隐私，在任何系统里，都不是一个可以一劳永逸解决的问题，它是一场持续的博弈。

撰文：富贵

缘起

2026 年 6 月初，两件事撞在一起，像是加密圈专门为「隐私」这个话题准备的一次现场教学。

一件是 Zcash（ZEC）的 Orchard 隐私池被曝出存在近四年的零知识证明电路漏洞，攻击者理论上可以在屏蔽池内无限双花隐藏的 ZEC。最致命的地方不是漏洞本身，而是：没有任何人能证明这四年里究竟有没有人悄悄用过它。应急补丁（NU6.2）在 48 小时内上线，链上分析也未发现实际利用迹象——但「无法证明没有发生」这件事，本身已经足够摧毁叙事。消息一出，Arthur Hayes 公开清仓，ZEC 随即在 48 小时内跌去约五成。这个人的每一次「公开」行动背后，大概率已经做完了它该做的事。

另一件是 Zama 协议的 cUSDC 合约被 Circle 根据美国联邦法院临时禁制令（TRO）冻结，涉及约 1260 万美元。事情的起点是另一个项目 Overnight Finance 的治理纠纷——涉案资金被转入 Zama 的保密封装合约躲避追踪，Circle 接令后直接将整个合约地址列入黑名单。Zama 没有提前收到任何通知，无辜用户的资金也一并被锁，因为 cUSDC 是一个资金池结构，合约里所有人的钱共享同一个地址。Zama 的核心技术是全同态加密（FHE），理论上连计算过程都可以在密文里完成——当前最前沿的隐私技术之一。结果被一纸法院令冻得干干净净。密码学可以欺骗数学，法律不需要解密。

这两件事让人闻到了一个更大问题的气味。本文从比特币的原始隐私设计讲起，经过三大老牌隐私币的起落，再到新一代隐私协议的百花齐放，最后落到一个很少被正面谈论的地方：隐私在实际场景里究竟如何被当作武器，也如何被武器对付。

比特币其实是一封写给隐私的情书

2008 年，中本聪发布白皮书，他想解决的问题有两个，而且这两个问题从一开始就是绑在一起的：金融独立与隐私匿名。

金融独立好理解——不依赖银行，不依赖政府，两个人之间直接完成价值转移。而在白皮书的第十节，他专门讨论了隐私，给出了一个在当时相当聪明的设计：公钥匿名。你的比特币地址是公钥的哈希值，不含任何真实身份信息。任何人都看得到「某地址向某地址转了多少钱」，但看不到地址背后是谁。他还建议每笔交易用一个全新的地址，旧地址用完即弃。UTXO 模型本身也带了一点天然的隐私性——找零地址和收款地址在链上长得一模一样，理论上外人分不清哪笔是给别人的，哪笔是找给自己的。

这套设计有个核心的隐含逻辑：通过扩大匿名集（anonymity set）来保护个体。匿名集越大，追踪单个地址的成本越高。早期比特币社区里弥漫着一种黑客式的浪漫：用数字代替身份，用密码学代替信任，用点对点网络代替银行。大家相信比特币是「不可追踪的」。

然后到了 2013 年，这个信仰被一篇论文戳破了。加州大学圣地亚哥分校的 Sarah Meiklejohn 发表了《A Fistful of Bitcoins》，把两个启发式规则叠在一起：多输入合并规则（一笔交易用了多个地址作为输入，那些地址必然属于同一人）和找零地址识别规则（找零金额通常不是整数，找零地址通常是第一次出现的新地址）。她标记了超过 1000 个已知实体的地址簇，证明即使严格遵守「每笔交易用新地址」的原则，链上活动仍然可以被完整重建——匿名集在统计学技巧面前哗然瓦解。这篇论文直接催生了 Chainalysis 和 Elliptic，后来获得了 2024 年 ACM 互联网测量会议的「时间检验奖」，被公认为区块链取证领域的奠基之作。

