穩定幣跨鏈橋
Rand 只發行一種資產 RAND,而其價格會波動。屏蔽池內若沒有穩定的資產可持有,用於支付的價值有限,因此 USDT 與 USDC 會從其現時流通的區塊鏈匯入,扣除 0.1% 跨鏈橋費用後,鑄造為 zUSD:一種屏蔽美元,以 USDT 與 USDC 的合併儲備作支持,以票據形式與其他一切資產存放於同一個池內,並可隨時按要求兌換為任一種幣。
另一做法是等待 Tether 與 Circle 原生發行,但這是一項商業決定,所依據的交易量是此鏈目前尚未具備的。跨鏈橋則無需發行方配合。代價是信用鏈較長,以及須自設託管方——本頁直陳這項代價,而不加以掩飾。
- 已鎖定穩定幣
- —
- 所有獲接納的幣種,涵蓋全部四條鏈
- 已鎖定 USDT
- —
- Tether USD
- 已鎖定 USDC
- —
- USD Coin
- zUSD 供應量
- —
- 代幣登記冊所載的總量,與已鎖定的資產一比一對應
| 區塊鏈 | 代幣 | 今日鑄造量 | 每日上限 | 已鎖定 |
|---|
正在從瀏覽器讀取跨鏈橋數據……
鎖定
USDT 或 USDC 會存入其所屬區塊鏈上的託管合約,並在該處凍結。合約只負責鎖定與釋放,本身從不鑄造任何資產。
證明
守護者監察每條來源鏈上已登記的發出者,等待達到確認深度,然後對所見內容簽署。八個簽名中有六個即構成法定人數。他們證明的是某則訊息已被發布,而非其含義。
鑄造
Rand 會驗證法定人數簽名、同一批守護者的第二組後量子法定人數簽名,以及發行方綁定;檢查該儲備的鑄造上限及過去 24 小時的全域上限;將證明標記為已使用;並向屏蔽池插入一個票據承諾,金額為存入款項扣除跨鏈橋費用(自 chain 20 起為 0.1%,以 zUSD 票據形式留存於國庫)。自此,該資產即為 zUSD 票據,在匿名集內與其他任何票據無從區分。
贖回
持有人在一筆交易中花費該票據,交易指明幣種、目標鏈及地址,並支付 0.01 RAND 的跨鏈橋費用。自 chain 20 起,鏈上亦會將金額的 0.1% 以 zUSD 費用票據形式留存,而釋出金額為扣除該費用後的數額。若該幣種的儲備少於該金額,Rand 會拒絕該交易。先公布 nullifier,其後守護者證明銷毀,最後託管方才釋出資產。債權會在抵押品移動之前銷毀,絕不在其後。
鎖定的價值在邊界處是公開的,其後該票據的每一次轉移則不公開。隱私的邊界正是跨鏈橋本身:進入的是透明的,在 Rand 上流通的是屏蔽的。
一種代幣,七項儲備
zUSD 是單一代幣,但其支持資產按儲備逐項計算:一項儲備是某一種幣在某一條所屬鏈上的數額,以幣種與鏈的配對為鍵,而非以符號為鍵。鎖定於 Ethereum 的 USDT 與鎖定於 Tron 的 USDT 分別存放於不同的託管處,Rand 會記錄各自的鎖定額。贖回須指明幣種與鏈,若該項儲備少於所需金額即遭拒絕,因此在某條鏈上的贖回不能動用另一條鏈的託管資產。zUSD 的供應量按構造等於這七項之和。
傳輸值帶有八位小數。代幣使用十八位小數時,合約只鎖定可表示的數額;使用六位小數時,贖回額必須是該幣自身最小單位的整數倍。無論哪種情況,都不會有任何已鎖定的單位缺少可將其釋放的證明。
| 區塊鏈 | 幣種 | 標準 | 託管 | 確認 | 小數位 |
|---|---|---|---|---|---|
| Ethereum | USDT、USDC | ERC-20 | 鎖定合約 | 32 個區塊 | 6 |
| Binance Smart Chain | USDT、USDC | BEP-20 | 鎖定合約 | 20 個區塊 | 18 位,傳輸時截斷為 8 位 |
| Tron | USDT | TRC-20 | 鎖定合約 | 20 個區塊 | 6 |
| Solana | USDT、USDC | SPL | 託管程式 | 已最終確定的時隙 | 6 |
八名守護者,六人簽署
