文獻
Rand Protocol 已有印刷文本詳述。現行共有六份文件:協議論文(第三稿)、依據測試網絡所運行節點撰寫的參考實現論文、橋接報告、論述屏蔽美元的 zUSD 論文、獨立的安全性分析,以及投資者摘要。每份 PDF 均為權威原始來源,可供下載、引用與審計。設計存在局限之處,論文均明文說明,而不予略去。
- 白皮書STARK權益證明 · BFTEVM後量子
Rand Protocol
保密的任意計算
第三稿 · 2026 年 8 月,2026 年 9 月更新 · 73 頁
我們提出 Rand，一條權益證明區塊鏈：其拜占庭容錯（BFT）共識提供快速而確定的最終性，而每筆交易本身即是一份零知識證明。共識權重僅來自已綁定的質押：沒有任何計算能賦予投票權、選出領導者或決定分叉。鏈上確實包含大量在共識之外進行的證明工作：每個錢包為自己的交易生成一份 STARK；一旦啟用區塊級證明聚合，已綁定質押的聚合者便會透過對用戶證明進行遞歸 STARK 證明而賺取 RAND。驗證節點賺取其所提出區塊的費用；智能合約的語義與以太坊虛擬機（EVM）一致。本文闡明零知識方案本身——計算如何化為一張表，表如何化為一組多項式，而多項式又如何化為每筆轉賬約 1.4 MB 的證明，任何驗證節點都能在數毫秒內完成檢驗。Rand 是一條通用智能合約鏈，完全不設透明交易類型：每項計算——無論是代幣轉賬還是任意合約調用——從構造上即以保密方式執行。用戶持有屏蔽 RAND，以其支付燃料費，並執行任意代碼；其輸入、運算元及中間狀態從不出現在鏈上，而驗證節點只需驗證一份 STARK，即可確認執行正確無誤。EVM 提供執行所依據的語義，並以解釋器客體程式的形式置於電路之內，因此現有的 Solidity 字節碼無需修改即可運行；它並非與屏蔽路徑並行的透明執行路徑。
本修訂版亦提出可驗證證明者歸屬（VPA），但這僅是尚未實現的研究方向。運行中的鏈並不採用它：其錢包自行證明自己的交易，領導者以輪流方式選出，內存池並未加密，而唯一需要綁定質押的證明角色是聚合者登記冊，由首個涵蓋某一交易包的已最終確認聚合證明獲得報酬；第二部分開篇即說明這一現況，其中各定理陳述的是該提案，而非已部署的系統。原稿證明了私密交易的電路得到滿足，卻沒有說明證明如何分配給證明者、證明者按何種排序證明一個批次，也沒有說明驗證者如何得知提交證明的實體，正是在協議所激勵的條件下完成計算的實體。STARK 只證明電路得到滿足，並不證明其是在何種條件下得到滿足。我們指出，這一缺口帶來三個具體的攻擊面——證明者與驗證節點串謀、證明者側的 MEV，以及女巫攻擊／無從問責的工作——並分別加以形式化，繼而建議以可重新計算的分配信標、附有密封（門限加密）內存池的規範排序，以及抗量子的附證明憑證來堵塞這些缺口。據此，我們把原稿所稱「私密交易消除搶先交易」的論斷，重述為一條有條件的定理——運行中的鏈並不滿足其條件，因此在該鏈上，內容雖被隱藏，排序卻未受保護。
我們進一步調和原有安全分析中的三處內部不一致：（i）約 85 位的量子碰撞安全性（BHT 界）與摘要及參數表所稱 128 位抗量子安全性之間的矛盾，設計上以 384 位的轉錄雜湊，加上明確的各原語安全性分離定理加以解決（實現仍採用 256 位轉錄雜湊，約 85 個量子位）；（ii）未予明確規定的領導者選擇可驗證隨機函數（VRF），若以橢圓曲線實例化便可被 Shor 演算法破解，我們為此規定一個抗量子的承諾—揭示信標，配以基於雜湊的密碼學抽籤（尚未實現：運行中的鏈以輪流方式更替領導者，根本沒有 VRF）；（iii）規定不足的 Goldilocks 域，我們為此強制採用 k 次擴域，並把 FRI 的可靠性與查詢次數及磨礪（grinding）預算掛鈎。