區塊鏈如何保守秘密：鏈上隱私的三種答案

撰文：Mario Chow，IOSG

摘要

公鏈把每一筆金額都攤在明面上。在真實的資產負債表進場之前，這不算問題。針對它有三條路：自己建一條隱私網絡，Zcash、Monero、Canton 都是；把隱私加裝到以太坊上，先是 Tornado Cash，然後 Railgun，再到 Zama；或者乾脆不公布數據------又是 Canton。

每一種都是拿隱蔽性去換功能性。既藏得住一切、又跑得動一切的東西，沒人做出來過。

需求是真的，也有據可查。摩根大通 2024 年驗證了加密態的機構金融跑得通，2026 年把自己的存款代幣發在了 Canton 上。一筆被三明治攻擊的兌換要吐掉 0.3% 到 0.8%。機構現貨 OTC 交易量一年漲了 109%，同期前二十家交易所只漲 9%；40% 的機構已經把一半以上的交易挪到螢幕之外成交。

但隱私不等於安全升級。它能降低你被挑中的概率，真被盯上之後一點用都沒有，出了事追回還更難。它順便替 Zcash 藏了一個能憑空印幣的漏洞，藏了四年。

錢都在資產裡，不在服務裡。隱私類代幣上壓著大約 250 億美元。整個賽道所有協議一年加起來大概只收 600 萬美元手續費；Monero 和 Zcash 有史以來一共賺了 300 萬美元；Zama 已經把 5.95 億美元搬過自己的邊界，估算收到的是 840 到 84,000 美元------因為它按比特收費，不按基點收費。

結論仍然是看多。需求驗證過了，技術不再是瓶頸，2027 年 7 月起的監管還會把市場推向可審計的隱私。缺的只是價格，這是全篇最好解決的問題。所以這筆交易該下在最終敢收費的那一方身上。

問題出在哪：公開賬本把不該公開的都公開了

區塊鏈是一份共享的賬本，記錄誰擁有什麼。網絡裡每台機器都存一份一模一樣的副本，每筆支付都寫進所有副本裡。中間沒有人裁定什麼是真的，誰都可以自己去核對賬本。陌生人之間不用互信也能用它，靠的就是這一點。

代價是這份賬本對所有人開放。你的賬戶叫地址，說白了就是一長串字母和數字。任何人把地址粘進區塊瀏覽器這種免費網站，就能讀完它的一生：手裡有什麼、付給過誰、付了多少、哪一分鐘付的。不用登錄，不用許可，也沒法退出。

▲ A block explorer. Every address, every amount, readable by anyone, forever.

有十年時間這都不太要緊：鏈上的錢不多，用的人也都是化名。真實的資產負債表一進場，這事就不再無害了。

想想一份公開賬本實際公布了什麼。在鏈上發薪的公司，等於公布了工資單。持有未平倉頭寸的基金，等於公布了倉位、入場價，和會被強平的價格。給供應商付款的企業，等於公布了供應商名單和帳期。而任何持有大額餘額的個人，公布的是一個足以讓自己值得被搶的數字。

有兩件事把它從理論問題變成了急事。一是穩定幣，設計上錨定一美元、背後有銀行裡真實美元支撐的代幣，現在的交易量已經不小。二是代幣化的現實世界資產，也就是做成代幣的債券、基金和房產，正帶著受監管機構一起進場。這些用戶不可能接受「所有人都看得見金額」當入場條件。

所以問題好說，難解：怎麼把數字藏起來，同時還讓成千上萬的陌生人驗證沒人作弊？

誰真的在為此掏錢：損失能用基點算出來的那些人

隱私一直有一套說辭。監控不好，自由很好，諸如此類。但說辭養不了產品。2025 到 2026 年真正變了的是：具體的人開始因為公開賬本漏了東西而損失具體的錢，然後他們出來找東西買。

不是看誰討厭被監控，而是看公開賬本在反覆地讓誰掏錢，而這筆錢換成一份私密賬本。

▲ Who pays for privacy on chain, plotted by how onchain the loss is against whether anyone is paying to stop it.

交易者：被自己的訂單流搶跑，損失能按基點算

你的交易在成交前先躺在一個公開隊列裡，機器人讀到它，搶在你前面買，再賣給你的成交。這就是三明治攻擊。截至 2025 年 10 月的一年裡，以太坊上大約發生了 95,000 次，抽走約 6,000 萬美元，被夾的一筆兌換損失 0.3% 到 0.8%。

這裡的買方是專業玩家，損失能用基點算清楚。所以隱私在這個場景賣的是執行質量，不是信念。

永續合約平台上的公開倉位：暴露是持續的

帶著倉位的話，這比三明治更糟，因為暴露是連續的。永續合約交易所上每個倉位都是公開的，連強平價格都看得到，誰都可以把價格往那兒推。光 Hyperliquid 一家，2026 年 4 月的月成交量就在 4,320 億美元左右。

平台的反應是商業的，不是意識形態的。Aster 上線了隱藏訂單，Paradex 和 Hibachi 賣倉位隱私，Zama 在 2026 年 7 月把保密詢價（Confidential RFQ）放進了私測，第 6 節會拆開講。

被打上標籤、又必須賣出錢包：需求最強，討論最少

一隻基金的解鎖份額放在某個錢包裡，Arkham 和 Nansen 早就給它掛上了實名標籤，解鎖日期誰都查得到。錢一動，市場就搶在它前面，下個季度再來一次。

這塊收入已經存在，只是流向了別處。截至 2025 年底的一年裡，機構現貨 OTC 交易量增長 109%，前二十大交易所只增長 9%；40% 的機構把 OTC 列為首選執行場所，一半以上的交易走在螢幕之外。一個電話就能服務的市場，就是這麼來的------因為公開場所會漏。

會被抄走的策略：幾乎沒人為此付錢

跟單工具能在幾個區塊內復刻一個賺錢地址，於是金庫管理人的調倉決策不是在幾週裡慢慢衰減，而是在執行那一刻就死了。這不是躲政府，是躲另外十二個盯著同一張面板的同行。幾乎沒人為阻止它掏錢，這恰恰是這個象限有意思的地方。

搬上公鏈的受監管賬簿：需求真實，卻被許可制軌道接走了

超過 300 億美元的代幣化現實世界資產停在公鏈上，而銀行不可能實時公布自己的持倉。那銀行到底想不想要這東西？有一個案例，兩個方向的答案都給了。

2024 年 11 月，摩根大通的區塊鏈部門在自家沙盒裡跑了 Project EPIC，基於 Zama 的 fhEVM，演示了加密態的基金申購、盲標拍賣，以及在加密數值上直接結算，設計上連摩根大通自己都看不到細節。但那只是沙盒，Zama 也只是幾家供應商之一。等到 2026 年 1 月摩根大通真要選地方發存款代幣，它去了 Canton，一條許可制網絡。

所以機構需求真實、有據可查，接走它的卻是許可制軌道，不是公鏈密碼學。

工具箱：四種保密辦法，區別只在秘密放在哪

這個賽道裡每個項目，都是拿同樣這四種想法裡的一兩種搭起來的。真正區分它們的問題很簡單：秘密放在哪裡。

▲ The four primitives, sorted by where the secret actually lives.

代價過去是速度，這也是本文過時最快的一段。有好幾年，對 FHE 一個公允的批評是它每秒只能跑二十來筆交易，普通鏈能跑上千筆。這個差距基本已經填上，比做這事的人自己預期的還快。

沒有哪一種能全面勝出。真實產品都是兩種拼著用：密封芯片換速度，再加一張零知識收據證明芯片沒亂來；或者用 FHE 存隱藏狀態，再用零知識證明校驗輸入。

還有第五種選擇，乾脆繞開密碼學：只把數據發給有權看的人。這就是 Canton，也是銀行喜歡它的原因。

第一種答案：從一開始就把網絡建成私密的

最早的嘗試是圍繞「藏」來設計一整條網絡，而不是給現成的網絡打補丁。這條路上有兩個幣領先，下的注卻完全相反。第三個案例是為銀行造的，不是為個人，但屬於同一家族。

Zcash：隱私是個開關，而這正是它十年的軟肋

【摘要（純文本，可能為空】）：

Zcash 是自己的一條鏈，本質上是比特幣式的數字現金，加裝了一個私密模式。它有兩種地址：透明地址跟比特幣完全一樣，什麼都露；屏蔽地址藏住發送方、接收方和金額。把錢搬進私密那一側叫屏蔽（shielding），搬出來叫解屏蔽（deshielding）。

藏的活是 zk-SNARK 幹的，那是零知識證明的一種緊湊形式。你花掉屏蔽的 ZEC 時，錢包會發一張很短的證明，說明這筆支付帳對得上、也沒有一枚幣被花兩次。維護網絡的機器校驗這張證明，然後接受它，全程不知道誰付給了誰、付了多少。

有一個設計選擇定義了後面的一切：隱私是可選的，而且逐筆選。聽著很友好，同時也是弱點，因為藏身靠的是人多。屋裡只有你一個人戴面具，面具就等於沒戴。Zcash 生命中的大半時間，多數 ZEC 都停在透明池裡，私密那群人一直很稀薄。

大多數人把 Zcash 當成一個東西，它其實是四個池。分清誰是誰，第 8 節裡 2026 年那個漏洞才讀得懂。通常的概括是：Sprout 證明私密貨幣可行，Sapling 讓它可用，Orchard 讓它不再依賴可信設置。

▲ Zcash's shielded pools over ten years, with the shielded share below and the incidents marked.