守護者集合是一個有序的證明密鑰列表。當超過三分之二的守護者對某則訊息簽署時,該訊息即獲證明:這是驗證者集合的拜占庭門檻,應用於一個監察 Rand 驗證者無法從共識內部觀察的區塊鏈的委員會。其格式沿用 Wormhole,屬移植而非另起爐灶,使守護者、Solidity 驗證器與 Rust 驗證器可互相對照檢驗。
Rand 上的鑄造還需要第二個法定人數:同一批八名守護者中的六人以 Dilithium2 對同一摘要簽署,並綁定至 Rand 鏈,缺少任何一個法定人數的鑄造,Rand 均會拒絕。來源鏈上的釋放則仍然僅依賴 secp256k1 法定人數。
證明不等於授權
守護者證明的是發布。他們監察一個發出訊息的合約,等待確認,並對所觀察到的內容簽署,但不會解讀其載荷。若訊息層接受任何呼叫者的訊息,則任何能夠提交來源鏈交易的一方,都可在不攻破任何一把守護者密鑰的情況下,促成任意數量 zUSD 的鑄造:守護者的證明是真實的,因為該訊息確實已被發布。
阻止這種鑄造的並非簽名驗證,而是發出者綁定:目的鏈只會在證明來自該證明本身所指明的鏈上已登記的跨鏈橋合約時才接受。在無需許可的訊息層上,簽名有效並不意味著獲得授權,而此綁定正是承重的檢查。
何者限制損失範圍
以下各項均未使跨鏈橋成為無需信任。每一項都把失效由無界變為有界,或由無聲變為可觀察。
託管穩健性
定理 9.13每條鏈都會計算自身所持有的數額,並拒絕釋放超出該數額的資金;Rand 亦按每項儲備保存相同的計數,並拒絕超出該數的贖回。偽造的證明無法提取從未鎖定於該處的資金,因此無界的鑄造失效即轉為有界的託管失效。
發出者綁定
定義 9.7 · 推論 9.8證明只有在由該證明本身所指明的鏈上已登記的跨鏈橋合約發出時才會被接受。若無此項,任何能在來源鏈上發布訊息的人,都可在守護者如實簽署的情況下隨意鑄造。
重放保護
定義 9.10每項證明以其摘要為鍵,只可贖回一次,而每次贖回都會公布一個 nullifier。鑄造與釋放均無法被重放。
供應可審計性
定理 9.14屏蔽供應量等於公開鑄造量減去公開銷毀量,而對照託管的掛鉤條件,任何人無需打開票據即可核查。池內轉移按構造守恆價值,因此無法改變總量。
上限與暫停
備註 9.16在現時的 testnet 上,每個儲備於任何滾動 24 小時內最多可鑄造 100,000 zUSD,七個儲備合計最多 4,000 zUSD。一把暫停密鑰與守護者密鑰分開持有,可即時暫停鑄造,但不能恢復鑄造:恢復須由後量子守護者法定人數作出,該法定人數亦可更換暫停密鑰,而贖回在整個期間保持開放。來源合約各自設有暫停者及速率上限。這些措施限制風險敞口,但不能消除風險。
確認深度
守護者只會在來源鏈確認鎖定已結算後才簽署,因此遭區塊重組的存款不能支持任何鑄造。
最薄弱的環節
協議中的其他部分,最終都歸結為密碼學上的困難性,或歸結為對一個已質押、可罰沒的驗證者集合所適用的拜占庭容錯上限。橋接並非如此,論文亦明言這一點。zUSD 論文的命題 2.8 正是針對此類構造而提出論證;該命題原文照錄、未作改動,因為它依然成立。由於每一項 zUSD 的支持資產都是一條經證明的腿(attested leg),每一單位的保證取決於託管償付能力與雙重守護者門檻完整性兩者中較弱的一項。
- ›守護者密鑰的法定人數可以在每條鏈上釋放全部託管餘額。沒有欺詐證明,沒有質疑期,也沒有樂觀延遲。一個有效的法定人數簽名即是授權。
- ›守護者既無須質押保證金,Rand 的共識亦不能對其罰沒。此類橋接所蒙受的損失,包括 Ronin、Wormhole、Nomad 和 Harmony,均源於密鑰洩露及驗證漏洞,而非共識失效。
- ›若同一部機器持有六把密鑰,這部機器便是橋接本身。營運者、司法管轄區和密鑰硬件各自獨立,是部署上的必要條件,而非配置上的偏好。
- ›zUSD 是單一的匯集資產:即對 Rand 託管的債權,亦即對 Tether 和 Circle 的債權。無論持有人存入哪一種幣,都同時承擔兩家發行商的風險,另加守護者風險,而後者是遠為薄弱的一環。