本修訂版亦把執行層由 Solana Virtual Machine 遷移至以太坊虛擬機（EVM），使 ERC-20 資產與 Solidity 合約納入屏蔽交易模型，並引入批次燃料費結算：由於以屏蔽 RAND 逐筆收取的燃料費，本身就是 EVM 調用（以及所涉 ERC-20 合約）的去匿名化指紋，因此燃料費在電路內被承諾至公開的量化檔位，並按每個批次扣除單一匯總費用，使鏈上留下的足跡是每批次一個總額，而非逐賬戶、逐調用的扣款。最後，我們給出一份密碼敏捷性遷移路線圖：先以 SNARK 上線，再升級至透明 STARK，最終強化至完全抗量子安全，歷時約 18 個月（並行化關鍵路徑上約 14 個月），每次過渡均設有關卡，使其只是參數變更，而非共識分叉。
2026 年 8 月的這一修訂版把屏蔽模型由價值轉移擴展至保密的任意計算：我們把轉賬關係推廣為建基於 STARK 證明虛擬機的通用執行關係，規定本地及委託 GPU 證明拓撲及其確切的保密邊界，並把此設計置於當前的格局之中比較，包括證明系統（Groth16、PLONK、Halo2、HyperPlonk、FRI-STARK）、通用 zkVM（RISC Zero、SP1、Cairo/Stwo、Miden、Jolt、OpenVM）、zkEVM rollup，以及隱私鏈（Aztec、Aleo、Miden、Zcash）；這些系統在燃料費支付與證明者委託方面的缺陷，直接促成了 RAND 屏蔽燃料費及 VPA 的設計。我們分析了激勵層所隱含的證明者市場，指出每份證明的成本由利用率而非能源決定，而飽和網絡的證明需求只需數十塊 GPU 即可滿足——因此證明者去中心化須以活性與保密性為理據，而非以安全預算為理據，因為可靠性並不取決於證明者集合。最後，我們規定如何透過經證明的鎖定鑄造橋，把外生美元抵押品——USDT 與 USDC——以屏蔽 z 資產的形式引入 Rand，使屏蔽池擁有穩定的記賬單位，而無需發行方在本鏈原生部署——否則，協議的支付敘事便會受制於第三方的路線圖，形成商業上的依賴。我們點出令此類橋接穩健、卻又最容易被遺漏的性質：守護者法定人數所證明的，是某則消息曾在被監察的鏈上發布，而非該橋接本身撰寫了該消息，因此在無許可的消息層上，簽名有效並不等於獲得授權，發出者綁定是承重的關鍵。我們證明了一個託管穩健性界限，使損失以每條鏈的託管額為上限，且與守護者假設無關；並說明屏蔽 z 資產的供應量仍可對照該託管額公開審計，而無需打開任何票據；同時指出橋接是系統的抗量子前沿：secp256k1 守護者簽名可被 Shor 演算法破解，因此無論 Rand 一側如何強化，在來源鏈推出抗量子預編譯之前，釋放路徑只具備經典安全性。
主要結果- 定理 5.3 — 燃料費支付的隱私洩漏
- 定理 7.9 — 批次燃料費隱私
- 定理 10.6 — 證明不蘊含授權
- 定理 10.14 — 託管穩健性
- Thm 10.19 — 橋接是後量子的前沿
- Thm 13.2 — 歸因缺口
- Thm 15.4 — 搶先交易:修正後且附帶條件
- Thm 15.9 — VPA 可靠性
- Thm 18.1 — 各原語的量子安全性分離
- Thm 19.2 — FRI 可靠性(參數化)
