Rand Protocol

无需许可 · 隐私 · 抗量子

面向美元稳定币的保密结算,支持 Binance Smart ChainSolanaTronEthereumBinance Smart ChainSolana, Tron, Ethereum, Binance Smart Chain

将 USDT 或 USDC 从 Solana、Tron、Ethereum 或 Binance Smart Chain 转入 Rand,即成为 zUSD:只有发送方和接收方能看到的数字美元。可兑现到四条链中的任意一条,按一比一兑换,转入收取 0.1%,转出收取 0.1%,两笔费用均以 Rand 上的 zUSD 收取,因此连手续费也保持私密。其设计可在量子计算机面前保持隐私。

阅读白皮书 运行节点 GitHub
对市场保密,对审计方开放
付款方 收款方 USDT 手续费
Acme Treasury Shenzhen Parts Co. 供应商发票 184,200.00 0.001
Acme Treasury M. Okafor 9 月工资 9,450.00 0.001
Acme Treasury L. Tanaka 9 月工资 12,800.00 0.001
Acme Treasury Northgate OTC desk 大宗交易 2,500,000.00 0.001

任何人用区块浏览器都能读到这些:你的供应商、你的薪资、你的交易规模。

Rand 像银行账户一样私密,专为以稳定币运转的现代经济而建。网络只记录每笔支付收支平衡的证明及其手续费。查看密钥由你保管,因此审计方或监管机构仍可查看你的记录。名称和金额仅为示意。

应用场景

保密是业务要求的场景

公共区块链公开一切:每一笔订单都是信号,每一个持仓都是披露,而资本最雄厚的机构拒绝接受这种取舍。

全部 53 个应用场景,按行业划分
资本市场

代币化股票与链上股权交易

股票是尚未上链的最大资产类别,原因并非技术。对冲基金不会在可能被抢先交易的地方执行策略。在 Rand 上的市场内,它们可以放心交易。

谁会采用。 对冲基金、资产管理机构、经纪交易商、代币化股权发行方

支付与资金管理

保密薪资发放与企业资金管理

2025 年,企业通过稳定币完成了约 2260 亿美元的供应商付款,每一笔都是公开的。大规模薪资发放、资金管理和交易是仍然缺失的资金流,它们都需要对金额保密。

谁会采用。 以稳定币付款的企业、DAO、财务团队

监管、身份与合规

对市场保密,对监管机构透明

对保密金融的合规质疑是真实存在的,回应之道不是与之争辩,而是从一开始就把披露机制设计进去。

谁会采用。 经纪交易商、负有反洗钱义务的基金、首席合规官

性能

在运行中的网络上实测

以下每个数字都取自运行中的节点,而非预测:全节点运行于 testnet 链 13 至 15,证明在普通笔记本电脑上按生产配置完成。 测量方法 →

证明系统
STARK
基于 Goldilocks 的 FRI · 无需可信设置 · 自链 18 起使用约束集 8
验证
~32 ms
转账证明,密钥已预热,笔记本电脑单核 · 尚未在验证节点主机上测量
证明
~40 s
在笔记本电脑上用全部核心完成任意资产的一笔转账 · 授权证明 2–6 秒,捆绑证明 32–45 秒,于链 20 上测得
链
4
ETH · BSC · TRON · SOL
出块时间
1.2 s
于链 15 上测得,链 20 上同样约为 1.2 秒(浏览器数据,2026-10-01) · 链式 HotStuff BFT
验证节点
26
在 testnet 链 21 上,由团队运营 · 法定人数为 18
私密调用
6–31 s
在笔记本电脑上证明一个程序 · 第 12 层级 6–9 秒,第 14 层级 24–31 秒,于链 20 上测得
程序
RISC-V
最高第 14 层级的客户程序 · EVM/SVM 已转译,在已停用的链 13 上演示,目前不可调用