關於 Zcash 還有一點值得知道，那是持有它而不是使用它的理由：屏蔽過的 ZEC 不帶歷史。一枚幣過了池子，身上就不再掛任何軌跡，每一單位都能和其他單位互換。這個特性叫可替代性（fungibility），也是合規部門在透明鏈上真正頭疼的東西------在透明鏈上，你可能收到一枚三任持有人之前被用於犯罪的幣，然後把麻煩一起繼承下來。

Monero：隱私默認打開，根本沒有開關

Monero 也是自己的一條鏈，選擇正好相反：沒有公開模式可選。每筆支付對所有人都是私密的，所以也不存在一個需要加入的小私密池------整條鏈就是那群人。

直到最近，它靠的是三樣工具而不是 zk-SNARK。環簽名把真幣混進誘餌裡藏住發送方，觀察者看到十六個可能來源，不知道哪個是真的。隱匿地址給每筆支付生成一個全新的一次性地址，藏住接收方。RingCT 藏住金額。

▲ How Monero hides the sender, the receiver and the amount.

2026 年初 Monero 上線了一次重大升級 FCMP++，用零知識成員資格證明換掉了環簽名。實際效果是：你藏進去的那群人從十六個誘餌，變成了這條鏈上有史以來的每一筆支付，超過 1.5 億筆。

▲ Monero's anonymity set after FCMP++.

Canton：什麼都沒隱藏，因為什麼都沒共享

這個家族的第三個成員不是幣，也因此常被隱私類研究漏掉。但 2026 年最大的一筆機構決策就落在它這裡，漏掉它是個錯誤。

Zcash 和 Monero 接受「帳本要向所有人廣播」這個前提，再用密碼學把內容藏起來。Canton 直接否掉了這個前提。 它沒有一份人人都要驗證的共享帳本。每個參與方只收到自己作為當事方的那部分交易，由一門叫 Daml 的語言在合約層面強制執行。你不相關，就永遠收不到這份數據，也永遠不知道這筆交易發生過。一個叫 Global Synchronizer 的組件負責排序、確認有效，同時看不到內容。

▲ The same three payments on a public chain and on Canton, showing who receives which rows.

所以秘密是靠「從來不發出去」保護的，有權看的人讀到的是明文。注意這一套沒用到第 3 節四種工具裡的任何一種：沒有零知識證明，沒有 FHE，儘管外界長期混淆，也沒有 MPC。Daml 自稱是一門用於多方應用（multi party applications）的語言，聽起來像多方安全計算，含義完全是另一回事。完整性靠密碼學：每個參與方收到的是哈希，替代它讀不到的那些分支。保密性純粹是「誰被發了什麼」的問題。

驗證環節的倒轉很有意思。以太坊上每個驗證者重新執行每一筆交易，所以所有人必須看到所有東西。Canton 上是交易的當事方自己驗證，各方只重跑自己那些分支，然後投票。一個仲裁者按確認策略統票，只看得到哈希。所以這裡沒有全局重執行來抓串通，安慰是：只有已經在你合約內部的當事方才能傷害你。

摩根大通給 JPM Coin 選了它，2026 年 1 月宣布、全年分階段推進，理由是實用而不是理念。隱私默認打開，不用操心人群夠不夠大。沒有共享池，第 8 節裡 Circle 那種凍結在這裡發生不了。每個參與方都是有身份的法律實體，對受監管銀行來說這是硬要求，不是妥協。結算在各應用之間是原子的。同行也已經在上面了，包括高盛和紐約梅隆。

它放棄的東西同樣實在。沒有無需許可的可組合性，流動性被圍牆圈著。隱私建在訪問控制上而不是數學上，所以有權查看的交易對手能看到全部，被入侵的參與節點就會漏。它不抗審查------對銀行是特性，對這一切最初的初衷是取消資格。即使一切正常，還有三樣東西會漏：找零金額（取決於代幣模型怎麼寫）、誰在托管你的參與節點，以及排序器看到的「誰在給誰發消息」。

Canton Coin（代碼 CC）隨 Global Synchronizer 主網在 2024 年 7 月上線，用來支付應用和基礎設施費用、獎勵運行網絡的運營者，沒有預挖也沒有預售，頭十年大約可鑄造 1,000 億枚。截至 2026 年 7 月下旬價格在 0.12 美元附近，市值接近 48 億美元，已經是一個前二十的資產。

這個數字值得停一下，它重新界定了整個賽道。為銀行造的許可制網絡，代幣價值大約是 Zama 的三十五倍。

三者並排看

三行話就能撐起這個論點。兩個幣都能把你的金額對所有人藏住，但兩個都跑不了哪怕一個應用。Canton 能跑應用，能把金額對除交易對手以外的所有人藏住。而且 Canton 不需要人群來藏身，因為根本沒有一份共享帳本可以藏進去，這也繞開了困擾 Zcash 十年的那個弱點。

兩者兼得的東西，至今沒人做出來。第 6 節結尾有一張圖，看這個權衡有多一貫。

隱私幣的路在哪斷了：它做得成，但活在島上

隱私鏈把自己的本職幹得不錯，但它住在一個島上。

先說現實摩擦。它是獨立的鏈，配獨立的代幣，資產得搬進去再搬出來。而人們真正拿來交易的美元、真正在用的借貸協議，全在另一邊------以太坊和 Solana 上。

不過這個島已經沒那麼孤立了。還有第二種解法，跟「把隱私搬到以太坊」毫無關係：把隱私鏈留在原地，只讓它變得可觸及。

▲ Buying shielded ZEC with and without a centralised exchange in the path.

NEAR Intents 做的就是這件事，也是 Zcash 2025 年復甦的一大原因。你聲明自己想要什麼，比如把比特幣換成 ZEC，一個互相競價的求解者網絡算出怎麼跳鏈完成，你只簽一次名。Zcash 自己的錢包把這套接進來了，用戶可以從另一條鏈買入屏蔽的 ZEC，或者賣出，全程不碰中心化交易所，也不暴露自己的 Zcash 地址。

截至 2026 年 3 月，走 NEAR Intents 的 ZEC 累計交易量達到 15 億美元，其中 6 億來自錢包自帶的兌換產品（2025 年 10 月上線）。