第三稿取代第一稿及第二稿第一稿(2025年12月)及第二稿(2026年5月的 VPA 修訂版)已撤回。早前分析本身的三項錯誤已予更正,而非輕輕帶過:128 位元後量子安全性的說法,與 256 位元雜湊的 85 位元量子碰撞界限相矛盾;領導者選舉所用的 VRF 若建基於橢圓曲線,將會被 Shor 演算法破解;而普通的 Goldilocks 域亦無法支撐所聲稱的 FRI 可靠性。執行層由 SVM 遷移至 EVM,雙代幣架構則簡化為僅有 RAND。2026年9月的更新已對照截至 chain 15 的參考全節點重新核對設計:Rand 明確定性為權益證明,零知識方案已完整寫明,而 VPA 則標註為運行中的區塊鏈並未採用的提案。
- 實現zkVM · RISC-VHotStuffChain 15testnet
Rand Protocol — 參考實現
已部署的屏蔽賬本與經 STARK 驗證的虛擬機
實現第三稿 · 2026 年 9 月 · 46 頁
傳統金融的結算系統預設保密:賬戶結餘和轉賬紀錄只有賬戶持有人、金融機構,以及在法律程序下的監管機構才可查閱,其他人一概無從得知。公共區塊鏈則恰恰相反。在 Ethereum 和 Solana 上,全局狀態及待處理交易隊列對所有參與者公開可見,令機構的訂單流暴露於有系統的搶先交易之下,每一宗穩定幣轉賬的交易對手和金額亦隨之披露。目前並無任何投入生產的協議,能同時兼備銀行賬本的保密性,以及公共區塊鏈的確定性結算、透明驗證和後量子安全性。
本文介紹 Randprotocol。這是一條旨在填補上述空白的 layer-one 區塊鏈,以下按其參考全節點的實現情況加以說明。原生資產 RAND 只以屏蔽池中的 note 形式存在:深度為 32 的 Poseidon2 承諾樹與 nullifier 集合取代了賬戶,每一宗轉賬都是固定的二入二出捆綁包,其有效性由一個透明的、基於雜湊的 STARK 證明確立,該證明所證明的是單一固定 RISC-V guest 程式的執行。同一證明系統亦支援保密的任意計算:RV32IM 程式按內容雜湊部署,調用時以執行證明取代其輸入,而區塊鏈則記錄八個公開輸出字。共識採用鏈式 HotStuff,具備按權益加權的法定人數、連續三個視圖的提交規則,以及由公開登記冊產生、按紀元推導的驗證者集合;權益從屏蔽池中質押,亦提取回屏蔽池。一條由守護者證明的橋接,將來自四條外部區塊鏈的資產以 note 形式存入。驗證者簽章採用 CRYSTALS-Dilithium2,note 信封則使用 ML-KEM-768 配合 ChaCha20-Poly1305。
我們先逐個組件描述其實現,再就已部署的參數展開形式化分析:由九表零知識虛擬機證明的捆綁包關係與調用關係,包括取代電路內斷言的污點累加器構造;將程式摘要與加鹽輸入承諾綁定起來的查找總線論證;正式生產配置的 FRI 可靠性(80 次查詢、20 位元 grinding、膨脹因子 8、Goldilocks 域的二次擴張),並分別按已證明的鄰近間隙界限與 ethSTARK 猜想表述;屏蔽池的價值平衡與供應量審計恆等式;以及感知紀元的共識規則之安全性與活性。