比特币从来不是匿名的，它是伪匿名的（pseudonymous）。这两个词的差别，就是穿着面具的人和真正没有脸的人之间的差别。

三大老炮的黄金时代与落日余晖

比特币的隐私神话被戳破之后，市场需要真正的隐私币。2017 年前后，三个项目以不同的姿态登上了舞台。

门罗币（XMR），隐私原教旨主义者。2014 年诞生，技术上用了三件套：环签名（Ring Signatures）遮掩发送方，隐身地址（Stealth Addresses）隐藏接收方，环机密交易（RingCT）抹掉金额。最关键的是，门罗币没有「透明模式」——所有交易默认完全隐藏，没有选项，没有妥协。这也意味着它的匿名集是全体用户，而不是选择使用隐私功能的少数人。2017 年牛市最高接近 480 美元。

大零币（ZEC），学院派的合规先锋。2016 年由 Zcash 基金会推出，用了 zk-SNARKs 零知识证明，理论上是当时密码学最精密的隐私设计。它同时提供透明地址和屏蔽地址（z-address），用户可以自己选，还提供查看密钥供审计方披露交易。ZEC 在 2016 年上线初期流动性极低，价格一度虚高至约 5900 美元；进入 2017 年正式牛市后，最高约 744 美元。

达世币（DASH），一个从名字开始就模糊自己身份的项目。最初叫 XCoin，后来改名 Darkcoin，2015 年再改成 Dash，「数字现金」的缩写。隐私功能 PrivateSend 本质是链上混币，是三者中最弱的一档，走的是支付实用主义路线。

2017 年大涨之后，监管寒冬来得很快，但并非一夜之间。日本是最早动手的——2018 年，日本交易所 Coincheck 遭遇史上最大黑客攻击，当局随即以 AML 为由要求全国交易所下架隐私币。韩国随后跟进，2019 年 OKEx 韩国站下架 XMR、DASH、ZEC。澳大利亚在 2020 年加入。但真正的全球下架潮，是在欧盟 MiCA 法规推进之后才达到峰值——2024 年，全球将近 60 个交易所对隐私币执行下架，为历史最高。Binance 在 2024 年 2 月宣布全球下架 XMR，OKX 在 2024 年 1 月跟进，Kraken 则在 2024 年 4 月从爱尔兰和比利时下架、同年 10 月扩展至整个欧洲经济区。从 2018 年到 2024 年，这是一场用了六年才打完的收网。

然后到了 2025 年下半年，故事来了一个转折。

隐私叙事回来了，机构资金入场，整个板块集体回升。门罗币在 2026 年 1 月 14 日创下历史新高，逼近 800 美元。ZEC 从 16 美元的低点飙到最高约 744 美元，涨幅超过四千五百个百分点。Binance 重新上线了 ZEC/USDC 永续合约，Grayscale 递交了 ZEC ETF 申请，SEC 在 2026 年 1 月正式宣布不对 Zcash 基金会采取执法行动。一年前还在集体下架的东西，现在又集体欢迎回来了。

这轮 ZEC 的重返有几个细节值得玩味。屏蔽交易的实际使用比例并没有随价格同步上升，机构披露动作和价格节点高度吻合，机构进场的叙事是「合规隐私」而非真正的隐私需求。你说它是利好，也算是利好；你说它是表演，也是表演。

至于 Dash，还在拉丁美洲卖咖啡，偶尔被拿出来当「监管友好型隐私币」的案例，本质上已经是一个支付项目，隐私只是它历史上的一个标签。

新一代：隐私从 coin 变成了协议（基础设施）

老牌隐私币的逻辑是：把隐私做进货币本身。新一代的思路翻了个面：把隐私做成可以插拔的协议层，让整个 Web3 都能用。

这个转变背后是零知识证明（ZK-SNARKs / ZK-STARKs）在 2020 年前后的大规模工程化：以太坊的 ZK Rollup 生态成熟，证明生成速度从分钟级压缩到秒级，成本下降了几个数量级。全同态加密（FHE）也开始从纯理论走向可部署阶段。这些技术的商业化，让「隐私即服务」成为可能。

Aztec Network 是以太坊隐私 L2 的代表，用自研的 Noir 隐私编程语言和高效 PLONK 证明系统，让开发者在上面写隐私借贷、隐私 DAO、隐私 NFT，而不只是隐私转账。

Railgun 走另一条路：不需要迁移资产，直接在以太坊上为现有的 ERC-20 和 NFT 添加隐私层。2025 年它开始引入限制被制裁地址进入隐私池的机制，算是主动合规的姿态。

