SUTER DeFi隐私插件的威力

小鹿：大家好，今天我们在社区举办这场AMA，主要是想和大家更新同步一下项目的技术进展和商业合作。Suterusu在DeFi板块的布局很早就开始了，今年7月也推出了自己的SuerTrade，目前闪兑产品使用热度每天都刷新高点，具体的内容可以关注每日社群早报。今晚我们邀请到了Suterusu CTO林煌博士，给大家从技术层面解读一下，Suter在DeFi方面所作的工作，以及为什么Suter是DeFi产品最适配的隐私插件。

大家欢迎林煌博士~！

1. suterusu将如何和隐私defi这个生态结合起来?这个逻辑成立的原因是什么？

林煌： 简单讲，Suterusu是基于我们原创的零知识证明技术的创新型隐私保护协议。能够让所有的主流defi交易变成隐私交易来保护用户数据和资产安全，我们认为隐私是用户的权利而不是一种选择，所以用户在defi交易中的隐私必须得到保障。

我们知道区块链本身由于他是个公开的分布式账本，所以系统中的任何一个节点都可以看到这个账本的内容，他是没法保证交易隐私的，基于一般的公链比如以太坊构建的defi在隐私方面是先天不足的。

而defi作为金融的一种，涉及的不管是身份信息也好还是数据信息都十分敏感，个人隐私在这种情况下应该说是一种刚需，任何人都不会随便把自己银行账户是什么，帐号里有多少钱告诉别人，defi也不例外。

我们认为未来defi应该只有两种模式，一种是完全透明的交易，所有交易方的数据都是公开的，另外一种则将使用了Suterusu这种保护交易隐私(不管他是基于支持智能合约的还是普通的区块链平台开放出来的defi)的协议，保证用户的交易隐私。

Suterusu为现有的defi带来了前所未有的隐私保护。它集成了最先进的无需可信初始化的ZK-ConSNARK方案，该方案证明所占空间几乎为常数的，且其证明的生成和验证都极为高效。

在我们原创的零知识证明方案基础上，Suterusu还推出了支持智能合约区块链的(如以太坊)隐私保护支付方案和比特币跨链匿名支付方案的Suter虚拟机 (SuterVM)。

基于Suter虚拟机提供的技术模块，可以打造多种隐私保护的DeFi功能，比如抵押贷款，借贷以及去中心化的交易所。为了保证我们协议的去中心化程度和响应的灵敏度，Suterusu引入了流动性去中心化选贤制。我们近期还更新了我们的路线图，给出了一些具体的隐私保护defi功能的交付时间。

因为目前我们的核心目标是打造能和各种defi协议对接的通用隐私保护插件协议，因此我们在广泛地与国内外主流的defi项目接触，目前已经达成技术和社区的合作的defi项目包括stpt, czz, meter, hyperdao等，此外我们还在和其他一些知名defi项目如ampleforth, compound等对接中，相信接下来还会一系列的好消息告诉大家，请大家留意我们的公众号以及twitter。

大家都知道最近chainlink是特别火的一个公链项目，很重要的一个原因是他为各种defi项目提供价格方面的oracle。目前看来defi领域一个重要缺失的功能就是隐私保护，我们有个口号是privacy is the missing piece of defi，Suterusu作为一个通用地支持各种defi协议的隐私保护二层协议或者隐私插件，有非常大的潜力成为隐私保护defi领域的chainlink。

2. suterusu和其他隐私defi项目的主要区别在哪儿？什么是你们的杀手锏？

林煌：该项目的核心技术贡献是针对智能合约平台的新型无需可信设置的零知识证明方案。诸如Zcash之类的隐私数字货币使用的零知识证明方案需要可信的初始化，这带来潜在的安全风险。Zcash的隐私保护模式由于其证明生成过程过于低效在实践中很少被用到。另一方面，Monero等使用的无需可信设置的零知识证明方案由于其证明所占空间太大而无法扩展。这些零知识证明库也都不支持智能合约。

Suterusu实现并集成了最新的无需可信初始化零知识证明协议，并实现针对智能合约平台的无需可信初始化的匿名支付方案以及匿名btc跨链支付方案。我们提出的ZK-conSNARK方案实现了性能和安全性之间的最佳平衡，即几乎常数级别的证明大小和高效的证明生成和验证。我们的方案能够为defi提供坚实可靠的隐私安全保障。

3. 能否具体展开谈谈你们suterusu的匿名btc转账方案吗?

