论文
Rand Protocol 已有印刷版文献。目前有六份现行论文:第三稿的协议论文、依据测试网络所运行节点撰写的参考实现论文、跨链桥报告、关于屏蔽美元的 zUSD 论文、独立的安全性分析,以及投资者摘要。每份 PDF 均为权威来源——可下载、引用和审计。设计存在局限之处,论文均予以说明,而非略去不提。
- 白皮书STARK权益证明 · BFTEVM后量子
Rand Protocol
机密的任意计算
第 3 稿 · 2026 年 8 月,2026 年 9 月更新 · 73 页
我们提出 Rand,一条权益证明区块链:其拜占庭容错(BFT)共识提供快速的确定性终局性,且每一笔交易都是一个零知识证明。共识权重仅来自已绑定的质押:没有任何计算会赋予投票权、选出领导者或决定分叉。链上确实包含大量与共识并行进行的证明工作:每个钱包为自己的交易生成一个 STARK;一旦启用区块级证明聚合,已绑定质押的聚合者(aggregator)便通过对用户的证明生成递归 STARK 来赚取 RAND。验证者(validator)赚取其所提议区块的手续费;智能合约语义为以太坊虚拟机(EVM)的语义。本文阐释零知识方案本身——一次计算如何变成一张表,这张表如何变成一组多项式,而这些多项式又如何变成每笔转账约 1.4 MB 的证明,任何验证者都能在数毫秒内完成检验。Rand 是一条通用的智能合约链,完全不含透明交易类型:每一次计算——无论是代币转账还是任意合约调用——在构造上就是机密执行的。用户持有屏蔽的 RAND,用它支付 gas,并执行任意代码,其输入、操作数和中间状态从不出现在链上,而验证者只需验证一个 STARK,即可确认执行正确。EVM 提供执行所依据的语义,以解释器客户程序(guest)的形式置于电路之内,因此现有的 Solidity 字节码无需修改即可运行;它并不是与屏蔽执行并列的透明执行路径。
本修订版还提出了可验证证明者归属(Verifiable Prover Attribution,VPA),作为一个尚未实现的研究方向。运行中的链并未使用它:其钱包自行证明自己的交易,其领导者按轮询方式选出,其内存池未加密,其唯一需要绑定质押的证明角色是聚合者登记簿,其中首个覆盖某一交易束的已最终确认聚合获得报酬;第二部分以这一现状开篇,其定理是关于该提案的陈述,而非关于已部署系统的陈述。原始草稿证明了私密交易的电路得到满足,却没有说明证明如何分配给证明者(prover)、证明者按何种顺序证明一个批次,也没有说明验证者(verifier)如何得知提交证明的实体,就是在协议所激励的条件下完成计算的那个实体。STARK 证明电路得到满足,却不证明其是在何种条件下得到满足的。我们表明,这一缺口带来三个具体的攻击面——证明者与验证者的合谋、证明者侧的 MEV,以及女巫攻击/不可追责的工作——对每一个加以形式化,并提议用可重新计算的分配信标、带有密封(门限加密)内存池的规范排序,以及抗量子的携证明证明书来封闭它们。据此,我们把草稿中“私密交易消除抢跑”的论断重述为一个条件性定理——运行中的链并不满足其条件,因此在该链上内容是隐藏的,但排序并未受到保护。
我们还调和了原安全性分析中的三处内部不一致:(i)约 85 比特的量子碰撞可靠性(BHT 界)与摘要/参数表中 128 比特抗量子声明之间的矛盾,在设计中通过 384 比特的转录哈希,加上一条明确的逐原语安全分离定理予以修正(实现仍使用 256 比特的转录哈希,约 85 个量子比特);(ii)未加规定的领导者选择 VRF,若基于椭圆曲线实例化,则会被 Shor 算法破解,对此我们规定了一种带有基于哈希的密码学抽签的抗量子承诺—揭示信标(尚未实现:运行中的链按轮询轮换领导者,完全没有 VRF);(iii)规定不足的 Goldilocks 域,对此我们要求使用 k 次扩域,并将 FRI 的可靠性与查询次数和 grinding 预算相联系。本修订版还将执行层从 Solana 虚拟机迁移到以太坊虚拟机(EVM),使 ERC-20 资产和 Solidity 合约纳入屏蔽交易模型,并引入批量 gas 结算:由于以屏蔽 RAND 逐笔收取的 gas 本身就是 EVM 调用(进而也是所涉 ERC-20 合约)的去匿名化指纹,gas 在电路内被承诺到公开的量化档位,并按每个批次汇总为一笔费用扣除,因此链上留下的足迹是每批次一个总额,而不是逐账户、逐调用的扣除。最后,我们给出一份密码敏捷性迁移路线图:以 SNARK 起步,升级为透明的 STARK,并在约 18 个月的日历周期内(并行化关键路径上约 14 个月)强化至完全抗量子安全,每一次过渡都设有闸门,使其只是参数变更而非共识分叉。