所以孤島問題真實存在，但它是一條光譜而不是一道牆，而且有兩個互相競爭的答案：把隱私搬到錢已經在的地方，這是本文剩下的內容；或者把隱私留在原地、修好周邊管道，這更便宜，而且已經在跑了。
然後是更大的局限：這些鏈只做錢。 上面沒有智能合約（Canton 除外），而智能合約就是那些讓一條鏈除了轉帳還能幹別的事的小程序------放貸、借入、付息、跑一個市場。你可以持有私密現金、發送私密現金。你不能拿它賺收益、不能當抵押品，也不能接進任何已經存在的東西。
隱私自己也要交稅，Zcash 和 Monero 各交了一半。Zcash 把藏身做成可選，人群就只有「願意麻煩一下的人」那麼多。Monero 把藏身做成強制，造出了行業裡最強的人群，也把自己弄下了受監管交易所。2027 年起歐洲規則會再收緊一道，第 9 節回到這點。
第二種答案：把隱私加裝到人們已經在用的鏈上
---------------------
另一種思路幹脆不搬家。錢和應用都留在以太坊上，在上面加一層保密性。不要新鏈，不要跳鏈橋，不要新錢包。
有三代人試過這件事，每一代的存在都源自上一代做不到的那件事。按順序讀，順序本身就是論點。
**第一代：Tornado Cash，以及「混幣器」是怎麼變成罵人話的**
把它想成一個換幣窗口。你往池子裡存一個固定面額（0.1、1、10 或 100 ETH），拿到一張秘密憑據。之後提款到一個全新地址，用一張零知識證明說明你擁有池子裡某一筆未花費的存款，但不說是哪一筆。舊地址和新地址之間的關聯就斷了。你的人群，是所有存了同一面額的其他人。
產品就這麼多。錢停在裡面是惰性的，不生息也不幹事，固定面額還意味著你沒法轉任意金額。它切斷一條關聯，不給你一個私密餘額。
結局是法律層面的，不是技術層面的。OFAC 在 2022 年 8 月制裁了這些合約。2024 年 11 月，第五巡迴上訴法院認定 OFAC 越權，理由是一份無人控制的不可變合約不屬於任何人的財產，合約在 2025 年 3 月被移出制裁名單。然後 2025 年 8 月，開發者 Roman Storm 因合謀經營無牌資金傳輸業務被定罪，陪審團在洗錢和制裁罪名上僵持，檢方要求重審。
代碼贏了，開發者沒贏。這個結果能解釋本節其他地方你會注意到的一件事：兩個後繼者都特意強調自己不是混幣器。這句話在做法律工作，不是技術工作。
Tornado 還有兩個特徵被帶進了之後的一切。你的人群只有存過同一面額的人，所以一筆尺寸異常、時點異常的提款會把自己去匿名化，這和搞垮 Zcash 用戶的是同一種行為層面的失敗。另外，誠實用戶沒有任何辦法自證誠實。乾淨的錢從池子裡出來，和被盜的錢長得一樣，交易所幾乎只能把那個地址來的一切都當被污染的處理。
Tornado 做不到的事，就是下級台階存在的全部理由。它藏的是你的歷史，不是你的持倉。你能模糊錢從哪來，卻沒法持有一個私密餘額，因為錢停在池子裡什麼都不做。
**第二代：Railgun，一個你真能用的屏蔽池**
Tornado 是換幣窗口，Railgun 就是以太坊上一個還能對外付款的私密銀行賬戶。你把代幣屏蔽進它在以太坊（還有 Arbitrum、Polygon 和 BSC）上的池子，池子內部由零知識證明藏住發送方、接收方和金額。
它和 Tornado 的區別值得說準，因為人們總把兩者混為一談。Tornado 只收固定面額，一次性，在新地址上退回同樣面額。Railgun 收任何支持代幣的任意金額，維護一個持續的私密餘額，允許你在屏蔽內部付給另一個 Railgun 用戶，也允許你不先解屏蔽就去碰 Uniswap 之類的東西。Tornado 的人群是同一面額的其他存款人，Railgun 的人群是那條鏈上的整個池子。
最清楚的理解是：Railgun 就是把 Zcash 的屏蔽池用智能合約重建了一遍，建在已經有美元和應用的那條鏈上。這讓它的隱私強於 Zama，因為它藏的是交易圖譜，不只是圖譜上的數字。
不過「伸進 DeFi」到底指什麼，有一個重要限定。Railgun 幫你在 Uniswap 上兌換時，它會解屏蔽金額，在公鏈上以明文執行這筆兌換，再把輸出重新屏蔽，全部裝在一筆原子交易裡。所以交易本身是公開的，被藏住的是「這是你」。Railgun 匿名化的是行為人，不是數值，這意味著它不保護你免於三明治：機器人看到待執行的兌換和它的尺寸，不在乎背後是誰。
它還有一個更優雅的合規答案，直接脈胎於 Tornado 的致命缺口。Private Proofs of Innocence 讓用戶生成一張零知識證明，證明自己的資金不來自已知的非法名單，同時不揭露它們究竟從哪來，代價是附帶一小時延遲。所以你可以既私密、又能被證明不是小偷------這是 Tornado 從沒允許過的。
實際用法是通過一個叫 Railway 的錢包：屏蔽、交易，想出來的時候解屏蔽。Vitalik Buterin 2023 年公開用過它，也為大致這個形狀的合規方案說過話，這對該路線的可信度只有好處。
接下來這段該給本節其餘部分降降溫。Railgun 在四條鏈上共屏蔽 9,000 萬到 1.1 億美元，累計屏蔽交易量約 51.6 億美元，協議收入歷史累計 1,300 萬美元，其中 460 萬來自過去一年。Zama 持有 3,960 萬美元，2026 年上半年交易量 4.52 億美元。口徑不完全可比------Railgun 2021 年就上線了，Zama 主網到 2025 年 12 月才開------但方向不含糊。在所有能拿到的數字上，零知識的在位者都比 FHE 新人更大，而且它已經在收錢了。
有兩個弱點值得點名，兩個都很少被提。池子就是人群，所以 Railgun 把 Zcash 的結構性問題整個繼承下來了：在約 1 億美元的屏蔽規模上，人群算體面，不算深厚，一變稀隱私就變弱。更糟的是，釋放到四條鏈把那個人群拆成了四個更小的，正好和匿名集想要的方向相反。第二，手續費流進的是 Railgun DAO 金庫，不是直接歸代幣，所以持有 RAIL 和持有這個協議的經濟利益，是兩筆不同的交易。
那為什麼還會有第三代？因為一個很容易漏掉的限制：Railgun 藏得住你的持倉，但兩個人的持倉永遠碰不到面。零知識證明的是關於你已經持有的數據的事實，它沒法在別人的隱藏狀態上做計算。沒有盲標拍賣，沒有加密訂單簿，也沒有能在自己讀不到的存款上做算術的金庫。這個缺口就是接下來一切的理由。
**第三代：Zama，以及把你已經持有的美元包一層**
你拿普通 USDC，把它包成 cUSDC------同一個美元，餘額加密了。ERC-20 是以太坊上每個普通代幣都遵循的標準配方，ERC-7984 就是同一份配方，只是把餘額藏起來。包的時候付一筆小額費用，隨時可以拆回普通 USDC。
*▲ Wrapping USDC into cUSDC*
它藏了什麼，又沒藏什麼。加密的是兩樣東西：每筆轉帳的金額，和你的實時餘額。餘額是更大的那個戰利品------普通 USDC 上，任何人都能永久看到你持有 420 萬美元；cUSDC 上那個數字永遠讀不到。
仍然公開的是你的地址、對手的地址，和時間。合約必須知道要更新誰的餘額，地址就得放在明文裡。交易圖譜完整留著。Zama 藏的是寫在邊上的數字，不是邊本身。
實際後果值得直白說出來，因為這是最容易往樂觀方向誤讀的地方。用 cUSDC 給三十個員工發薪，所有人照樣看得到你付給了那三十個地址、什麼時候付的。你藏住的是薪酬，不是雇傭這件事。供應商同理：藏住的是帳期，不是供應商名單。敏感的東西是一個數量時，它保護你；敏感的東西是一種關係時，它作用很小。
有一個例外，是結構性的而不是密碼學的。中間坐著一個合約時（金庫和詢價就是這樣），鏈上顯示的是你在和合約說話，不是在和交易對手說話。存進保密金庫，不會揭露是誰在借你的錢；直接付給一個人，就會揭露你付給了誰。
**在不解鎖的前提下做算術**

Zama 給以太坊和其他兼容鏈加了一層保密層，Solana 在規劃裡。讓它成立的是第 3 節那個 FHE 思路。網絡需要確認你錢夠，再更新兩個餘額，全程不能看到任何一個數字。FHE 讓它可以直接對鎖住的盒子做加減，產出一個鎖住的答案。

這正是隱私幣做不到的事。零知識證明能證明你自己這筆支付有效，卻沒法在別人隱藏的餘額上做新的算術。FHE 可以。

▲ How FHE computes on locked boxes

沒有人持有主密鑰

最直接的擔心是：某處某家公司握著一把能解鎖一切的鑰匙。Zama 的答案是讓這樣一把完整的鑰匙不存在於任何一個地方。

十八個運營者跑這套系統，分兩種活。五個協處理器執行加密算術。十三個密鑰持有方（統稱 KMS）各自只拿密鑰的一個碎片，任何東西被解密之前，十三個裡至少要有九個配合。一個網關負責派活，並校驗運營者之間意見一致。ZAMA 代幣用於支付驗證輸入和解密的費用，運營者還要拿它做保證金質押，作惡就沒收。

▲ Who runs Zama

這是一個假設，不是一齣事故。「沒人握有主密鑰」這句話建立在兩個條件上：十三個持鑰節點裡作惡的不超過三分之一；以及這些節點運行所在的 AWS Nitro 飛地真的守得住。第二個條件屬於硬體信任。