一笔 zUSD 或 RPL 转账需要多长时间

从 rand send 到最终确认约 45 秒,其中几乎全部是证明,在发送方自己的机器上完成。RAND、zUSD 和每一种 RPL 代币的证明都相同,因此没有哪种资产更快或更慢,也无法通过耗时区分它们。zUSD 提现、注册 RPL 代币和铸造 RPL 代币各自也只含一个证明,耗时相同。zUSD 充值还要等待源链的确认和守护者的签名,这取决于该链。

  1. 1. 证明
    ~40 s
    在发送方的笔记本电脑上,使用全部核心 · 捆绑证明 32–45 秒、授权证明 2–6 秒,于链 20 上测得;也可使用发送方配对的证明者
  2. 2. 验证
    ~32 ms
    在准入阶段,位于共识循环之外 · 密钥已预热,笔记本电脑单核
  3. 3. 打包
    ~1.2 s
    下一个区块,按实测平均间隔计
  4. 4. 最终确认
    ~3.6 s
    在三链提交规则下再经过三个区块;此后不再发生重组

证明在本地完成,这是有意的设计:花费密钥永远不会离开钱包。 证明成本 · 证明的工作原理

储备与流通中的 zUSD

已锁定稳定币
—
所有已接受的币种,覆盖全部四条链
USDT 已锁定
—
Tether USD
USDC 已锁定
—
USD Coin
zUSD 供应量
—
代币注册表中的总量,与已锁定资产一比一对应

正在从浏览器读取桥数据… 储备如何运作 →

概览

Rand 是什么?

Rand 是一个面向美元稳定币的私密支付网络。从 Solana、Tron、Ethereum 或 Binance Smart Chain 存入 USDT 或 USDC,扣除 0.1% 的跨链桥费用后,即可收到等额的 zUSD,这是只有你和交易对手能看到的数字美元。可随时提现到四条链中的任意一条,同样扣除该费用。

公共区块链公开每一个余额和每一笔支付,这正是企业不把薪资、供应商条款和交易放在上面的原因。Rand 的账本中没有账户,也没有余额,因此竞争对手无从读取。同样的隐私保护不仅适用于支付,也延伸到整个程序,业务逻辑同样保持保密。

每一枚 zUSD 都由其来源链上持有的真实 USDT 或 USDC 作为支撑,储备任何人都可随时核查。无需信任新的发行方。只有一项依赖,我们在此直言:一个独立的守护者小组负责确认每条链上的充值与提现,论文中阐明了该小组能做什么、不能做什么。

储备

储备来自美元已有的每一条链

USDT 和 USDC 原生流通于许多条链上,若要求在 Rand 需要的每个地方重新发行它们,储备容量就会取决于一项不由我们决定的部署决策。因此,每枚代币都锁定在其原生链上的托管合约中,并由一个 t-of-n 门限守护者集合予以证明,其中超过三分之二的成员签名;Rand 依据汇总额铸造 zUSD,以链根据已证明金额计算出的票据形式发放。退出沿同一路径反向进行,且入口链并不限定出口链:锁定在 Tron 上的 USDT 可以作为 Ethereum 上的 USDT 离开,前提是该链持有足够的储备来覆盖。

  1. 1
    锁定

    USDT 或 USDC 存入 Solana、Tron、Ethereum 或 Binance Smart Chain 上的托管合约,并在其中被冻结。

  2. 2
    铸造

    守护者在门限 t 下证明该笔锁定;任何人均可提交该证明,Rand 为接收方追加一张充值票据。

  3. 3
    转账

    zUSD 以票据形式在屏蔽池内流转,隐藏发送方、接收方和金额。

  4. 4
    赎回

    销毁会花费这些 note 并发出一条消息;守护者(guardian)对其出具证明,托管方随即在持有人指定的任一腿上释放 USDT 或 USDC,金额扣除 0.1% 的手续费。