Namada和Penumbra在 Cosmos 生态里各自构建跨链隐私层，前者支持任何类型资产的屏蔽传输，后者做了一个全链默认私密的跨链 DEX。Namada 2026 年 5 月刚上了主网第一阶段。

Midnight Network，Cardano 团队孵化的项目，2026 年 3 月主网上线，谷歌云和 Moneygram 已经在上面开发。设计哲学是「可编程选择性披露」，把隐私从开关变成精细控制的基础设施，对企业和机构来说比门罗币友好得多。

然后是 Zama——也就是本文缘起里那个被 Circle 冻结合约的项目。它的技术路线是全同态加密（TFHE），允许直接在加密数据上运算，全程不解密。技术没有问题，问题在于它把这个技术套在了一个依赖 Circle 的中心化稳定币合约上，然后被一纸法院令上了一课。

还有一个叫 Interfold的项目，做抗胁迫投票协议（CRISP），把 ZK-SNARKs、FHE 和分布式门限密码学三重叠加，2026 年 5 月推出，Vitalik Buterin 公开推荐。

新一代隐私协议的整体趋势，是从「绝对匿名」向「可编程选择性隐私」移动。监管友好度越来越高，但真正使用隐私功能的用户比例并没有等比例上升。

匿名集的困境

2013 年是一个奇特的年份：同一年里，一篇论文证明了比特币的隐私是幻觉，斯诺登则证明了监视的规模远比任何人想象的大。这两件事加在一起，构成了 Web3（post-Snowden network） 隐私叙事最核心的地基。

Web2 的隐私依赖平台自律——你相信 Google 不会把你的搜索记录卖给你的雇主，相信微信不会把聊天记录交给第三方，尽管技术上他们随时可以。这是一种契约隐私，建立在服务协议和监管威慑上，本质是对机构的信任外包。Web3 的支持者提出了一个不同的主张：用密码学代替信任，用可验证的数学承诺取代平台的道德承诺。一个在链上被加密的交易，不是「银行说不会泄露」，而是「数学上无法被读取」。这是架构层面的差异，不是产品设计层面的差异。

但密码学保护的，是被选择保护的那一部分。

这里有一个反直觉的困境，叫匿名集悖论。隐私保护的实际强度，不取决于加密算法有多好，而取决于同时使用这个功能的人有多少。ZEC 的屏蔽地址只有少数用户在使用——即使到了 2026 年的涨价高峰，屏蔽交易占比也远未达到多数。这意味着在链上，「我选择使用屏蔽地址」本身就是一个可见的信号；加密的是内容，暴露的是意图。一个在人群中戴口罩的人，比一个口罩人群里的普通成员显眼得多。门罗币用强制私密解决了这个问题——所有交易都是隐藏的，没有人能通过「他用了隐私功能」这个事实来缩小候选人范围。这是 XMR 在隐私哲学上最彻底的设计，也恰恰是它被全球交易所集体下架的根本原因：监管无法容忍一个天生没有透明模式的资产。

新一代的「可编程选择性隐私」试图走一条中间路线：平时隐藏，需要时可以证明，由用户控制披露粒度。这在工程上是聪明的，在监管博弈上是务实的。但它在结构上始终面对同一个矛盾：灵活性和匿名集是此消彼长的关系。越多的人选择「透明模式」，越少的人在「隐私池」里，隐私池里剩下的人就越显眼。选择性隐私在极端情况下会退化成一个信号——「我开启了隐私功能，所以我有值得隐藏的东西」。这不是密码学的失败，这是人类行为的逻辑。

场景的悖论

先说一个很少被认真对待的事实：Blockchain 天生是公开账本，所有交易记录永久上链、全球可查，且从技术上无法删除。任何人持有一个钱包地址，就意味着他的每一笔收支——金额、时间、对手方——都可以被任何人用区块链浏览器完整回溯。一个普通用户用链上地址买杯咖啡，只要地址一旦和真实身份挂钩，他过去几年的全部财务轨迹就是公开的。对于资金量可观的地址，这更是一种持续的安全威胁：链上鲸鱼的仓位实时可见，每一次大额转入转出都会引发追踪和跟单。Overnight Finance 的 Maxim Ermilov 在接受采访时说，他把资金转入 Zama 的保密合约，是为了「不让公众看见余额，降低个人安全风险」——因为加密圈的绑架案件屡见不鲜。这不是极端理由，这是 2026 年持有链上资产的现实处境。

