при гипотезе ethSTARK и 86 бит при доказанной оценке proximity-gaps, с возможностью довести до доказуемых 100 при 97 запросах и до 128 при расширении степени 3. Там, где эталонная реализация отступает от замысла — 256-битный хеш транскрипта, отсутствие слэшинга валидаторов, круговой выбор лидеров, открытый мемпул, — каждый результат об этом сообщает.
Основные результаты- Теор. 2.3 — Квантовая стойкость к коллизиям
- Теор. 3.5 — Квантовая безопасность STARK
- Теор. 3.6 — Общая постквантовая безопасность
- Теор. 4.4 — Безопасность HotStuff
- Теор. 5.3 — Неотслеживаемость нуллификаторов
- Теор. 6.8 — Условное противодействие опережающим сделкам
- Теор. 7.1 — Порог экономической безопасности
Подчинена части III протокольной статьиСамостоятельное дополнение к части о безопасности в протокольной статье, которая является основной согласованной редакцией и имеет приоритет при любых расхождениях. Анализ декабря 2025 года содержал три ошибки, которые исправляет черновик 3; с тех пор он согласован с черновиком 3 и с работающей сетью.
- Краткое описание для инвесторовПосевной раундSAFTОктябрь 2026
Rand Protocol: краткое описание для инвесторов
Приватные программируемые расчёты с доказательствами на основе хеш-функций
Октябрь 2026 · 6 страниц
Публичные блокчейны публикуют то, что бизнес обязан защищать: кто кому заплатил, сколько, и каждый ордер до его исполнения, поэтому крупнейшие пулы капитала остаются вне их. Rand — блокчейн первого уровня, в котором каждый платёж является экранированной нотой, а каждая транзакция — доказательством с нулевым разглашением: сеть проверяет, что правило выполнено, не видя входных данных, а ключ просмотра позволяет аудитору прочитать то, что недоступно конкурентам. Программы на Rust или C исполняются на RISC-V zkVM и доказываются STARK на основе хеш-функций без доверенной установки, а доллары поступают из четырёх сетей как единый экранированный доллар — zUSD.
В сводке изложены проблема, продукт и его измеренные издержки, сценарии применения по степени готовности, рынок с опубликованными оценками, сравнение с Aleo, Railgun, Quantus и другими, год исследований и трёхнедельная перестройка до работающей тестовой сети, цены токена и раундов, посевной раунд (SAFT на 110 миллионов RAND, 11% от максимального предложения в один миллиард, по $0.03), команда и риски. Не является предложением ценных бумаг или токенов.
Основные результаты- Цепочка 20 · v0.6.8
- Посевной раунд: $0.03 за RAND, FDV $30M
- SAFT при максимальном предложении 1B
- 28 релизов, 7 тестовых цепочек
Исходные файлы
Все пять статей написаны в LaTeX и собираются с помощью tectonic. Исходный код zUSD открыт — ссылка на него есть в соответствующей записи выше, поэтому каждое утверждение в нём можно сверить с файлом, из которого оно взято, рядом с исходным кодом заменённой статьи zUSDT в том же репозитории. Исходные тексты остальных четырёх статей пока не опубликованы; до тех пор их основной формой остаются PDF выше. Всё остальное, что открыто, — узел, кошельки, обозреватель — находится в организации на GitHub.