链 接受的币种 标准 托管方式 信任假设
Ethereum USDT · USDC ERC-20 锁定合约 程序正确性 ∧ 守护者门限
Binance Smart Chain USDT · USDC BEP-20 锁定合约 程序正确性 ∧ 守护者门限
Tron USDT TRC-20 锁定合约 程序正确性 ∧ 守护者门限
Solana USDT · USDC SPL 托管程序 程序正确性 ∧ 守护者门限
储备不变式

zUSD 的总供应量永远不会超过所有腿上所持储备之和。

S ≤ Σc ∈ C Rc

稳定币论文证明了该不变式在每一次状态转换中都得以保持,其中每个 Rc 都是其所在链上可公开读取的余额。这一保证是有条件的:只有在被攻破的守护者少于 t 个时才成立,因为证明(attestation)是该链路上确已发生锁定的证据。屏蔽(shielding)隐藏的是供应量的分布,而非其总量,因此总量仍可审计——但在这些链路上,它提供的是检测而非预防,并且各链上的余额无法在同一时刻被联合观察。

代价

如果储备与代币位于不同的链上,实际的保证是 min(储备偿付能力, 桥的完整性),而不仅仅是储备偿付能力。

这最初正是反对使用桥的论据,至今并未撤回。将储备锁定在其他链上,是有意引入桥完整性这一项,以换取任何单一发行决策都无法约束的储备容量。因此守护者门限是承重环节:t 个守护者被攻破,就可以在没有对应锁定的情况下铸币,由此产生的风险敞口以各链的托管量为上限。

由于 Rand 在自己的链上结算,没有任何一条腿与铸币位于同一处,每条腿都带有这一项。zUSD 在各腿之间是可互换的,因此持有人无法选择只持有某一条腿的份额——一个单位就是对总池的索取权。它还汇集了两家发行方:无论持有人存入的是哪种币,一枚 zUSD 都同时承担 Tether 和 Circle 的风险。要避免这一切,就只能把币留在它原本所在的链上,并放弃屏蔽,这是一项我们无法通过设计消除的真实代价。

后量子

标准化的格密码学

验证者签名采用 ML-DSA(Dilithium),note 加密采用 ML-KEM(Kyber),二者均已由 NIST 标准化。承诺采用 Poseidon2 而非 Pedersen,原因在于 Pedersen 的隐藏性是计算意义上的,可归约为离散对数假设,而 Shor 算法可在多项式时间内解决该问题。验证采用透明的 STARK,其可靠性建立在抗碰撞哈希之上,不需要可信设置,也不需要配对曲线。

下面的分类才是实际起作用的分类:不可撤销的性质,会被在之后任何时刻获得能力的对手追溯性地破坏;而可更新的性质在每次使用时都会重新建立,可以在那一时刻到来之前完成迁移。

阅读论文中的后量子调和 →
共识签名
ML-DSA · Dilithium2
可更新 · 后量子
note 机密性
ML-KEM · Kyber768
不可撤销 · 后量子
承诺的隐藏性
Poseidon2
不可撤销 · 后量子
证明可靠性
STARK · FRI
可更新 · 后量子
哈希
BLAKE3 · Poseidon2
区块与状态 · note、树与证明
结算
Rand · chained HotStuff BFT
按权益加权的法定人数,三链提交

论文按原语和角色分别陈述量子安全性——384 位的转录哈希、256 位的仅原像哈希、Dilithium2 签名、ML-KEM-768 的 note 加密、扩域上的 FRI 可靠性——其依据是 Module-LWE、Module-SIS,以及被建模为量子随机预言机的 SHA-3 / BLAKE3。节点目前的转录哈希是 Poseidon2,这是开发者文档中列出的一处配置缺口。按角色给出的陈述取代了早期草稿中适用于整个协议的 128 位声明,该声明与 256 位哈希的 85 位量子碰撞界相矛盾,因而被撤回,而不是被加以限定。

开始在 Rand 上构建

阅读论文,运行节点,复刻源代码。协议是开放的,密码学已见诸印刷,其局限也如实陈述。

浏览论文 运行节点 开发者文档