一個已上線的例子：Morpho 上的私密收益

第一個用上這整套東西的產品是一個儲蓄金庫。金庫就是一個池子：收存款、把錢放貸出去、給存款人付息。

你把 USDC 屏蔽成 cUSDC 存進去。它不直接進------那樣一落地就暴露了你的體量------而是和別人的存款一起排隊約一天湊成一批。這一批關閉時，網絡只解密這一批的總額，單筆存款始終不解密，然後把這筆匯總金額投進 Morpho 上 Steakhouse 的 Prime USDC 金庫。那個金庫是普通的、公開的、審計過的，利率約 4%，另加一筆上線獎勵。你拿到它的一份加密份額，以及你的收益。

這不是混幣器。沒有任何東西被掺混、改道或者通過中介洗白。錢落進一個誰都能查的公開金庫，唯一被藏住的事實是每個人各出了多少。代價是：你的隱私只能和你所在那一批一樣好，所以系統要等到同行的人足夠多才動手。

▲ Private yield on Morpho

第二個已上線的產品：保密大宗交易

金庫藏的是你存了多少。下一個產品藏的是你交易了多少，商業上更有意思的是後者。

先看它針對的問題，這個規模測算是本文最強的需求論據。大額交易不在公鏈上發生，它們在 OTC 台子上發生，趨勢方向也有據可查：截至 2025 年底的一年裡，機構現貨 OTC 交易量增長 109%，前二十大交易所只增長 9%，40% 的機構把 OTC 列為首選場所。跟傳統市場的類比是公平的，不是宣傳：美股已有約 59% 的成交量在公開交易所之外完成，光暗池在 2026 年一季度就創下 40.3% 的紀錄，而這些場所存在的目的只有一個------不亮出手就把大單做掉。

所以這個產品底下那個洞察是對的。我們花了十年造可編程、可驗證的交易基礎設施，機構最後還是在 Telegram 群裡談大宗，因為那是唯一不被人狙擊的辦法。

下面用一個真實交易對把整套機制走一遍，帶數字。假設你手裡有 1,000,000 ZAMA，已屏蔽成 cZAMA，想換成美元。中價按 0.25 美元算，你要賣的是約 250,000 美元，而這個代幣全部屏蔽流通量只有 600 萬美元。這些數量是舉例用的整數，不是真實成交，比例才是重點：在公開交易所上，相對那點流通量的這麼一筆單，對機器人來說是份禮物。

▲ A 1,000,000 cZAMA sale, with the dealer quotes and a table of who can read which field.

第一步裡那個小把戲值得停下看看，它是整個設計最巧妙的部分，而且不花錢。你發出去的是兩筆轉帳而不是一筆：真正要賣的 cZAMA，加上一筆金額為零的 cUSDC 腿。兩個金額都加密，觀察者只看到兩條方向相反、尺寸未知的腿，分不出這是賣還是買。藏住「你在交易哪個資產」的原理相同，官方承諾放在後續版本。

在興奮之前先讀那張圖的右側列，因為那裡正是宣傳與機制分道揚鑣的地方。公開的搶跑機器人確實看不到你的訂單，所以三明治消失了。但白名單上的做市商會解密你的意圖，也能看到你的體量。它們看不到你的方向，這是巧妙的一部分，它們也看不到彼此的報價。然後勝出者會被告知方向，以便完成結算。所以最終有一家專業做市商知道你的整筆交易，而少數幾家實時知道你的體量。這是一個 OTC 台子的信任形狀，而不是一個均名場所的。

第三步才是為整個技術選型正名的那一步。在不解密任何一方的前提下比較兩份加密報價、選出更高的那個，正是 FHE 能做、零知識證明做不到的事。

進展要說準。它是邀請制私測，開了三個交易對：cUSDT 對 cUSDC、cZAMA 對 cUSDC、cSteakcUSDC 對 cUSDC。公開上線計劃在 2026 年 9 月，之後再上多鏈。目前還沒有有意義的交易量。

第三個交易對才是商業上重要的那個。它讓管理人能進出一個生息金庫倉位，既不用解屏蔽，也不用等贖回期。策略之間的輪換，正是很多配置者真正賺錢的地方，而洩露輪換就是他們把錢賠掉的方式。

裡面到底裝了什麼，以及那告訴了你什麼

Zama 每季度公布屏蔽價值的構成，這份拆解比頭條數字有信息量得多。

▲ Zama's shielded value by asset class to 30 June 2026, with volume alongside it.

有四件事搶眼，只有一件是好聽的。

金庫是單一最大類別，1,880 萬美元，超過穩定幣的 1,410 萬美元。所以第一個真正冒出來的需求不是私密支付，是有人想要收益、又不想公開自己倉位的大小。

把 Zama 自己的代幣從代幣類別裡扣掉，幾乎什麼都不剩。680 萬美元裡有 600 萬是 cZAMA。一個協議屏蔽自己的代幣，證明不了市場有屏蔽代幣的需求。

現實世界資產合計 52,200 美元，全是代幣化黃金。把這個數字對著「保密 RWA 是機構機會」這句話被說了多少遍看一看，包括 Zama 自己的上線材料裡。

真正重要的數字就在總額旁邊。3,960 萬美元的屏蔽規模，六個月裡流過 4.523 億美元交易量，錢周轉了大約十一次，不是停在那兒不動。這在商業上重要，因為一筆保密美元只有在動的時候才產生費用。

五周後，協議自己的儀表盤把這個論點說得更強，還補上了 6 月快照看不到的三件事。截至 2026 年 8 月 3 日，累計屏蔽價值 3.208 億美元，累計解屏蔽 2.742 億美元，也就是約 5.95 億美元雙向穿過了邊界，而淨持倉停在 4,600 萬美元左右。

保密美元不停著，它們是穿過去的。cUSDT 已屏蔽 1.308 億美元、解屏蔽 1.228 億，剩 790 萬。cUSDC 屏蔽 6,970 萬、解屏蔽 6,510 萬，剩 470 萬。曾經進來的每一筆穩定幣美元裡，約百分之九十四已經走了。這是一條走廊，不是一個金庫。對靠錢流動賺錢的協議，這形狀是對的；對任何靠餘額賺錢的東西，這形狀是錯的。

金庫裡的錢就是四個錢包。 cSteakcUSDC 有四個獨立的屏蔽錢包，淨持有 2,020 萬美元，占協議內全部淨屏蔽價值約百分之四十三，對應的 Morpho 金庫裝著 2,820 萬美元。本節裡最大、商業上最有意思的那個類別不是一個市場，是四家機構。讀這裡的任何增長率都請記住這點------一筆贖回就能把它掸翻。

現實世界資產這條線真的開始了。6 月時它是 52,200 美元的代幣化黃金。到 8 月，cTGBP 裡有 510 萬美元的代幣化英鎊，它的包裝版本裡又有 510 萬，黃金則是 60,300 美元。一千萬美元還是很小，但比一個可忽略的尾數高了兩個數量級，也是這個賽道裡被說得最多的那句話的第一份真實證據。

關於規模要做一個更正，外面流傳的一個數字把這件事美化得很厲害。Zama 在主網上部署了 549 個合約。大多數報導引用的 27,662 個保密合約，把追溯到 2025 年 7 月的所有公開測試網都算進去了，那個數字裡約百分之九十八不是生產環境。現在還多了一個 cBRON 代幣，二十個錢包，100 萬美元。

為什麼這能繞過孤島問題

因為它坐在以太坊上，那些私密美元就是其他人手裡的同一種美元，能在已經有用戶的應用裡幹活。這裡的隱私還是可編程的------合約仍然能在隱藏數據上執行規則。

這也給合規留了空間：審計師或監管方可以被授權查看特定記錄，而對底層資產的凍結會傳導到包裝層。2026 年 5 月，一道法院命令就幹了這件事，把整個 cUSDC 池凍結了三天。第 8 節講當時發生了什麼。

這幅階梯，以及每級的代價

三代連著讀下來，會浮現一個沒有哪一代拿出來宣傳的規律。

Tornado 藏你的歷史。Railgun 藏你的持倉。Zama 藏那些還能互動的持倉。 每一級的存在，都因為下一級做不到的那件具體的事。

但代價一直在往反方向走。Tornado 藏得最多，對那筆錢什麼也做不了。Railgun 藏住發送方、接收方和金額。Zama 只藏金額，交易圖譜完全公開。每一代都是用隱蔽性買來的功能性。

還有第二根軸在往同一個方向走，讓這個故事更緊。Tornado 沒給誠實用戶任何自證的辦法，交易所就把整個池子當被污染的。Railgun 用 Private Proofs of Innocence 精準回答了這一點。Zama 又更進一步，上了查看密鑰和可繼承的凍結，而監管方真的用得上。所以三者之間的趨勢根本不是隱私變好了，是更可用、更可讀的隱私，帳單從隱蔽性裡出。

▲ All six designs plotted by how much they conceal against what the money can do while concealed.