分析亦指出實現尚未具備的特性。費用、權益權重、屏蔽池邊界的存款金額及程式身份均為公開;現時的錢包會向被查詢的節點披露其打算花費的葉節點;一個 80 次查詢的證明約佔 1.3 MB(自 chain 14 起的四槽位捆綁包為 1.43 MB),令 4 MiB 的區塊只能容納三宗屏蔽轉賬(chain 14 起為兩宗;chain 15 把區塊提高至 20 MiB);區塊層級的證明聚合、罰沒機制,以及 EVM 和 SVM guest 程式,在基礎修訂版時仍未完成(此後 guest 程式已納入代碼庫,但在 tier-14 調用上限下,EVM 調用仍不獲接納;創辦團隊主導的三輪審計亦已完結;尚未進行任何獨立審計);而 GPU prover 亦未曾在硬件上運行。該軟件部署於一個有 26 個驗證者的測試網絡(自2026年9月29日起為 chain 17,所有驗證者均由創辦團隊營運),並不適合用於承載價值。
主要結果- Thm 5.8 — 知識可靠性(附帶條件)
- Thm 5.11 — 統計零知識
- Thm 5.12 — 按實際配置的 FRI 可靠性
- Thm 5.14 — 已部署系統各原語的安全性
- Thm 5.17 — 屏蔽池的價值平衡
- Thm 5.22 — 安全性
- Thm 5.24 — GST 之後的活性
- Thm 5.28 — 橋接並非後量子
依據 fullnode 26ab1d4 撰寫,並附有截至 8e64781 的補遺本文對系統的每項陳述,均以參考節點在 commit 26ab1d4(main 分支,2026-09-16)的狀態為準:屏蔽池、質押、以 note 及調用信封形式運作的橋接、zkVM 約束集 6、遞歸虛擬機,以及已合併但受創世區塊限制啟用的區塊層級聚合。節點其後有所變動之處,以標註的補遺記錄兩輪後續檢視:2026-09-24(d050259,v0.5–v0.5.5,chain 14 — 四槽位隱藏資產捆綁包、代幣登記冊、強化後的橋接)及 2026-09-27(8e64781,v0.5.6–v0.5.8,chain 15 — 調用標頭固定與層級上限、已凍結的 Poseidon2 常數、聚合綁定)。
- 橋接鎖定鑄造ECDSA · Dilithium2四條鏈
Rand 橋接
經證明的鎖定鑄造進入屏蔽池,並附後量子聯合簽章
技術報告,第一稿 · 2026年9月 · 13 頁
Rand 是一條保密區塊鏈,其價值以承諾的形式存在於屏蔽池之中,而非以透明結餘的形式存在。其支付應用需要一種穩定資產,但沒有發行方會在一條交易量不足的區塊鏈上原生部署。Rand 橋接把來自 Ethereum、BNB Smart Chain、Tron 和 Solana 的 USDT 與 USDC,匯入為單一的屏蔽美元 zUSD,並由這些區塊鏈上的託管資產按一比一提供支持。本報告說明橋接的實際構建:184 位元組的轉賬訊息及其兩層簽章 — 每則訊息均須經 secp256k1 守護者法定人數簽署,而每一次鑄入 Rand 更須有 Dilithium2 聯合簽章法定人數,目前兩者均為八取六;存款路徑,其終點是區塊鏈本身根據經證明金額推導出的 note;提款路徑,其中銷毀操作與其證明綁定,並按各鏈託管計數器放行資產;治理層面(守護者輪換附一日寬限期、明確上架,以及只有後量子法定人數才能解除的單向暫停);以及被橋接的區塊鏈對自身共識所施加的時鐘規則。
我們陳述並證明此構造所提供的各項性質 — 法定人數不可偽造性、發送方綁定的必要性、託管可靠性、供應量可審計性,以及不對稱的後量子界限(具 Shor 能力的對手能偽造放行,卻無法偽造鑄造)— 同時以同樣審慎的態度說明它並不提供的保證:守護者既無質押,亦不可被罰沒;而儘管八把密鑰中已有六把運行於各自的主機上,一個託管賬戶和一把營運者密鑰仍可觸及全部密鑰。文中亦報告部署地址、訊息大小、gas 成本及實際運行輪次的結果。