2026 年 8 月的这一修订版将屏蔽模型从价值转移扩展到机密的任意计算:我们把转账关系推广为基于 STARK 证明的虚拟机之上的通用执行关系,规定了本地与委托式 GPU 证明拓扑及其确切的机密性边界,并将该设计置于当前的证明系统(Groth16、PLONK、Halo2、HyperPlonk、FRI-STARK)、通用 zkVM(RISC Zero、SP1、Cairo/Stwo、Miden、Jolt、OpenVM)、zkEVM 汇总(rollup)以及隐私链(Aztec、Aleo、Miden、Zcash)的格局之中,后者在 gas 支付和证明者委托方面的缺陷直接催生了 RAND 的屏蔽 gas 与 VPA 设计。我们分析了激励层所蕴含的证明者市场,表明每个证明的成本由利用率而非能耗决定,饱和网络的证明需求只需几十块 GPU 即可满足——因此证明者的去中心化必须以活性和机密性为理由,而不能以安全预算为理由,因为可靠性并不取决于证明者集合。最后,我们规定了外生的美元抵押品——USDT 和 USDC——如何通过经证明的锁定—铸造跨链桥,作为屏蔽 z 资产导入 Rand,这使屏蔽池拥有稳定的记账单位,而无需发行方原生部署——否则这种商业依赖会使协议的支付愿景受制于第三方的路线图。我们分离出使这类跨链桥可靠、却又最容易被遗漏的性质:守护者法定人数所证明的,是某条消息已在被监视的链上发布,而不是该消息由跨链桥所生成,因此在无许可的消息层上,签名有效并不意味着获得授权,发送方绑定起着承重作用。我们证明了一个托管可靠性界,无论守护者假设如何,都将损失限制在各链的托管额之内;表明屏蔽 z 资产的供应量可对照该托管额公开审计,而无需打开任何 note;并指出跨链桥是系统的抗量子前沿:secp256k1 守护者签名会被 Shor 算法破解,因此无论 Rand 一侧如何加固,在源链提供抗量子预编译之前,释放路径都只具备经典安全性。
主要结果- 定理 5.3 — gas 支付的隐私泄露
- 定理 7.9 — 批量 gas 隐私
- 定理 10.6 — 证明不蕴含授权
- 定理 10.14 — 托管可靠性
- 定理 10.19 — 跨链桥是后量子安全的前沿
- 定理 13.2 — 归因缺口
- 定理 15.4 — 抢跑交易:修正版及其前提条件
- 定理 15.9 — VPA 可靠性
- 定理 18.1 — 各原语的量子安全性分离
- 定理 19.2 — FRI 可靠性(参数化)
草案 3 取代草案 1 和草案 2草案 1(2025 年 12 月)和草案 2(2026 年 5 月的 VPA 修订版)已撤回。早先分析中的三处错误已予以更正,而非含糊带过:128 位后量子安全的说法与 256 位哈希的 85 位量子碰撞界相矛盾;领导者选举所用的 VRF 若基于椭圆曲线,会被 Shor 算法攻破;而普通的 Goldilocks 域无法承载所声称的 FRI 可靠性。执行层从 SVM 迁移到 EVM,双代币结构合并为仅 RAND 一种。2026 年 9 月的更新依据截至链 15 的参考全节点重新核对了设计:明确将 Rand 表述为权益证明,写明了零知识方案,并将 VPA 标注为运行中的链并未采用的提案。
- 实现zkVM · RISC-VHotStuff链 15testnet
Rand Protocol — 参考实现
已部署的屏蔽账本与经 STARK 验证的虚拟机
实现第 3 稿 · 2026 年 9 月 · 46 页
传统金融中的结算系统默认是保密的:账户余额和转账记录只对账户持有人、金融机构可见,在法律程序下对监管机构可见,除此之外对任何人都不可见。公有区块链则颠倒了这一属性。在 Ethereum 和 Solana 上,全局状态和待处理交易队列对每个参与者都是可观察的,这使机构的订单流暴露于系统性的抢跑交易之下,并泄露每一笔稳定币转账的交易对手和金额。目前没有任何生产级协议能够把银行账本的保密性,与公有链的确定性结算、透明验证和后量子安全结合起来。