右上角那塊空白才是有意思的部分。「藏住一切又能跑動一切」是沒人擁有的那個產品，Zama 是最新一次想把那條線往上掰的嘗試。按本文裡的每一個數字，它也是最小的那個。

同一級台階上，還有誰在往上爬

Zama 是那個有主網的，所以本節講的一直是它。2025 年 12 月 30 日起在以太坊上運行，當天完成首筆保密穩定幣轉帳，有具名公司在生產環境裡用它，代幣標準 ERC-7984 被 OpenZeppelin 實現成一個審計過的庫，還配了一個把普通 ERC-20 映射到保密包裝版的鏈上註冊表。最後這個細節比任何跑分都值錢：寫一個保密代幣變成了從一個審計過的 OpenZeppelin 合約繼承而來，一項技術就是這樣脫掉小眾奇技的外衣的。

Zama 贏了這一回，贏的具體是哪一回值得說準：它先上線了。這是真實的成就，本節也給了它該給的認可。但先上線說的是時序，不是設計上限，而它驗證的這條路線有不止一個實現。Fhenix、Inco 和 Mind Network 都在同一個密碼學基底上做保密執行，階段更早，也都還沒有一個可供評判的主網年度。

由此得出兩件容易漏掉的事。Zama 上線對它們全都是好消息，因為這個類別裡的難題從來不是數學跑不跑通，而是有沒有人願意為使用它付錢，現在這個問題掛著的是客戶，不是預測。另一件是：對一個這麼年輕的密碼原語來說，只有單一實現是系統性風險，不是護城河。第 8 節裡的 Orchard 漏洞在一份代碼庫裡潛伏了四年沒被發現。同一想法有多個獨立實現，才是這類東西被揪出來的方式，所以這裡的第二、第三個名字帶著一種在「已上線產品對比」裡看不見的價值。

Fhenix 融資 2,200 萬美元，由曾在英特爾負責同態加密的 Guy Itzhaki 領導，背後有 Multicoin 和 Collider。它用的是全同態加密，和 Zama 同一個家族，而不是不同的密碼學。多方安全計算在兩者內部都出現（Zama 的十三個持鑰方，以及 Fhenix 的閾值服務網絡），但只作為拆分解密密鑰的那套機制。真正負責隱藏的那個原語是同一個。

它最初是一個 FHE Layer 2，後來放棄了。隨 ACM CCS 2025 論文一起發布的跑分更支持模組化設計，那個 Layer 2 就變成了 CoFHE，一個任何 EVM 鏈都能調用的鏈外協處理器，底下用 EigenLayer 質押提供經濟安全。它跑在 Ethereum Sepolia、Base Sepolia 和 Arbitrum Sepolia 上，自己的文檔寫著生產主網尚不可用。

它有一個代幣標準 FHERC-20，還有一套能跑的演示：屏蔽任何 ERC-20、私密支付、密封競價拍賣、私密穩定幣、鏈上詢價、把加密餘額的讀取權限委派給一個指定方、一個抗搶跑的 Uniswap v4 hook，再加兩個消費級小玩意。Canopy 集成排在 2026 年四季度，Offchain Labs 通過 Tandem 投了錢，要把這項技術帶進 Arbitrum。

真正重要的七行，並排看。

那個差距裡大部分是日曆，不是能力，但表裡有兩行不是。Zama 和 Fhenix 在架構上已經趨同，所以「不要新鏈、不要跳鏈橋」不是差異點，兩者都能讓 Solidity 開發者用大約一行代碼加上一個加密類型。真正把它們分開的是各自去攻哪個瓶頸。同態系統裡用戶感受到的延遲是解密往返，不是算術，而那正是 Fhenix 去攻的：每秒 64,319 次操作、延遲 8.48 毫秒，發在 ACM CCS 2025 並拿了傑出論文獎。Zama 的頭條數字是 H100 上每秒一千筆轉帳，自我報告，還沒開啟。實驗室數字進生產會變差，兩者甚至不在量同一個東西，但在唯一能直接對比的那根軸上，經同行評審的數字屬於那個還沒上線的一方。

需求端也不再是假設，這是更有意思的進展。2026 年 7 月 2 日到 7 月下旬，Fhenix 宣布了一筆收購和三個集成，它們的形狀值得讀。它收購了 Sunscreen，業內最早的 FHE 團隊之一，帶來一套編譯器技術和一個 BFV 研究班底，與自己的 TFHE 工作並行，而 Sunscreen 創始人 Ravital Solomon 加入並領導研究。Sedona，一家自托管的交易新型銀行，正在遷往 Arbitrum，並把自己的可信執行環境換成 CoFHE，覆蓋餘額、倉位，以及它給 AI 代理設定的支出上限。Nomyx，做合規 RWA 發行的，用它實現帶選擇性披露的保密倉位：對市場私密，對監管可證。Canopy 則把加密計算默認放進它的應用框架。再加上更早的 Monaco 研究合作，主網目標定在 10 月，上以太坊和 Arbitrum。

那份名單裡有三件事比數量更重要。Sedona 那筆是一個客戶從 TEE 遷出 轉向 FHE，這是至今唯一有人拿出的證據，證明這項安全升級對一個已上線產品值得付延遲的代價。Nomyx 指向第 2 節關於受監管帳簿的那個論點------那裡要的不是隱蔽，是按持有人意願披露。而代理支出上限是一個當初設計這一切時還不存在的用例，你防的對手是你自己部署的軟件。這些目前都還不是收入，10 月是目標不是事實。但這是一條掛著具名交易對手的管道，比一個主網前協議通常擁有的要多。

所以目光要看到第一個主網之外。這個類別裡的問題從來不是數學跑不跑通，是有沒有人付錢，Zama 現在用客戶而不是預測回答了它，這對同一想法的每一個實現都有幫助。對一個這麼年輕的原語來說，單一實現也是風險不是護城河，第 8 節馬上就會展示四年沒被發現的漏洞在一份代碼庫裡代價有多大。同時，先上線的那一層是中立層，而中立層對自己交付的東西幾乎收不到錢，所以在它上面佔先，不等於待在錢最終歸屬的地方。這就是第二、第三次嘗試值得看的原因：保密性到底是通過大家共用的那個原語被消費，還是通過 Fhenix 正在下注、背後站著 Offchain Labs 的 Layer 2 和消費級入口被消費，這件事真的沒定論，而它決定了這個類別裡的價值落在哪兒。

這個賽道生產了多少收入

以上講的都是這些設計能做什麼。本節只講它們為此收了多少錢，因為答案很小、公開可查，而且是這個賽道裡最缺人審視的數字。

下面每個數字都是截至 2026 年 8 月的鏈上費用數據。最後一列才是重點：在這個賽道裡，收到費用和賺到收入不是一回事。

先讀隱私鏈這幾行，它們持有這個賽道幾乎全部的市值，也是最清楚的例子。Monero 在全部歷史裡賺了 158 萬美元手續費，Zcash 自 2016 年以來賺了 137 萬美元，而那些是付給礦工的錢，不是任何一家企業的收入。沒有實體在收它們，裡面也沒有利潦。

有一個在流傳的數字需要更正，它差了將近三個數量級。2026 年多家媒體報導 Zcash 年化手續費 4.05 億美元，領先以太坊和 Solana。它真實的過去一年是 56.7 萬美元。那個公開數字看起來是從單一高活躍窗口外推出來的，而且恰好和當時 Zcash 的價格重合，這是更可能的解釋。拿那個頭條去估算賽道規模，會差上七百倍。

Tornado Cash 是最有啟發的一行。它的用戶付了 930 萬美元，協議一分沒拿到，每一美元都去了提款中繼者，費用數據也明寫著協議收入為零。過去十年最大的混幣器給運營者創造了真實現金流，給它自己什麼都沒創造------制裁到來時它手裡沒有一份能自衛的損益表，這也是原因之一。Railgun 是反例，也是表裡唯一真正的生意，在兩個邊界各收 25 個基點進金庫。相對 51.6 億美元的累計交易量，1,300 萬美元算下來實現了約九個基點，對應五十個基點的名義費率。這個差距自己就是線索：錢屏蔽一次，在裡面免費轉，只在進和出時候付錢。

加在一起，整個賽道一年的收入大約是所有協議合計 600 萬到 700 萬美元，而停在這些資產裡的價值約 250 億美元。這筆流量裡三分之二流向 Railgun 和 Tornado 的中繼者。持有幾乎全部市值的那幾條鏈，一年加起來只收約 200 萬美元。

剩下表的下半部分，Zama 是有意思的那個：它確實在收錢，卻換了個完全不同的計費器。它不從任何東西裡抽百分比，而是按每次操作收費，以美元按比特定價------驗證加密輸入上的證明、解密一個密文、把它跳鏈搬一次。同態計算本身免費，部署一個應用也免費、無需許可。

