适配器签名及其在跨链原子交换中的应用

随着比特币Layer2扩容方案的快速发展,比特币与其Layer2网络之间的跨链资产转移频率显著增加。这一趋势由Layer2技术提供的更高可扩展性、更低交易费和高吞吐量所推动,促进了比特币在各种应用中的更广泛采用和集成。因此,比特币与Layer2网络之间的互操作性正成为加密货币生态系统的关键组成部分,推动创新并为用户提供更多样化和强大的金融工具。

比特币与Layer2之间的跨链交易主要有三种方案:中心化跨链交易、BitVM跨链桥和跨链原子交换。这三种技术在信任假设、安全性、便捷性、交易额度等方面各有特点,能满足不同的应用需求。

跨链原子交换是一种实现去中心化加密货币交易的合约。"原子"意味着一种资产所有权的变更实际上意味着另一种资产所有权的变更。该概念于2013年在Bitcointalk论坛上首次提出,2017年Decred和Litecoin首次成功完成了原子交换。原子交换必须涉及两方,任何第三方不能中断或干扰交换过程。这意味着该技术是去中心化的、不受审查、具有较好的隐私保护、能实现高频跨链交易,因此在去中心化交易所中得到广泛应用。

当前,跨链原子交换主要包括基于哈希时间锁(HTLC)和基于适配器签名两种技术。基于适配器签名的原子交换相比HTLC原子交换具有以下优势:

1. 取代了链上脚本,包括时间锁和哈希锁,被称为"隐形脚本"。
2. 链上占用空间减少,使得交换更轻量、费用更低。
3. 交易无法链接,实现更好的隐私保护。

本文介绍了Schnorr/ECDSA适配器签名与跨链原子交换的原理,分析了适配器签名中存在的随机数安全问题和跨链场景中的系统异构和算法异构问题,并给出了相应的解决方案。最后,对适配器签名进行了扩展应用,实现非交互式数字资产托管。

适配器签名与跨链原子交换

Schnorr适配器签名与原子交换

Schnorr适配器签名的原子交换过程如下:

1. Alice生成随机数y,计算Y = y·G
2. Bob生成随机数r,计算R = r·G
3. Bob计算c = H(R,pk,m),s = r + cx
4. Bob发送(R,s̃ = s - y)给Alice
5. Alice验证R = s̃·G + c·pk - Y
6. Alice广播交易tx_A
7. Bob广播交易tx_B,揭示y
8. Alice从tx_B中提取y,计算s = s̃ + y
9. Alice广播(R,s)

ECDSA适配器签名与原子交换

ECDSA适配器签名的原子交换过程如下:

1. Alice生成随机数y,计算Y = y·G
2. Bob生成随机数k,计算R = k·G
3. Bob计算r = R_x mod n, s̃ = k^(-1)(H(m) + rx) - y
4. Bob发送(r,s̃)给Alice
5. Alice验证r·G = (s̃ + y)·H(m)·G^(-1) + r·pk
6. Alice广播交易tx_A
7. Bob广播交易tx_B,揭示y
8. Alice从tx_B中提取y,计算s = s̃ + y
9. Alice广播(r,s)

问题与解决方案

随机数问题与解决方案

适配器签名中存在随机数泄露和重用的安全问题,可能导致私钥泄露。解决方案是使用RFC 6979,通过确定性方式从私钥和消息导出随机数k:

k = SHA256(sk, msg, counter)

这确保了k对每条消息都是唯一的,同时对相同输入具有可重现性,减少了与弱随机数生成器相关的私钥暴露风险。

跨链场景问题与解决方案

1. UTXO与账户模型系统异构问题: 比特币采用UTXO模型,而以太坊系统采用账户模型。在以太坊系统中,由于无法预知nonce,无法预先签名退款交易。解决方案是在Bitlayer端使用智能合约实现原子交换,但会牺牲一定隐私性。

2. 相同曲线、不同算法的适配器签名安全性: 如果Bitcoin和Bitlayer均使用Secp256k1曲线,但Bitcoin使用Schnorr签名,Bitlayer使用ECDSA,这种情况下的适配器签名是可证明安全的。

3. 不同曲线的适配器签名不安全: 如果Bitcoin使用Secp256k1曲线和ECDSA签名,而Bitlayer使用ed25519曲线和Schnorr签名,则不能使用适配器签名,因为曲线不同导致模系数不同。

数字资产托管应用

基于适配器签名可以实现非交互式门限数字资产托管,主要步骤如下:

1. 创建未签名funding交易,将BTC发送给Alice和Bob之间的2-of-2 MuSig output
2. Alice生成随机值t_A,发送预签名和密文给Bob
3. Bob重复步骤2
4. Alice和Bob验证密文有效性,签署并广播funding交易
5. 发生争议时,托管方可解密并发送t_A/t_B给Bob/Alice

这种方案相比门限Schnorr签名具有非交互优势,但灵活性较低。可验证加密是实现该方案的关键密码学原语,主要有Purify和Juggling两种实现方式。

适配器签名为比特币与Layer2网络之间的跨链资产交换提供了一种去中心化、高效且保护隐私的解决方案。通过解决随机数安全问题和跨链场景中的异构问题,适配器签名可以在实际应用中发挥重要作用,推动比特币生态系统的发展。