本文介绍 Randprotocol,一条旨在弥合这一差距的一层区块链,并以其参考全节点的实现为准。原生资产 RAND 仅以票据(note)的形式存在于完全屏蔽的资金池中:深度为 32 的 Poseidon2 承诺树和作废符(nullifier)集合取代了账户,每笔转账都是固定的两输入两输出捆绑包,其有效性由一个透明的、基于哈希的 STARK 证明来确立,该证明证明的是对单一固定的 RISC-V 客户程序的执行。同一证明系统还支持保密的任意计算:RV32IM 程序按内容哈希部署,调用时以执行证明代替其输入,链上记录八个公开输出字。共识为链式 HotStuff,采用按权益加权的法定人数、连续三个视图的提交规则,以及由公开登记册产生、按纪元(epoch)推导的验证者集合;权益从资金池中质押,并提取回资金池。一座由守护者背书的跨链桥将来自四条外部链的资产以票据形式存入。验证者签名采用 CRYSTALS-Dilithium2,票据信封采用 ML-KEM-768 与 ChaCha20-Poly1305。
我们先逐个组件描述该实现,再针对已部署的参数展开其形式化分析:由九表零知识虚拟机证明的捆绑包关系与调用关系,包括替代电路内断言的污点累加器构造;绑定程序摘要与加盐输入承诺的查找总线论证;生产配置下的 FRI 可靠性(80 次查询、20 位 grinding、膨胀系数 8、Goldilocks 域的二次扩域),分别在已证明的邻近间隙界和 ethSTARK 猜想下给出;资金池的价值平衡与供应量审计恒等式;以及纪元感知共识规则的安全性与活性。
分析指出了该实现尚未具备的性质。手续费、质押权重、资金池边界处的存入金额以及程序标识均为公开;当前钱包会向被查询的节点披露其打算花费的叶子;一个 80 次查询的证明约占 1.3 MB(自链 14 起的四槽捆绑包为 1.43 MB),使 4 MiB 的区块至多容纳三笔屏蔽转账(自链 14 起为两笔;链 15 将区块提高到 20 MiB);区块级证明聚合、罚没机制以及 EVM 和 SVM 客户程序在基础修订版时尚未完成(此后这些客户程序已纳入代码库,但 EVM 调用在 tier-14 调用上限下不被允许,并且三轮由创始团队主导的审计已经结束;尚未进行独立审计);GPU 证明器也尚未在硬件上运行过。该软件部署在由 26 个验证者组成的测试网络上(自 2026-09-29 起为链 17,所有验证者均由创始团队运营),不适合用于承载价值。
主要结果- 定理 5.8 — 知识可靠性(有条件)
- 定理 5.11 — 统计零知识
- 定理 5.12 — 实例化后的 FRI 可靠性
- 定理 5.14 — 已部署系统的各原语安全性
- 定理 5.17 — 资金池的价值平衡
- 定理 5.22 — 安全性
- 定理 5.24 — GST 之后的活性
- 定理 5.28 — 跨链桥不是后量子安全的
依据 fullnode 26ab1d4 撰写,并附有至 8e64781 的补遗关于该系统的每一项陈述均指位于提交 26ab1d4(main 分支,2026-09-16)的参考节点:屏蔽资金池、质押、以票据和调用信封形式实现的跨链桥、zkVM 约束集 6、递归虚拟机,以及已合并但受创世配置控制的区块级聚合。节点发生变化之处以带标记的补遗记录了此后的两轮梳理:2026-09-24(d050259,v0.5–v0.5.5,链 14 — 四槽隐藏资产捆绑包、代币登记表、加固后的跨链桥)和 2026-09-27(8e64781,v0.5.6–v0.5.8,链 15 — 调用头固定与层级上限、冻结的 Poseidon2 常量、聚合绑定)。
- 跨链桥锁定铸造ECDSA · Dilithium2四条链
Rand 跨链桥
以守护者背书的锁定铸造方式接入屏蔽资金池,并附后量子联合签名
技术报告,草案 1 · 2026 年 9 月 · 13 页