用它自己的流量給這個差異配上數字。2025 年 12 月 30 日以來的七個月裡，協議在 549 個主網合約上處理了 104,848 筆主網交易，同時 3.208 億美元被屏蔽、2.742 億被解屏蔽，約 5.95 億美元穿過邊界，平均單筆屏蔽約 24,000 美元。

按 Railgun 的費率表，這筆流量會產生 149 萬美元。按 Zama 公開的價格表，它產生的是 840 到 84,000 美元，很可能落在下半區間，因為滾動三十天的折扣會把重度用戶壓到一分錢以下，而這筆流量集中到讓最大的付費方拿到最深的折扣。換成費率說：一筆 24,000 美元的屏蔽收十三美分，是一個基點的五十分之一，Railgun 是二十五個基點。少收十八倍到一千七百倍，取決於真實數字落在區間哪一段。

要說清楚，這個數字是推導來的，不是披露來的。交易筆數發在協議自己的儀表盤上。十三美分是上線時的新聞數字，簡版白皮書裡的價格表把一筆保密轉帳定在八成美分到八十美分之間，取決於操作組合。所以區間比任何單點估計都重要，而這個論點也不需要單點估計------對公開價格表的每一種讀法都落在同一個地方。順便說，確切數字是可知的：每一筆協議費用都被銷毀，那個地址上的累計銷毀量就是這個數字的可觀測版本，誰都能查。

為什麼這麼便宜

最直接的讀法是 Zama 把自己定錯價了。更可能的讀法是它先買客戶、以後再收錢，證據也指向後者，而不是指向一個疏失。

一個抽 25 個基點的層對每個集成商都是一項稅，而 Zama 想做的是別人在上面構建的那個保密層，而不是一個與他們競爭的場所。像雲服務一樣定價，才能換來你的代幣標準被 OpenZeppelin 實現為經審計的庫、一個包裝器註冊表、錢包與交易所的集成路徑，以及一家願意把工資跑在你上面的代發薪公司。這些買方沒有一個會穿過一個五十個基點的收費站進來。Bron 不會為了隱藏一次發薪而付 25 個基點，而那個金庫裡持有 2,020 萬美元的四個錢包，也不會為了轉一下倉位而付它。

所以這個低費率是在幹活的。它在買這個階段真正稀缺的東西，也就是標杆客戶和一個別人會採用的標準，並把收入推到交易量大到讓一個小費率值得收的那一天。按這個讀法，當前的費用項是一筆客戶獲取成本而不是一項業務，而要看的數字不是今年的費用，而是那個計費器到底會不會變。

有兩件事讓這個讀法可被驗伪，而不只是一份寬容。費率可以在不動密碼學的前提下提高：按今天的交易量，每筆 5.65 美元一年能賺一百萬美元，而按基點算仍比 Railgun 便宜約十倍。而且價值在這段時間裡正在往某處累積：往上一層，歸給運營場所的人，而不是底下那根中立的鐵軌，這也就是為什麼詢價對 Zama 的經濟模型比協議本身更重要。

隱私技術出過什麼漏洞

很容易把隱私技術寫成好像它都能跑通。有三起事件值得知道，而每一起壞在不同的地方：密碼學本身、包在它外面的軟體，以及凌駕於兩者之上的法律。

▲ Nine years of privacy failures, grouped by which part of the stack gave way.

Zcash：2026 年 6 月的 Orchard 漏洞，以及它代價的 30 億美元

從最近的那起開始，因為它是這個賽道裡單次毀滅價值最大的一次，而且它能解釋一段很多人記得、卻不知道原因的行情。

2026 年 5 月 29 日，一位叫 Taylor Hornby 的安全研究員（在 4 月獲得 Shielded Labs 委託）在 Orchard 背後的電路裡發現了一個可靠性（soundness）缺陷。可靠性正是讓一張零知識證明有價值的那個屬性，它保證你無法為一個假命題造出一張看起來有效的證明。有了這個缺陷，你就能。Hornby 做出了一個能跑的利用程序，在測試環境裡無上限地鑄造偽造 ZEC，而且完全無法被檢測。

自 Orchard 于 2022 年 5 月上線以來，這個缺陷就一直躺在那個電路裡。四年，經過多次專業審計，沒有人發現它。他是在一個 AI 模型（Claude Opus 4.8）的幫助下、配合一套自研分析工具找到它的。這才是本文裡真正新鮮的事實。那個反復為這份代碼放行的審計流程是人類的，而最終突破它的東西不是。

工程層面的響應很快。6 月 2 日的一次緊急軟分叉在一個指定區塊高度關掉了 Orchard 操作。6 月 3 日通過一次攜帶修正電路的硬分叉完成了永久修復。沒有鏈分裂，也沒有資金損失。

然後市場接手了。公開披露在 6 月 5 日。ZEC 在公告前實際上是漲的，從約 544 美元升到 624 美元，理由是一次乾淨的緊急修復是嚴謹工程團隊的標誌。一旦實質內容落地，它在 48 小時內跌到約 309 美元，回撤接近 50%，遠超 30 億美元的市值隨之而去。Arthur Hayes 在 6 月 4 日公開離場，理由是隱私資產需要的是完美而不是「大概沒事」，這引發了杆杆持倉者之間的強制清算。Monero 同情下跌約 13%，所以市場把這件事讀成了 Zcash 的問題，而不是隱私的問題。

現在說真正應該讓你擔心的部分，而那不是這個漏洞。Shielded Labs 直白地表示，僅靠密碼學無法判定在它被發現之前是否有人利用過它。這不是推詞，而是設計的直接後果。一个隐藏池隐藏伪造的能力，与它隐藏支付的能力一样强，所以一个长达四年、可能存在未被发现的通胀的窗口，无法通过看链来关闭。他们的补救措施已作为 Ironwood 上线，对每一枚 Orchard 币做闸机记账，使供应量变得可被独立验证。

对新手而言，这是本节最重要的一个想法。隐私与可审计性的拉扯发生在货币供应量本身这一层，而不只是在「谁付给了谁」这一层。

那到底算不算一個漏洞？這裡有三個問題總被混在一起，而它們有三個不同的答案。

真的有一個漏洞嗎？有，而且很嚴重。當你在 Zcash 上花隱藏的錢時，你不會把幣給網絡看。你交給它一張數學收據，證明你擁有它們且沒有重複花。漏洞就在那個收據校驗器裡，它會接受某些偽造的收據。那就意味著憑空印出 ZEC。

它被用來偷過任何東西嗎？幾乎肯定沒有。一位受雇專門尋找這類問題的研究員發現了它，在自己的測試副本上驗證了它，兩天後就被修補了。沒有已知的人用它碰過正式網絡。

有人能證明那四年裡沒人用過它嗎？不能。在一條開放的鏈上你可以數幣，幣太多就意味著有人在偽造。而 Zcash 的隱藏池故意讓幣無法被數，因為那就是產品本身。所以誠實的答案是：沒有證據表明它被用過，而這一點無法被升級為「它沒被用過」的證明。

那就剩下一个明显的问题：没有钱丢，为什么价格腾腾跌了一半？因为 ZEC 整个命题就是那套数学密不透风，而「大概没事」和「密不透风」是两个不同的产品。

值得知道的是，這是同一類別的第二個偽造缺陷，之前 2018 年在 Zcash 最初上線所用的證明系統裡也有一個。兩個不同的證明系統，相隔八年，同一套隱藏池設計，而兩次鏈都無法告訴你它們是否被用過。這是規律，而不是運氣差。這個配對裡還有一層諷刺：Orchard 之所以存在，是因為可信設置被視為 Zcash 最大的未解風險，而 Halo 2 被採納就是專門為了移除它。為了不需要信任而建的那個池，恰恰就是後來被證明不可靠的那個。

Zcash：錢包洩露，而這是更典型的失敗

這一起更小，而它是本節裡最有代表性的失敗。

2025 年 10 月，調查者 ZachXBT 測試了 Zcash 主錢包 Zashi 裡的跳鏈兌換功能，它的路由走 NEAR Intents。他把 Solana 跳到 Zcash，然後轉出 ETH。一筆意外的 0.001598 ZEC 退款到了他的透明地址上，完全公開可見。NEAR Intents 當時通過一個可見的 Zcash 地址而不是屏蔽池處理退款，而錢包每次都重用同一個透明地址。對上時間和金額，你就能把某人的透明地址去匀名化，再把它與對方的屏蔽活動關聯起來。