林煌：这个方案的大致想法有一部分和wBTC框架相似。我们的系统也是有资产保管人和商人这 两种⻆色，他们共同合作将用户的比特币映射成Suter的sBTC令牌。但是，我们与wBTC 的方案之间主要区别在于，我们利用zk-conSNARK技术来保障BTC跨链转账的匿名性， 而wBTC则不考虑隐私问题。

用户将与商家进行匿名原子交换，使用比特币交换商家的sBTC代币。商家则与资产保管 人发起铸造交易，在从商人那里收到等量的BTC之后，该人将创建sBTC代币铸造交易。 sBTC代币可以在不同商家之间私下转让。

用户也可以同商家交换他/她的sBTC代币以获 取等量的BTC。由于所有BTC最终都由资产托管人持有，因此商家和资产托管人需要时不 时地执行销毁合约，通过销毁商家账户的sBTC代币余额，来换取资产托管人发送等量的 BTC到商家的BTC地址里。

在代币铸造，转账和销毁过程中，将通过调用Suter匿名支付协议来保证交易保密性和用 户隐私。 由于用户持有的BTC和商家持有的sBTC代币的交换过程需要执行匿名原子交换 协议，因此白皮书中提出的匿名多跳锁(AMHL)技术可以用于确保此过程的隐私性。

4.我们注意到，Suterusu已经合作了多个DiFi项目，并且还在继续展开合作，基于SuterVM提供的技术模块是能够适用目前大多数的DeFi项目的吗？它的逻辑是怎么样的呢？这个可以说说吗？

林煌：目前suterVM主要提供两个技术模块：针对智能合约平台的匿名支付模块和匿名btc跨链支付模块。和现有的一些针对以太坊这种类型的智能合约平台的匿名支付方案Tornado.cash不同的是，我们针对智能合约平台的方案是通用的，即插即用的，因此从需要修改的代码量以及可用性上都相对而言更加优越，此外通过结合我们的匿名btc跨链支付方案将同时覆盖和defi相关的所有匿名支付场景，为defi的数据身份隐私保驾护航。suterusu目前合作的defi项目包括hyperdao, czz, meter，还有一些带defi功能的知名公链项目，比如elrond, theta, neo，harmony等等。如此众多的合作项目可以说充分证明了defi技术社区对我们项目技术的信任，我们目前还在继续喝一些国内外知名defi项目合作，suter成为隐私defi领域的chainlink应该说指日可待。

5.和其他类似项目相比，比如Tornado.cash，Suterusu有哪些优势？

林煌：1. Tornado的解决方案不能保护交易金额隐私。Suterusu的方案同时保证交易参与者 匿名性和交易数据保密性。

2. Tornado的方案和Zcash一样都基于ZK-SNARK，因此需要可信初始化。Suterusu 的方案则无需可信初始化，因此更加安全透明。

3. 和Tornado的方案只适用于以太坊不同，Suterusu针对智能合约平台的匿名支付方 案是通用的，换句话说他不仅仅支持以太坊还支持任意的智能合约平台，这也是为 何目前众多的智能合约平台项目和我们合作的原因。