Rand 是一条保密区块链,其价值以承诺的形式存在于屏蔽资金池中,而不是透明的余额。其支付场景需要一种稳定资产,而没有哪个发行方会在一条没有交易量的链上原生部署稳定币。Rand 跨链桥将来自 Ethereum、BNB Smart Chain、Tron 和 Solana 的 USDT 与 USDC 作为单一的屏蔽美元 zUSD 导入,并由这些链上的托管资产一比一提供支持。本报告说明已构建的跨链桥:184 字节的转账消息及其两层签名——每条消息都需 secp256k1 守护者法定人数签名,每次向 Rand 的铸造还需 Dilithium2 联合签名法定人数,目前均为八取六;以链本身根据已背书金额推导出的票据为终点的存入路径;销毁与其证明绑定、并依据各链托管计数器放行的提取路径;治理层面(带一天宽限期的守护者轮换、显式上架、只有后量子法定人数才能解除的单向暂停);以及被桥接的链对其自身共识所施加的时钟规则。
我们陈述并证明该构造所提供的性质——法定人数不可伪造性、发出者绑定的必要性、托管可靠性、供应量可审计性,以及不对称的后量子界(具备 Shor 能力的攻击者可以伪造放行,但无法伪造铸造)——同时同样审慎地说明它不提供什么:守护者既无需质押,也不可被罚没;并且尽管八个密钥中的六个现在运行在各自独立的主机上,但同一个托管账户和同一个运营者密钥仍然可以触达全部密钥。文中还报告了部署地址、消息大小、gas 成本以及线上轮次的结果。
主要结果- 命题 5.1 — 不可重定向
- 定理 5.2 — 托管可靠性
- 定理 8.1 — 法定人数不可伪造性
- 定理 8.3 — 背书不等于授权
- 定理 8.4 — 被桥接供应量的可审计性
- 定理 8.5 — 后量子不对称性
协议论文桥接章节的配套文档按已部署的形态说明该桥,所用记法与协议论文跨链一节相同,内容与之一致:守护者集合 1(八取六 secp256k1)已于 2026-09-25 取代原有的六取五集合,Dilithium2 集合则在 2026-09-26 的 chain-15 创世时由六个密钥扩充为八个。
- 屏蔽稳定币全额储备多链 · 多发行方Chain 15
zUSD——Rand 上的全额储备屏蔽美元
无锚定风险的机密稳定币转账,基于多链、多发行方的锁定储备
2026 年 9 月 · 取代 zUSDT(2025 年 12 月,2026 年 8 月修订)· 11 页
zUSD 实行全额储备:每一单位都由一枚美元稳定币一比一支持,该稳定币存放于其原生发行所在链上的托管合约中——Ethereum、BNB Smart Chain 和 Solana 上的 USDT 与 USDC,以及 Tron 上的 USDT,共七种支持资产——并可随时兑换为其中任意一种。它有意不采用算法型或部分储备型稳定币的设计,因此对任何波动性资产的价格都不存在反身性依赖,也不存在摧毁 Terra 旗下 UST 的那类死亡螺旋风险。该代币存在于屏蔽账本 Rand 之上,因此自铸造之时起就是一枚屏蔽票据(note)。每一环节都经过证明,因此每一单位的保障等于 min(储备偿付能力, 守护者门限完整性),并由八取六的 ECDSA 签名与八取六的 Dilithium2 联合签名构成双重门限。
储备不变式 S = Σ_b L_b 严格以等式成立,并由账本中的一个函数在构造上强制执行。本文逐项给出每种支持资产所提供保障的表述,包括合并两家发行方所带来的新风险,并阐述本次部署所具备的损失限制机制:每种支持资产及全局各自适用的滚动 24 小时铸造上限、只能暂停的暂停密钥、区块时间的前向上界,以及托管合约上的释放上限。本文也明确指出尚未到位之处:独立的守护者运营方、每个托管合约上带时间锁的多重签名管理员,以及无需借助项目自有浏览器即可核验的储备证明。
主要结果- 定理 2.6——不变式保持
- 推论 2.7——可赎回性
- 命题 2.8——桥接对全额储备的削弱
- 推论 2.9——各支持资产的保障
- 命题 4.1——屏蔽下的公开可验证性