沒有東西被偷，也沒有密碼學被突破。證明本身沒問題。包在它們外面的集成有問題。

關於修復要說精確，因為它只做了一半。現在兌換會為每筆交易生成一個一次性的透明地址，用的是一個叫 ZIP 320 的標準，所以不再有一個長期存在、可以累積歷史的地址了。屏蔽兌換於 2025 年 11 月 17 日在 Zcash 社區論壇宣布，約在披露後一個月。第二個承諾，即把退款本身也走在屏蔽池內部，則沒有公開確認：一位用戶在同一帖裡於 2025 年 11 月 20 日直接詢問，未獲回應，而錢包的支持文檔仍要求用戶提供一個退款地址，卻沒說明它是否必須是屏蔽地址。

而且還有一個任何修復都去不掉的殘留洩露。把屏蔽資金發到一個一次性透明地址需要兩筆公開交易，一筆解屏蔽、一筆往下花，而對任何單筆兌換，觀察者仍能靠時間和金額把兩者對上。一次性地址為你買到的，是沒有人能把你的多筆兌換互相關聯，或者關聯到你錢包的其餘部分。

Zama：尚無漏洞被利用，卻已是最有啟發的一次失敗

它沒有出過協議漏洞被利用的事件，而對一個在約七十個審計周之後於 2026 年上線的東西來說，這正是你會期待的。Zama 遇到的是一次法律層面的失敗，而它正是你應該擺在任何考慮這個產品的機構面前的那一次。

2026 年 5 月 30 日 UTC 01:08，Circle 把 Zama 在以太坊上的 cUSDC 合約列入黑名單，凍結了 12,606,386 USDC。導火索是前一天由一家美國地區法院發出的臨時禁制令，涉案民事訴訟指稱，一個無關協議 Overnight Finance 的創始人在持有人表決清算前夕從其金庫轉出超過 1,577 萬美元，並在同一天把其中 1,240 萬美元存入了 cUSDC。

現在說應該讓潛在用戶停下來想一想的部分。cUSDC 是一個池化合約。把它列入黑名單鎖住了每一個存款人，而不只是那個有争议的地址，而那筆有争议的錢恰好占了池子的 99% 以上。6 月 1 日，加州北區的一位法官解除該命令，約 1,250 萬美元被釋放。這是已知首例在私人民事糾紛中、合約層面的 Circle 黑名單通過訴訟被推翻的案例。

這件事的兩種讀法都對，而你需要同時拿住它們。合規鉤子是真實的，而這正是一家受監管機構願意碰這個產品的原因。而它們是不加區分的，而這就是你為「法院仍能伸手進去的隱私」所付的代價。一個共享池不僅是一個共享的人群，它也是一個共享的命運。

這三起事件的共同之處

它們沒有一起是有人突破密碼學並偷走錢。Orchard 缺陷在公開前就被修補，且從未被使用，卻仍讓持有人付出超過 30 億美元，所以如果你持有一個隱私資產，你做空的是漏洞的消息，而不是漏洞本身。兌換洩露是一個集成細節，而不是證明失效。而凍結來自法院，那是任何審計都抓不到的。

而這指向本文其餘部分一再得出的同一結論：數學本身經住了考驗，而包在它外面的軟件、以及凌駕於它之上的法律，都沒有。

那麼它到底值多少

以上全部是已定事實。接下來是判斷，以及三個值得爭論的問題。

這個領域裡名字很多，而人們通常按密碼學把它們分類，而那幾乎提不供任何有用信息。改成按它們在技術棧裡的位置來分，因為那才決定客戶是誰，以及這東西靠什麼收錢。

▲ 隱私行業作為四層加上兩個跨越所有層的群體。

問題一：需求是真的嗎？

是的，而且這是整個論證裡最強的部分。

摩根大通做 Project EPIC 不是當愛好。加密的基金申購、盲池拍賣、在隱藏數值上完成的銀貨對付、針對加密數據的身份核查，其設計讓銀行自己也讀不到細節。然後它把真正的存款代幣發在了 Canton 上。Circle 在 Aleo 上測試一個私密版 USDC。Coinbase 收編了 Iron Fish 團隊。高盛和紐約梅隆站在 Canton 背後。這不是一個敘事，而是一種資本支出的模式。

在交易這一側，損失是被量化的，而不是被斷言的。一筆被三明治的兌換要付 0.3% 到 0.8%。永續場所上每個倉位都是公開的，包括它的清算價。而最清楚的證據是：機構把一半以上的交易放到螢幕之外成交並為此付出點差，目的就是不讓任何人看到體量。

問題二：隱私真的降低風險嗎？

它降低被選中為目標的風險。攀附者從自己能讀到的東西裡挑獵物，所以隱藏餘額能把你從名單上拿下來。這是真實的，也是隱私能提出的最強的一个主张。

它對被攻破毫無作用。一把被偷的密鑰清空一個加密餘額的速度，和清空一個公開餘額完全一樣快。惡意軟件、一個錯誤的簽名、一個被入侵的前端：加密保護的是帳本的內容，而不是你的設備或你的判斷力。

而它會主動讓追回變得更糟。Monero 自己的社區無法追蹤被盜的眾籌錢包，因為 Monero 正如設計那樣工作。隱私在時間上是不對稱的：它在攻擊前保護你，在攻擊後保護搶了你的人。

在協議層面更糟，因為隱私也把防守方一同弄盲了。在一條透明的鏈上，一次漏洞利用幾天內就會在供應量裡顯現。Orchard 的可靠性缺陷潛伏四年未被發現，原因正在此。更多的隱私機器也意味著更大的攻擊面：十三個持鑰方、五個協處理器、一個網關、一套閾值假設，以及墊在整個東西底下的 AWS 飛地。

問題三：你怎麼給它定價？

這是這個賽道回避的問題，而它有一個真實的答案。隱私的價值等於洩露的代價。有三個類別是可以算的。

執行滑點 是最乾淨的一個。一筆被三明治的兌換損失 0.3% 到 0.8%，所以在十億美元的年度流量上消除它，就創造了大約五百萬美元的價值，接下來你可以爭論能捕獲多少。Railgun 提供了這個賽道裡唯一真實的數據點：51.6 億美元累計交易量上歷史累計 1,300 萬美元收入，就算它捕獲了九個基點。

大宗交易的市場衝擊早已被定價，而這是被低估的一點。機構向 OTC 台子付出點差，就是為了不亮出體量。那個點差就是隱私可觀測的市場價格，而它今天正在大多數機構交易上被支付。保密交易的可觸及市場不是推測出來的，它就是現有的 OTC 點差池。

跟單導致的 alpha 衰減是真實的，而沒有人發布過一個數字。要算它，需要跑相似策略的被跟踪地址與未被跟踪地址之間的業績差。值得直接標註為未被度量，而不是假裝已知。

現在把這套方法用到那個顯而易見的下一個產品上。如果 Zama 做出一個保密 AMM，隱藏倉位值多少？有一個約束會改變答案：AMM 需要公開的儲備才能有價格。把池子的持倉加密，價格發現就壞了。能隱藏的是單個 LP 的份額，以及一筆訂單在提交時的體量。

這意味著一個保密 AMM 的價值主要是訂單流隱私，而不是倉位隱私，而那就坑回到了第一個類別：在執行上省下的基點。隱藏 LP 倉位確實有價值，但更小，主要是防止活躍策略被複製，以及防止即時流動性擠壓你的手續費。所以估值就是它吸引到的交易量上的三明治稅，乘上一個接近 Railgun 九個基點的捕獲率。在十億美元的年度交易量上，那是个位数百万美元的协议收入。真实，但距离数十亿美元的估值差得很远。

還有第四個類別，而已經上線的產品恰恰就坐在裡面。有些泄露根本沒有一筆交易可以拿來計量。

看看頭七個月裡主網真正出現的東西，因為它不是上面那套規模測算所預測的。Bron 的財務負責人用保密 USDT 發了公司的工資。Raycash 推出了一个 Revolut 形狀的帳戶，帶 IBAN、卡和收益，並保持餘額私密。GSR 在 2026 年 3 月完成了首筆保密機構 OTC 交易，兩個已 KYC 的對手，金額在鏈上加密。TokenOps 做保密的解鎖與空投，Zaiffer 把普通 ERC-20 轉成保密的，而 Zama 在自己的代幣上用了這兩家。2026 年 7 月又接入了 Elliptic 做合規篩查。

只有 GSR 屬於那個基點故事。其餘都是企業在買「一項信息不被披露」，而它們避開的傷害並不隨攜帶它的那筆轉帳的大小而縮放。一次工資單泄露，代價是你的團隊彼此知道了薪水、你的競對手知道了你的燃錢速度。公開一份解鎖時間表，代價是你自己的解鎖被搶跑。這些是附著在一個事實上的固定傷害，而不是附著在一筆支付上的比例損失。