主要結果- Prop 5.1 — 無法重定向
- Thm 5.2 — 託管可靠性
- Thm 8.1 — 法定人數不可偽造性
- Thm 8.3 — 證明不等於授權
- Thm 8.4 — 橋接供應量的可審計性
- Thm 8.5 — 後量子不對稱性
協議論文跨鏈橋章節的配套文件按已部署的狀態說明跨鏈橋,記法與協議論文的跨鏈章節一致,內容亦與之相符:守護者集合 1(六取八 secp256k1)已於 2026-09-25 取代原有的六取五集合,而 Dilithium2 集合已於 2026-09-26 在 chain-15 創世區塊由六把密鑰增至八把。
- 屏蔽穩定幣全額儲備多鏈 · 多發行方Chain 15
zUSD — Rand 上全額儲備的屏蔽美元
在多鏈、多發行方的鎖定儲備之上進行保密穩定幣轉賬,且無錨定風險
2026 年 9 月 · 取代 zUSDT(2025 年 12 月,2026 年 8 月修訂)· 11 頁
zUSD 為全額儲備:每一單位均與一個美元穩定幣一對一掛鈎,該穩定幣存放於其原生發行所在鏈上的託管合約中——Ethereum、BNB Smart Chain 及 Solana 上的 USDT 與 USDC,以及 Tron 上的 USDT,合共七種儲備支持——持有人可隨時贖回其中任何一種。它刻意不是算法穩定幣,亦不是部分儲備穩定幣,因此不會對任何波動資產的價格產生反身性依賴,也不存在如摧毀 Terra 的 UST 那類死亡螺旋的風險面。該代幣存在於 Rand 這個屏蔽賬本上,因此自鑄造一刻起,它就是一枚屏蔽 note。每一環節均經過證明,因此每一單位的保證為 min(儲備償付能力, 守護者門檻完整性),並由六取八的 ECDSA 簽名與六取八的 Dilithium2 聯署簽名構成雙重門檻。
儲備不變式 S = Σ_b L_b 嚴格成立,並由單一賬本函數在構造上強制執行。本文逐項說明每種儲備支持所提供的保證,包括合併兩個發行方所帶來的新風險,並闡述部署中所設的限損機制:每種儲備支持各自及全局的滾動 24 小時鑄造上限、只能暫停的暫停密鑰、區塊時間的前向限制,以及託管合約上的釋放上限。本文亦明確指出尚未落實的部分:獨立的守護者營運方、每份託管合約上設有時間鎖的多重簽名管理員,以及無需依賴本項目自身瀏覽器即可核驗的儲備證明。
主要結果- 定理 2.6 — 不變式的保持
- 推論 2.7 — 可贖回性
- 命題 2.8 — 跨鏈橋對全額儲備的削弱
- 推論 2.9 — 各儲備支持的保證
- 命題 4.1 — 屏蔽下的公開可核驗性
2026 年 9 月 — 取代 zUSDT本文描述部署於 Rand chain 15 的設計,並在三方面有別於 zUSDT,而這三點現已體現於代碼中:代幣存在於 Rand 而非 Solana,故不存在需要屏蔽的透明形式;儲備橫跨兩個發行方及多條鏈,持有人可贖回為任何一種儲備支持;每一環節均為經證明的環節,由 ECDSA 與 Dilithium2 聯署簽名構成六取八的雙重門檻。命題 2.8 原文保留,因其依然正確;推論 2.9 則記錄合併兩個發行方所帶來的新風險。
- 安全分析後量子攻擊分類
Rand Protocol 安全分析
後量子密碼學基礎、抗攻擊能力及形式化安全保證
2025 年 12 月,2026 年 9 月校訂 · 13 頁