2026 年 9 月——取代 zUSDT本文描述在 Rand chain 15 上部署的设计,与 zUSDT 相比有三点不同,这些变化现已体现在代码中:代币存在于 Rand 而非 Solana 上,因此不存在需要屏蔽的透明形态;储备既跨越多条链,也跨越两家发行方,持有者可兑换为任意一种支持资产;每一环节都是经过证明的环节,由 ECDSA 与 Dilithium2 联合签名构成的八取六双重门限保障。命题 2.8 原样保留,因为它依然成立;推论 2.9 则记录了合并两家发行方所带来的新风险。
- 安全分析后量子攻击分类
Rand 协议安全分析
后量子密码学基础、抗攻击能力与形式化安全保证
2025 年 12 月,2026 年 9 月校订 · 13 页
对 Rand 协议的安全分析,在经典与量子两种敌手模型下给出形式化证明,涵盖按权益加权的拜占庭容错共识(Rand 是权益证明链:任何计算都不会带来共识权重)、基于 STARK 的隐私系统,以及 CRYSTALS-Dilithium 与 Kyber 后量子原语。本文分析了对 51% 攻击、长程攻击、无利害关系攻击、磨砺攻击(grinding)、日蚀攻击、女巫攻击、抢跑、时序攻击及量子敌手的抵御能力,并为每一项给出形式化界限与具体参数。
在标准格困难性假设下,并按角色分配摘要长度——凡碰撞会破坏可靠性之处采用 384 位,仅需原像抗性之处采用 256 位——每个原语都至少达到 128 位后量子安全性;若不做这种分配,同样的构造只能达到 85 位。系统的下限由 FRI 可靠性决定:在 ethSTARK 猜想下至少为 100 位,在已证明的邻近间隙界下为 86 位,可调节至 97 次查询时可证明的 100 位,以及三次扩域时的 128 位。凡参考实现偏离设计之处——256 位的转录哈希、无验证者惩罚(slashing)、轮询式领导者、明文内存池——各项结果中均有说明。
主要结果- 定理 2.3——量子抗碰撞性
- 定理 3.5——STARK 量子安全性
- 定理 3.6——整体后量子安全性
- 定理 4.4——HotStuff 安全性
- 定理 5.3——花费标识(nullifier)不可链接性
- 定理 6.8——抢跑缓解(有条件)
- 定理 7.1——经济安全门限
从属于协议论文第三部分本文是协议论文安全部分的独立配套文档;协议论文的安全部分是经过校订的权威论述,如有分歧以其为准。2025 年 12 月的分析含有 Draft 3 所纠正的三处错误;此后已对照 Draft 3 与运行中的链进行了校订。
- 投资者摘要种子轮SAFT2026 年 10 月
Rand Protocol:投资者摘要
基于哈希证明的隐私可编程结算
2026 年 10 月 · 6 页
公有区块链公开了企业必须保护的信息:谁向谁付款、付了多少,以及每一笔订单在成交前的内容,因此最大规模的资本池一直没有上链。Rand 是一条第一层(layer-1)区块链,其上每一笔支付都是一个屏蔽票据(note),每一笔交易都是一个零知识证明:网络无需看到输入即可验证规则已被执行,而查看密钥(viewing key)则让审计方能够读取竞争对手无法读取的内容。以 Rust 或 C 编写的程序运行在 RISC-V zkVM 上,由无需可信设置的、基于哈希的 STARK 证明,美元则从四条链汇入,成为一种屏蔽美元 zUSD。
本摘要阐述了问题、产品及其实测成本、按成熟度划分的用例、附有公开估计的市场、与 Aleo、Railgun、Quantus 等项目的比较、一年的研究以及三周内重建为在线测试网络的过程、代币与各轮价格、种子轮(以每枚 0.03 美元的价格发行 1.1 亿枚 RAND 的 SAFT,占 10 亿枚最大供应量的 11%)、团队以及风险。本文不构成对任何证券或代币的要约。
主要结果- 链 20 · v0.6.8
- 种子轮:每枚 RAND 0.03 美元,完全稀释估值 3000 万美元
- 基于 10 亿最大供应量的 SAFT
- 28 个版本,7 条测试链
源文件
全部五篇论文均以 LaTeX 撰写,并使用 tectonic 构建。zUSD 的源文件是公开的——可通过上方对应条目中的链接访问,因此其中的每一项陈述都可以对照其出处文件进行核验,同一仓库中还有已被取代的 zUSDT 源文件。其余四篇论文的源文件尚未发布;在发布之前,上方的 PDF 即为其权威版本。其他所有公开内容——节点、钱包、浏览器——都位于 GitHub 组织中。