然而，这份对隐私的需求，在落地时往往走向另一个方向,又变成不那么在乎。

治理投票:DAO 引入匿名投票的初衷是好的：防止贿选、防止鲸鱼施压。但这里有一个规模悖论：在大型 DAO 里，治理代表们会主动公开自己的投票意向来积累影响力，而影响力可以直接换成钱——透明度对他们是资产而非负担。更有意思的是，大户会在投票前公开表态引导情绪，等散户跟风之后在市场上各种骚操作。在小规模 DAO 或组织内部投票里，情况又翻转了——这种量级的投票根本不需要动用链上隐私协议，一个可信的 TEE 黑箱或链下多方计算就能解决，经济上没有理由为此部署一套 FHE 合约。Interfold 的抗胁迫投票协议（CRISP）试图从密码学上切断投票结果被提前泄露的可能——但它能阻止一个人在投票之前发推特说「我打算投反对」吗？隐私保护的是密文，不是嘴巴。

暗池交易：链上暗池的理想是让大额订单不被 front-running，不暴露策略。但与此同时，Hyperliquid 这样完全公开的链上永续 DEX，其全透明设计本身反而产生了截然不同的效果：所有仓位、入场价、杠杆、未实现盈亏全部实时可查，形成了一个天然的社交层——顶级交易员的持仓成为市场情绪的锚点，大额多空单公开即引发跟单和讨论，流量和叙事反过来强化了他们的影响力。透明度在这里不是弱点，是广告。暗池保护的，是不想被人看见的那一面；但公开的账本，有时候恰恰是更有力的武器。

钱包即简历与证明：现在很多 Web3 招聘都推荐开始用链上记录作背景调查——你参与过哪些项目，有没有 rug 过，有没有被 rug 过，治理投票的参与度如何。越来越多的协议在邀请用户时，会要求提供钱包地址来佐证交易记录，这份公开可查的链上历史成为信用的替代物。但你交出一个钱包地址，交出去的不只是职业履历，是完整的财务人生：资产规模，入场时间，失败的交易，以及你每天几点操作、情绪怎样波动。一个 ENS 域名把链上历史和链下身份绑死，且这个绑定是永久的、不可撤销的。与此同时，零知识证明理论上可以做到「我证明我有 X 以上的资产，但不告诉你具体多少，也不告诉你来源」——但金融机构的 AML/KYC 要的不只是你有钱，要的是你的钱来源可追溯。ZK 证明满足不了这一点，因为「无法追溯」正好是它的设计目标。两者之间的矛盾，短期内没有技术解。

匿名攻击：这是最少被正面谈论的一面。MEV 机器人用匿名合约吃价差，黑客用混币器洗劫资金，暗网用门罗币结算。Tornado Cash 的开发者 Roman Storm 被美国司法部起诉，不是因为他偷了钱，而是因为他写了让别人能够匿名转钱的代码。监管机构从来不相信「工具无罪」这句话。还有一种更隐蔽的手法：女巫攻击（Sybil Attack）。攻击者在项目早期创建大量钱包地址，每个地址都保持正常的交互频率和资金流向，在链上养出一批「历史正常」的账户，等到空投快照时批量收割。这些地址即便不匿名，也几乎无法和真实用户区分——因为它们本来就在模拟真实用户。区块链的伪匿名性在这里不是隐私保护，而是攻击基础设施。

这些悖论有一个共同的结构：人们在需要隐私保护自己的时候呼唤隐私，在可以用透明度攻击别人的时候拥护透明。隐私和透明，从来不是两种哲学立场，而是两种策略工具，按场景切换。

技术能做什么，以及做不到什么

加密圈经常把隐私当作一个技术问题来讨论：密码学不够强，协议设计不够好，匿名集太小，链上数据太透明。这个诊断不是错的，但它只说了一半。

新一代的协议已经在认真回答「技术能做什么」这个问题，给出的答案比 2017 年那批项目务实得多。

私密结算与企业支付是目前最接近落地的方向。企业不希望竞争对手通过链上记录看穿自己的供应商关系、资金规模和结算节奏。传统金融里的 SWIFT 报文和银行账户本来就是保密的，链上结算要想替代它，就必须提供同等的保密性。FHE 和 ZK 支付层正在向这个场景渗透——Zama 的事故恰好说明方向没有错，只是底层基础设施依赖中心化稳定币这一环还差一截。

