Підпис адаптера та його застосування в крос-ланцюгових атомарних обмінах

З розвитком рішень для масштабування Layer2 біткоїна, частота міжмережевих (крос-ланцюг) переміщень активів між біткоїном і мережами Layer2 значно зросла. Цю тенденцію підтримує вища масштабованість, нижчі комісії за транзакції та висока пропускна здатність, які забезпечує технологія Layer2. Ці досягнення сприяють більш ефективним і економічним транзакціям, що, у свою чергу, стимулює ширше прийняття та інтеграцію біткоїна в різних застосуваннях. Тому взаємодія (інтероперабельність) між біткоїном і мережами Layer2 стає ключовим компонентом екосистеми криптовалют, сприяючи інноваціям і надаючи користувачам більш різноманітні та потужні фінансові інструменти.

Біткойн та крос-ланцюгові транзакції між Layer2 мають три основні рішення: централізовані крос-ланцюгові транзакції, BitVM крос-ланцюговий міст і крос-ланцюговий атомарний обмін. Ці технології мають свої особливості в аспектах довірчих припущень, безпеки, зручності та обсягів транзакцій, що може задовольнити різні потреби застосування.

Централізовані крос-ланцюгові транзакції швидкі, а угоди легкі, але безпека повністю залежить від централізованих установ, що створює ризики для фінансів і проблеми з порушенням конфіденційності. Крос-ланцюговий міст BitVM запроваджує механізм оптимістичних викликів, техніка відносно складна, комісії за транзакції досить високі, що робить його основним рішенням для надвеликих транзакцій. Крос-ланцюговий атомарний обмін є децентралізованим, без цензури, з хорошим захистом конфіденційності рішенням для високочастотних крос-ланцюгових транзакцій, яке широко використовується на децентралізованих біржах.

Технологія крос-ланцюгового атомного обміну в основному включає хеш-часовий замок та підпис адаптера. Атомний обмін на основі хеш-часового замка (HTLC) є значним проривом у децентралізованому обміні, але існує проблема витоку приватності користувачів. Атомний обмін на основі підпису адаптера замінює скрипти на ланцюгу, займає менше місця, має нижчі витрати, а транзакції не можуть бути пов'язані, що забезпечує кращий захист приватності.

У цій статті розглядаються принципи адаптерного підпису Schnorr/ECDSA та крос-ланцюгового атомарного обміну, аналізуються проблеми безпеки випадкових чисел в адаптерному підпису та системна гетерогенність у крос-ланцюгових сценаріях, а також надаються відповідні рішення. Нарешті, адаптерний підпис розширюється для застосування, реалізуючи неінтерактивне зберігання цифрових активів.

Підпис адаптера Schnorr та атомарний обмін

Основний процес підписання адаптера Schnorr виглядає наступним чином:

1. Аліса генерує випадкове число r, обчислює R = r·G
2. Підпис адаптера Alice: c = H(X,R,m), s' = r + c·x
3. Alice відправить (R,s') Бобу
4. Боб перевіряє підпис адаптера: s'·G = R + c·X
5. Bob генерує y, обчислює Y = y·G
6. Боб обчислює s = s' + y, отримуючи повний підпис (R,s)
7. Аліса витягує y = s - s' з s

Процес атомного обміну на базі адаптерного підпису Schnorr виглядає наступним чином:

1. Аліса генерує транзакцію TxA, відправляючи монету Бобу
2. Боб генерує транзакцію TxB, відправляючи монети Алісі
3. Аліса генерує підпис адаптера для TxA та надсилає його Бобу
4. Боб генерує підпис адаптера для TxB і надсилає його Алісі
5. Боб транслює повний підпис TxB
6. Аліса витягує y з підпису TxB, завершує підпис TxA і транслює.

Підпис ECDSA адаптера та атомарний обмін

Основний процес підпису адаптера ECDSA виглядає так:

1. Аліса генерує випадкове число k, обчислює R = k·G
2. Аліса обчислює: z = H(m), s' = k^(-1)·(z + R_x·x)
3. Аліса відправила (R,s') Бобу
4. Боб перевіряє підпис адаптера: R = (z·s'^(-1))·G + (R_x·s'^(-1))·X
5. Боб генерує y, обчислює Y = y·G
6. Боб обчислює s = s' + y, отримуючи повний підпис (R,s)
7. Аліса витягує y = s - s' з s

Процес атомного обміну, заснований на підписах адаптера ECDSA, подібний до Schnorr.

Питання та рішення

Проблема випадкових чисел та рішення

У підпису адаптера спостерігаються проблеми з витоком і повторним використанням випадкових чисел, що може призвести до витоку приватного ключа. Рішенням є використання RFC 6979, яке дозволяє отримувати випадкове число k за допомогою детерміністичного методу з приватного ключа та повідомлення:

К = SHA256(sk, мсг, counter)

Це забезпечує унікальність k для кожного повідомлення, водночас маючи відтворюваність, що зменшує ризик витоку приватного ключа.

Проблеми та рішення сценаріїв крос-ланцюга

1. Проблема гетерогенності між системами UTXO та рахунків: біткойн використовує модель UTXO, тоді як Bitlayer використовує модель рахунків. Рішення полягає в тому, щоб на стороні Bitlayer використати смарт-контракти для реалізації атомарного обміну, але це призведе до певної втрати приватності.

2. Підписи адаптерів з однаковими кривими, але різними алгоритмами є безпечними. Наприклад, Bitcoin використовує підписування Schnorr, а Bitlayer використовує ECDSA, що можна довести на основі безпеки.

3. Адаптерні підписи різних кривих небезпечні. Наприклад, Bitcoin використовує Secp256k1, Bitlayer використовує ed25519, і через різницю в кривих коефіцієнти модулів відрізняються, що робить їх небезпечними для використання.

Додаток для зберігання цифрових активів

На основі підпису адаптера можна реалізувати неінтерактивне зберігання цифрових активів за схемою 2 з 3:

1. Alice та Bob створюють фінансування транзакції з 2-of-2 MuSig виходами
2. Аліса та Боб відповідно генерують адаптерні підписи та шифротексти, надсилають їх один одному
3. Після перевірки підписати та розповсюдити транзакцію фінансування
4. У разі виникнення спору, довірена особа може розшифрувати шифротекст для отримання секрету, щоб допомогти одній стороні завершити угоду.

Цей підхід не вимагає участі ескроу у ініціалізації, має переваги неінтерактивності. У реалізації використовуються перевірені криптографічні технології, такі як Purify та Juggling.

В цілому, адаптери підпису забезпечують інноваційні криптографічні інструменти для застосувань, таких як крос-ланцюг атомарний обмін і зберігання цифрових активів, але в реальних застосуваннях все ще необхідно звертати увагу на безпеку випадкових чисел і сумісність систем.