本文對 Rand 協議作出安全分析,並在經典與量子兩種敵手模型下給出形式化證明,涵蓋按權益加權的 BFT 共識(Rand 是權益證明鏈:任何算力均不賦予共識權重)、基於 STARK 的私隱系統,以及 CRYSTALS-Dilithium 與 Kyber 後量子原語。本文分析系統抵禦 51% 攻擊、長程攻擊、無利害關係問題、磨礪攻擊(grinding)、日蝕攻擊(eclipse)與女巫攻擊(Sybil)、搶先交易、時序攻擊及量子敵手的能力,並就每一項給出形式化界限與具體參數。
在標準格難題假設下,並按角色分配摘要長度——凡碰撞會破壞可靠性之處用 384 位,僅需抗原像性之處用 256 位——每一項原語均至少達到 128 位後量子安全;若不作此分配,同一構造僅達 85 位。系統的下限為 FRI 的可靠性:在 ethSTARK 猜想下至少為 100 位,在已證明的鄰近間隙界限下為 86 位,並可調校至 97 次查詢時可證明達 100 位,或在三次擴張下達 128 位。凡參考實現與設計不一致之處——256 位的記錄雜湊、無驗證者罰沒、輪流出任領導者、明文內存池——相關結果均有註明。
主要結果- 定理 2.3 — 量子碰撞抗性
- 定理 3.5 — STARK 的量子安全性
- 定理 3.6 — 整體後量子安全性
- 定理 4.4 — HotStuff 的安全性
- 定理 5.3 — 花費標記的不可關聯性
- 定理 6.8 — 搶先交易的緩解(有條件)
- 定理 7.1 — 經濟安全門檻
從屬於協議論文第 III 部分本文為協議論文安全部分的獨立配套文件;協議論文的安全部分為經校訂的權威論述,如有分歧,以其為準。2025 年 12 月的分析含有三項錯誤,已由草稿 3 更正;其後已對照草稿 3 及運行中的鏈作出校訂。
- 投資者摘要種子輪SAFT2026 年 10 月
Rand Protocol:投資者摘要
以雜湊證明實現私密且可編程的結算
2026 年 10 月 · 6 頁
公共區塊鏈公開了企業必須保護的資料:誰向誰付款、金額多少,以及每張訂單在成交前的內容,因此最大規模的資本仍置身鏈外。Rand 是一條第一層區塊鏈,其上每筆付款都是一張屏蔽票據(note),每宗交易都是一個零知識證明:網絡在不接觸輸入資料的情況下驗證規則已經執行,而查看密鑰可讓審計人員讀取競爭對手無從得知的內容。以 Rust 或 C 編寫的程式運行於 RISC-V zkVM 之上,由無需可信設置、以雜湊為基礎的 STARK 證明;美元則從四條鏈匯入,合為一種屏蔽美元 zUSD。
本摘要闡述問題、產品及其實測成本、按成熟程度劃分的應用場景、附已發表估計的市場、與 Aleo、Railgun、Quantus 等項目的比較、一年的研究以及三星期內重建為運行中測試網絡的歷程、代幣與各輪價格、種子輪(以每枚 $0.03 發行 1.1 億枚 RAND 的 SAFT,佔 10 億枚最高供應量的 11%)、團隊與風險。本文並非任何證券或代幣的要約。
主要結果- Chain 20 · v0.6.8
- 種子輪:每枚 RAND $0.03,完全攤薄估值 $30M
- 以 10 億枚最高供應量計的 SAFT
- 28 個版本,7 條測試鏈
源文件
五篇論文均以 LaTeX 撰寫,並以 tectonic 編譯。zUSD 的源文件已公開——上方其條目附有連結,因此文中每項陳述均可對照其出處檔案核實,並與同一代碼庫中已被取代的 zUSDT 源文件並列。其餘四篇論文的源文件尚未發佈;在發佈之前,上方的 PDF 即為其權威版本。其他所有公開內容——節點、錢包、瀏覽器——均位於 GitHub 組織之中。