机构级可审计隐私是另一个有真实买家的方向。传统金融机构不需要完全不透明，需要的是「只让该看的人看见」——审计方通过 viewing key 查账，监管方在司法程序下才获得解密权限，平时对外全程加密。Canton Network、Aztec、Midnight 等项目都在向这个方向走，企业采用率与完全不透明的系统相比高得多。这套逻辑的终点，是把「合规」从隐私的对立面变成隐私协议的一个内置功能。

链上身份与凭证是选择性披露最直接的应用出口。用 ZK 证明「我是合格投资者」却不暴露净资产，证明「我通过了 KYC」却不提交护照原件，证明「我的资金不来自制裁名单」却不公开完整的交易历史。这是监管最愿意接受的路径，也是目前 Web3 身份协议最密集的战场。

混合隐私架构是工程层面的现实选择。没有单一技术能同时满足速度、信任最小化和灵活性：ZK 证明的生成开销仍然不小，FHE 的计算成本在通用场景下依然高昂，TEE 的安全假设依赖硬件厂商的可信度。2025 年之后，ZK+TEE、ZK+MPC 的混合方案开始成为主流——TEE 处理实时计算，ZK 提供可验证证明，MPC 分散密钥避免单点失败。Mind Network、Nillion 等项目把这套组合拳推向生产环境，它更像工程妥协的产物，而不是密码学圣杯。

但 Zama 事件说明了另一件事：全同态加密再厉害，依赖中心化稳定币的合约被法院临时禁制令冻结，跟密码学毫无关系。Zcash 的 Orchard 漏洞说明了另一件事：零知识证明电路存在近四年的致命漏洞，而且无法通过任何链上分析证明它有没有被利用过——这恰恰是「隐私」这个特性带来的副作用。你保护了诚实用户，也保护了可能已经作案的攻击者。

隐私的真正问题，从来不只是技术问题，而是谁在什么时候对谁要求隐私，以及为什么。

bitcoin 最初想解决的是：在不依赖第三方的情况下，两个人之间完成价值转移，且过程不被监控。这个目标本身没有问题。但这个目标在现实社会里落地，必然和 AML、KYC、税务申报、司法管辖、资产冻结这些东西发生碰撞。没有任何密码学可以让你在保持匿名的同时，也拥有「合规」这张牌。

「选择性披露」和「可编程合规」是目前最务实的方向——但它意味着，「隐私权」在现实世界里的上限，取决于你所在的司法管辖区愿意承认多少。密码学给了你一把锁，但锁装在谁的门上，门开在哪个国家的土地上，由法律说了算。

加密圈有一种特有的信仰：代码即法律（Code is Law）。但代码被法院冻结的那一天，法律还是法律，代码只是代码。

结尾

2009 年，中本聪创造了一个工具，想让人们在不被监视的情况下转移价值。

2013 年，一篇论文证明这个工具的隐私是幻觉。同一年，斯诺登告诉全世界，监视的规模远比任何人想象的大。

2017 年，一批项目以「真正的隐私」为卖点登上舞台。2018 年，日本率先动手下架，监管的收网从亚洲开始，用了六年时间蔓延到全球。

2025 年，同一批项目在「合规隐私」的新叙事下重新登场，价格翻了几十倍。

2026 年 6 月，一个用了全同态加密的隐私协议，被一纸法院令冻结了所有用户的资产；一个用了零知识证明的隐私币，发现自己的隐私池里可能藏着一个无法被验证的罪案。

这不是失败，这是教材。隐私，在任何系统里，都不是一个可以一劳永逸解决的问题。它是一场持续的博弈：技术和权力之间，个人和体制之间，「我不想让你看见」和「我必须让你看见」之间。

加密圈现在有足够好的密码学工具，有越来越成熟的工程实现，有比 2017 年聪明得多的监管应对策略。

缺的，只是对「为什么要隐私」这个问题，多一点诚实。