這影響的是定價，而不是需求。這個類別裡的需求比交易論更寬，而它比前三個類別裡的任何一個都更不適合按筆定價。而這恰恰就是費用數據所展示的。

仍未定論的幾個爭論

隱私是一條鏈還是一個功能？截至 2026 年 7 月，證據沿著一根人們總弄混的軸分裂。功能那一側在新的用例上勝出：密封報價交易、保密金庫、發薪。鏈那一側在價格上勝出，Monero 約 129 億美元、Zcash 約 71 億美元，而 Zama 是 1.15 億到 1.42 億美元。兩個不同的市場，兩類不同的買方。

可選的隱私是一個陷阱嗎？它產生一個小人群，而小人群就是弱隱私。那是 Zcash 十年的缺陷。改變它的是你能想到的最不光鮮的東西：不是密碼學，而是一個錢包。從 2024 年 2 月起，Electric Coin Company 做了 Zashi，默認私密，三個池子都在一個地址後面，而兌換功能讓買屏蔽 ZEC 只需幾下點擊。屏蔽供應占比從約 5% 升到二十多到接近三成，而屏蔽交易占比從約 30% 升到據報 59.3% 的峰值。時任 ECC 首席執行官的 Josh Swihart 把因果關係說得很直白：Zashi 出來之後，屏蔽池呈指數級增長。時間線對得上。

這裡有一個隱患，而它是治理層面的而不是技術層面的。2026 年 1 月，整個 Zashi 團隊因治理、資金和自主權問題從 ECC 集體辭職，成立了 Zcash Open Development Lab，並於 2026 年 2 月把錢包改名為 Zodl。所以那個背起了 Zcash 隱私普及的唯一一份軟件，已經不再由管理該協議的基金會構建了。

對合規友好的隱私算隱私嗎？批評者說，一個帶有覆蓋開關的隱私系統是一道隊列，不是一個隱私系統。支持者說，那是機構在法律上唯一能碰的版本，而另一種選擇的結局就是 Tornado Cash 的結局。兩邊都對。它們在向不同的客戶銷售，而兩類客戶都存在。

監管時鐘。歐盟反洗錢法規（具體是 Regulation 2024/1624 第 79 條）於 2027 年 7 月 1 日生效。從那天起，加密服務提供商不得保留匀名帳戶，也不得經手 XMR、ZEC 這類隱私資產，並由一個叫 AMLA 的新監管機構監督約四十家最大的提供商。仔細讀適用範圍：這是禁止交易場所碰那些資產。它並不能阻止那些鏈。它抽走的是歐洲的受監管流動性，而二階效應是它把市場推向可被審計的隱私。

該盯什麼數據

四個數字，每季度看一次。

保密交易場所上的成交量，且來自與協議無關的對手。9 月上線之後，這是決定交易論成立與否的數字，因為兌換費用會回購 ZAMA，而交易量就是現金流。一個對面沒有陌生人的場所，只是一種私密的自言自語方式。

Railgun 的收入對比 Zama 的。在位者已經在真實流量上收到約九個基點。如果 Zama 在公開上線後一年內無法接近那個水平，那麼 FHE 的溢價就沒有人在付。

第一家加密行業之外、通過保密穩定幣發薪或付供應商的公司。注意 cUSDC 隱藏的是金額，而不是供應商名單，所以這個用例要能真正跑起來，需要的比加密餘額更多。

Canton Coin 的費用收入，如果它有一天可被審計。一个 48 億美元的代幣，建立在外部沒人能驗證的使用量上，是這個賽道裡最大的未被審視的估值。

Zama 已實現的費用銷毀額，以美元計。每一筆協議費用都被銷毀，所以累計銷毀量可在鏈上查詢，而它是判斷這一切到底有沒有人付錢的唯一無可爭辯的尺度。它目前是四位數，而預測是十位數。哪一個月它動了一個數量級，就是定價已經改變的信號，而那是本文裡信息量最大的單一數字。

那四個錢包會不會變成四十個。淨屏蔽價值的百分之四十三停在一個金庫裡的四個地址上。集中度下降比總額上升更重要。

會不會有人開始收訂閱費而不是讀計費器。上面記錄的那個差距是一個定價差距，所以第一個按席位、按資產規模或按點差計費的保密產品，比下一個密碼學跑分更值得關注。

Fhenix 的主網時間，以及它的 rollup 是否建在自己擁有的密碼學上。這兩個答案決定了 FHE 這個類別裡到底是一家公司還是幾家。

結論

一個問題的三種答案，而對它們全部的誠實概括是一筆權衡，而不是一場勝利。本文裡每一種設計都是用暴露更多來買到能做更多，而「隱藏一切又能運行一切」那個角落是空的。

需求是真實的。一家銀行花了真钱去證明它，交易者損失著可計量的基點，而機構已經把大多數交易送往那些整個產品就是「不亮出你的體量」的台子。

但隱私不是一次安全升級。它改變的是誰把你挑為目標，並讓你更難把錢要回來，而在協議層面，它隱藏的是你正在信任的那個東西自身的缺陷。

而估值與收入對不上。大約 250 億美元的價值停在隱私資產裡，分布在 Monero、Zcash 和 Canton Coin 上。而在服務這一側，數字現在是精確的而不是約略的，而且它們小於个位数百万美元。Railgun，它們裡最好的那個，靠在兩個邊界各收 25 個基點，歷史累計收了 1,300 萬美元，而 Monero 和 Zcash 自 2014 年和 2016 年以來合計賺了 300 萬美元手續費。Zama 處理了 104,848 笔主网交易、搬了 5.95 億美元穿過自身邊界，而因為它按比特而不是按基點收費，按已公開的價格表，它只收到了 840 到 84,000 美元之間。把 Zama 的流量按 Railgun 的費率表跑一遂，產出是 149 萬美元，也就是多出十八倍到一千七百倍，取決於真實數字落在區間裡的哪一段。換成費率，是一個基點的五十分之一對二十五個基點。

所以本文開篇那個兩難得到了解決，而答案比它的任何一角都更好。這些服務定價過低，不是因為沒人想要它們。它們定價過低，是因為計費器接在了錯的東西上。一个按比特计费的协议，隐藏一个两千万美元的金库仓位和隐藏一笔十美元的转账，收的是同一笔费，而目前四家机构正在用几美分共同隐藏两千万美元。

這也就是為什麼我以看多收尾，但對「到底看多什麼」附上一个限定。

需求是被驗證的而不是被預測的，而這在這麼早的階段很罕見。一家銀行花了真钱確立了加密金融行得通，然後把自己真正的存款代幣發在了它親手建的軌道上。機構把大多數交易放到螢幕之外，並為這個特權付出點差。暗池在 2026 年一季度拿下了美股成交量創紀錄的 40.3%。只要被允許，錢已經在每一個地方私密地流動，而公鏈需要回答的唯一問題，是它能不能在不交出那份「當初值得使用它」的可編程性的前提下，提供同樣的分寡。截至 2026 年 8 月，其中一個做到了，在生產環境裡，上面有真實的公司，5.95 億美元穿過邊界，錢周轉了十一次。

技術也不再是約束了，而這是過去一年裡那個無聲的變化。保密代幣有了一個標準和一個經審計的 OpenZeppelin 實現，所以寫一個現在是繼承而不是密碼學。一道法院命令穿過了包裝層，並在三天內被解除，而那是一項以苦的方式被發現的合規特性，而不是一次失敗。而 2027 年 7 月 1 日到來的監管，把歐洲流動性從均名資產上抽走，同時把一切推向這些設計恰好提供的那種可審計的隱私。零件都就位了，而時鐘正在向著有利於它們的方向跑。

缺的是一個價格，而一個缺失的價格是本文裡最容易解決的問題。每筆收 5.65 美元而不是十三美分，按今天的交易量一年能賺一百萬美元，而仍然把在位者壓低十倍。這不需要數學有任何改進。只需要有人把隱蔽按它在其他地方被計費的方式去計費，按席位、按訂閱，或按資產規模的基點，而最先到場的那批客戶，正是採購部門本就預期著一張正是那個形狀的發票的公司。

所以倉位是做多需求，並做多最終為它收費的那一方，而按目前的證據，那是交易場所、錢包或授權業務，而不是底下那個中立層。用四個數字去檢驗它：9 月上線之後來自陌生人的成交量、實際被銷毀的費用的美元價值、那個金庫裡的四個錢包會不會變成四十個，以及有人寄出第一張隱私訂閱發票的日期。那個手裡有預算科目的買方是一家銀行而不是一個密碼朋克，而這一切裡令人鼓舞的部分是，那家銀行已經開始選購了。