Cardano 零知识恢复工具在 Preview testnet 上完成完整钱包认领

一个 Cardano 零知识恢复工具已在 Preview testnet 上完成一次完整申领 在确认申领人掌控原始主种子后 将资产从托管合约转出。

该开源发布包含密码学电路 本地证明器 Plutus V3 验证器 形式化验证工作 测试交易以及名为 ReclaimGlobal 的原型界面。它将 Charles Hoskinson 早先披露的实验扩展为可公开审阅且具备链上运行结果的恢复流程。

在开发者 Phil 强调其架构 文档与证明系统后 该仓库获得了更多关注。随后 Hoskinson 转发了这份评述。

ReclaimGlobal 将钱包所有权与已救回资产关联

ReclaimGlobal 面向这样一种情形 资产已从受损凭证中转移并存入恢复合约。

受影响用户以只读模式连接受损钱包 在本地生成所有权证明 并选择一个新钱包接收资产。助记词仅保留在用户设备上 不会提交给合约 恢复方 或外部服务器。

一个独立的锁定流程允许运营者 救援者 或捐赠者将资产存入绑定所有者的 Cardano UTxO。随后 只有能够证明受影响的支付凭证源自相应主种子的用户才能领取资金。

该工具并不适用于已丢失助记词的用户。申领人必须仍然掌控原始种子 且资产需要先被置于托管结构中。已转移到该恢复流程之外的资金无法通过合约取回。

该仓库描述了一起涉及约 8,823 个受影响支付凭证的事件。其技术说明称 助记词 主种子 与链码未被泄露 相反 派生签名密钥因交易签名器中的确定性随机数缺陷而遭到破坏。

由于单个钱包凭证是通过单向运算由主密钥派生而来 被盗的派生密钥可能在不暴露原始种子的情况下被用来进行未授权的交易签名。恢复系统正是利用这一差异 将合法钱包所有者与仅持有受损凭证的攻击者区分开来。

Plutus V3 在不暴露种子的情况下验证所有权

所有权证明在本地通过运行于 BLS12-381 曲线之上的 Groth16 证明系统生成。生成的证明为 336 字节 底层电路约含 345 万个约束。

在托管合约释放任何资产之前 Cardano 的 Plutus V3 环境会先验证该证明。申领人的助记词 私钥 以及完整派生路径都不会上链公开。

新的目标凭证在密码学上与证明绑定。观察者无法复制交易并替换接收地址 因为更改目标会使申领失效。

验证器还会确认所请求的支付与托管数据中记录的应得额度相匹配。附加条件可防止合约向自身付款 或将资产退回受损凭证。

在 Preview testnet 上完成了两个初始里程碑。其一 五枚测试 ADA 被锁在验证闸门之后 并在节点接受有效证明后释放。其二 使用同一份证明但修改了一个字节的第二笔交易被拒绝。

随后 通过完整托管验证器测试了全流程恢复。存入五枚测试 ADA 为新创建的目标钱包生成证明 合约在释放资产之前验证了所有权 应得额度 与目标绑定。

后续的一次申领加入了更多防护 包括禁止向受影响凭证回付的规则 以及基于票据的已用申领追踪机制。该笔交易在 Cardano 的执行限制内成功结算。

该仓库还包含覆盖验证器决策逻辑的 Lean 4 证明 以及技术规范 电路代码 与多轮评审。仍有一处形式化衔接尚待完成 即在完整 R1CS 约束系统与规范见证关系之间 包括 SHA-512 与 Ed25519 组件。

主网使用需要额外的安全与治理控制

ReclaimGlobal 目前作为 Preview testnet 原型运行 多项面向生产的防护仍在开发中。

现有部署所用的验证密钥由单一运营者的可信设置产生。仓库称 这种模式适用于测试网开发 但不适合承载真实用户资产的系统。

Groth16 需要结构化的设置流程来生成证明密钥与验证密钥。若某个参与者保留了全部私密设置材料 从理论上可能伪造仍能通过验证的无效证明。

因此 拟议的生产模型采用多方仪式 独立贡献者各自加入随机性并销毁各自的秘密。仓库概述的流程包含公共随机性 已发布的贡献记录 以及对完成仪式的独立验证。

运营控制也尚未明确。文档指出 需要界定由谁创建资格名单 如何独立核验分配金额 以及在处理申领期间如何保护托管资产。

后续工作包括完善链上的已花费状态与作废器系统 加强编码防护 将原型转化为生产级 CIP-30 应用 并委托对电路 合约 与设置仪式进行全面外部审计。

这些在 Preview 上的交易已证明 Cardano 能在单笔交易内验证数百万约束规模的所有权证明并完成恢复付款。将系统推向生产现阶段取决于消除单一运营者信任 并为托管 资格 与申领授权建立透明规则。