- ›尚未進行獨立審計。合約自 2026 年 9 月 19 日起已部署於四條主網,並持有真實的 USDT,上限為每筆轉賬 100、每種代幣每日 1,000。目前所有守護者密鑰均由同一營運者持有:六把在獨立主機上,兩把在一部手提電腦上。
前沿
共識、隱私和歸屬均已達後量子安全:STARK 可靠性、384 位元的記錄雜湊,以及 Dilithium 簽名。基於 secp256k1 的守護者證明則不是,而釋放路徑目前仍僅依賴它們。量子對手可從已公開的公鑰還原每一把守護者密鑰,並釋放全部託管餘額。系統的後量子安全性是各組件中的最小值,而在釋放一側,此組件在遷移之前為零位元。
驗證者是 Rand 自身的執行層,該層已可驗證 Dilithium。現時每一次鑄造,除 secp256k1 法定人數外,還附有同一批守護者針對同一摘要作出的 Dilithium2 法定人數簽名,因此僅還原 secp256k1 密鑰已不足以偽造鑄造。自 chain 15 起,後量子法定人數可以輪換自身的集合以及暫停密鑰,每次輪換均由現任集合簽署;在 chain 20 上,輪換還須證明新密鑰確由持有者掌握,並於獲接納一日後生效。
Ethereum、Binance Smart Chain、Tron 和 Solana 原生驗證 secp256k1。在合約代碼中驗證 ML-DSA,現時需要數百萬 gas。在來源鏈推出後量子預編譯合約之前,釋放路徑仍只受經典密碼學保護,而 Rand 無法憑一己之力提前這個日期。
對營運者的啟示
殘餘風險敞口受託管額所限,而非受屏蔽供應量所限,並且隨着橋接用於資金流動而非儲存而收窄。在來源一側持有大額閒置餘額,正是令量子時代損失最大化的配置,因此託管上限應據此設定。信任最小化的替代方案已在系統的工具箱之內:以 STARK 驗證來源鏈的共識,可將橋接的假設縮減為該鏈加上 STARK 可靠性,並完全取消守護者集合。障礙在於證明成本和逐鏈的工程工作,而非欠缺基本原語。
實施狀況
已有一套參考實現:適用於 EVM 鏈和 Tron 的託管合約、Solana 上的託管程式、監察所有鏈並提供已組裝證明的守護者,以及一套針對傳輸格式的共用編解碼器。該編解碼器在 fullnode 中以 bridge-codec crate 的形式提供,使某一語言中傳輸格式的改動會令其他語言的測試失敗。在 Rand 一側,自屏蔽池 S3 階段起,全節點已實現接收的一半:證明會存入一枚由鏈根據已證明金額計算的 note,橋接所得的持倉是與 RAND 處於同一池中的 note,而銷毀是一筆附帶一個證明的交易。鏈透過其創世區塊中的一個章節啟用橋接。目前的 testnet chain 20 已啟用:其創世區塊內有八名守護者、八名後量子守護者、一把暫停密鑰,以及每日 4,000 zUSD 的全局鑄造上限,同時包含 zUSD 及其七個儲備,承接切換時尚未償還的 zUSD,其託管仍為此鎖定。其創世區塊指定了於 2026 年 9 月 30 日重新部署的 Ethereum、BNB Chain 和 Tron 橋接端點,並對每次鑄造和每次銷毀以 zUSD 收取 0.1%,因此供應量仍等於為其鎖定的託管。2026 年 9 月 20 日已在 chain 14 上就每條來源鏈各完成一次往返。本頁頂部的數字取自 chain 20。
合約、守護者和中繼器已公開於 github.com/randprotocol/bridge,已部署的地址及其交易載於其主網部署記錄。端點自 2026 年 9 月 19 日起已在 Ethereum、BNB Smart Chain、Tron 和 Solana 上運行,每種代幣上限為每筆轉賬 100、每日 1,000。託管持有真實價值:於 2026 年 9 月 30 日持有 10 USDT,支持流通中的 10 zUSD。尚未進行獨立審計,且由同一營運者持有所有守護者密鑰。