4. Suterusu的虚拟机还提供了针对比特币的跨链匿名转账功能，这将为Suterusu的 生态系统带来更多的流动性。

5. 由于Suterusu的匿名支付方案同时支持智能合约平台和比特币跨链转账，我们提 供的技术模块之上还可以构建更为精妙复杂的Defi功能。

6. 能介绍下Suterusu的近期技术进展吗？除了现有的项目，Suterusu以后的发展方向或者侧重点在哪？出于什么样的原因让你们决定走这样的发展路线？

林煌： 我们最近发布了suterusu的测试协议。主要包含有如下几个功能

1.无需可信初始化的零知识证明代码库

我们知道需要可信初始化的零知识证明方案在初始化过程中会涉及到一些陷⻔知识，这个 有点类似于签名方案中的私钥。签名方案的私钥一旦泄漏，攻击者就可以使用私钥生成无限数量的合法数字签名。

如果把这种情况映射到零知识证明中，这种陷阱⻔信息被盗意味着攻击者可以生成无限量 的合法零知识证明。在Zcash这样的加密货币方案中，零知识证明是用于证明货币的所有 权和合法性，这种攻击意味着攻击者可以打印无限量的数字货币而无法被检测到。

尽管安全多方计算协议可以减轻可信初始化对系统安全性的影响，但没有从根本上解决这个问题。它仍然仅提供一个非常有限的安全级别，因为MPC协议本身有可能会引入额外的安全漏洞，而且它最终仍是由有限的几方运行的。

另外，现有的可信初始化的零知识证明方案的安全性往往是规约到一些最新提出的非标准 假设上。这些假设的安全性尚未在实践中经过全面测试。在数学家社区中，关于这些假设 是否安全其实也存在诸多争议。因此，即使从纯粹的理论⻆度看，这些零知识证明方案的 安全性仍然值得怀疑。

Suter 1.0实现的零知识证明不需要可信初始化。所有初始化中的公开参数均通过完全透明的过程从对应群中随机选取。在Github repo里可以找到suter proof的实现，任何人都可以通过检查我们的代码对这点进行验证。最后，此测试协议中使用的零知识证明方案的安全性规约到标准离散对数假设上，这也是很多在实践中广泛部署的各种密码方案的底层假设，因此我们方案的安全性基础是非常牢固的。

2. 针对智能合约平台的匿名支付方案

目前，市场上实现的通用匿名支付方案主要是服务于1层隐私硬币，例如zkash的zk-snark 或monero的环形保密交易等。一个智能合约平台的匿名支付方案和用于第1层隐私硬币的 方案差别在于:

很多UTXO模型的第1层隐私硬币，他们往往使用数字承诺方案来保护交易中涉及金额。 如果接收者无法打开数字承诺，仅仅意味着以后无法使用这个UTXO帐户。因此，在 UTXO模型下，发送方在向接收方发送与转账对应的密钥时，通常不需要提供零知识证明 即可证明加密后的秘密合法性。

在基于帐户的模型中，所有转账金额最终都汇总到一个用户帐户中。因此，在该模型下， 即使有一次打开帐户接收到的转账金额的随机密钥不合法，就意味着该帐户的所有其他转 入金额都不能再使用了，因为聚合后的随机密钥无法用于打开相应的密文。

因此，需要用于智能合约平台的匿名支付方案提供零知识证明来证明所加密账户密钥的合 法性，来避免上述问题。这也意味着我们需要分别更改相应的转账一致性证明和范围证 明;

测试协议的匿名支付代码库为智能合约平台提供了转账一致性证明和范围证明。(转账一致性证明是指转账交易中输入金额与输出金额之和相等。范围证明是指转账所涉及的金额属于 正确的范围，因此可以确保攻击者无法发起攻击以凭空印刷suter币。)

最近，我们推出了一个去中心化的隐私交易平台，Suter Trade。该产品目前在测试阶段，支持合成资产的隐私交易和现货产品的的隐私交易。用户可以通过质押Suter 代币来交易合成资产，并且可以通过为流动性池子提供流动性来进行挖矿，将很大程度促进Suterusu的生态发展。另外我们还发布了一些有关Suter虚拟机和链上管理机制的说明书。大家可以在 medium上看到这些文章。