Bitcoin（比特币白皮书）

一句话

中本聪提出比特币——一套不依赖任何银行或可信第三方、纯靠点对点网络运行的电子现金系统。它用工作量证明（proof-of-work）+ 最长链规则，让互相匿名、可随意进出的陌生人也能就「交易发生的先后顺序」达成一份人人认同的账本，从而解决了数字货币最棘手的双花（double-spending）问题。这也是区块链与整个加密货币领域的起点。

Glossary · 术语表

坐标

2008 年 10 月，化名中本聪者在一个密码学邮件列表贴出这篇 9 页白皮书；2009 年 1 月发布开源软件并挖出「创世块」。它站在密码学与分布式系统几十年积累之上——公钥密码与数字签名（Diffie-Hellman、RSA，见 paper34/40）、Haber & Stornetta 的文档时间戳链、Adam Back 的 Hashcash（工作量证明防垃圾邮件）、戴维的 b-money 设想、Merkle 树。它与 Lamport 的拜占庭将军问题（paper38）遥相呼应，却给出了一条全新的路：在开放、匿名、无准入的网络里达成容错一致。下启比特币之后的一整个区块链 / 加密货币 / 智能合约（以太坊）/ DeFi 世界。

问题与动机

互联网上「钱」的本质是数据，而数据能被无损复制。现实钞票天然防双花（一张纸不能同时在两处），可一枚「电子币」不过是一串比特，我完全能把它同时签给两个人。

此前所有电子支付，归根到底都靠一个可信第三方：所有交易过它的中心账本，它说「这枚币刚花过」，第二笔就无效。代价沉重——你必须信任它；它能收费、审查、冻结、回滚；它是单点，一旦被攻破或作恶就全盘皆输；「可回滚」本身还逼着商家索要更多个人信息、增加摩擦。

于是真问题浮出水面：能不能在没有任何可信中心、参与者还互相匿名且能随意进出的开放网络里，让所有人对「这枚币花给了谁、哪笔在先」达成唯一且不可反悔的一致？经典共识在这里全线失灵——拜占庭将军、Paxos 都假设参与者名单已知且固定，才能「一人一票」数多数；而在谁都能匿名加入的网络里，一人一票会被女巫攻击瞬间碾碎：伪造一百万个身份就能垄断投票。中本聪要解的，正是「开放匿名下的一致」。

核心思想 / 方法

① 币，就是一串数字签名

比特币把「一枚币」定义成一条签名链。每次转账，现拥有者用自己的私钥，对「上一笔交易的哈希 + 下一个拥有者的公钥」做数字签名，把它接在币的尾巴上。收款人顺着这条链一路验签，就能确认这枚币的来历与当前归属。

但签名链有个致命缺口：它证明得了「这枚币归谁」，却证明不了「它没被花过第二次」。光盯一条链，你看不出拥有者是不是把同一枚币也签给了别人。要堵住双花，收款人必须确信「全网没见过更早的另一笔花费」——这就需要一个所有人都认可的、唯一的交易顺序。传统靠中心造币厂裁定；中本聪要在没有中心的前提下造出这个「唯一顺序」。

② 时间戳链：把交易排成一条谁也改不动的顺序

办法是公开宣布每一笔交易，让全网就先后顺序达成一致。具体做法：把一批交易打包成一个「块（block）」，对整块取哈希公布；而每个块的内容里都包含上一个块的哈希——于是块扣着块，串成一条时间戳链（这正是 Haber & Stornetta 的思想）。这条链天生有个好性质：想篡改历史里的某个块，就得连它之后的每一个块一起改，因为哈希牵一发而动全身。剩下的问题只有一个：该由谁、按什么规则往链上添块，才能防住女巫攻击？

③ 工作量证明：让改账贵到不可行，把「一票」绑到算力上

这是全篇的心脏。中本聪把「记账权」和真实的计算成本绑定：想往链上加一个块，你必须找到一个叫 nonce（随机数）的值，使得整个块的哈希以规定个数的 0 开头。用记号写就是找一个 nonce 使 Hash(块内容 + nonce) < 目标值——白话：哈希不可预测也不可反推，你只能疯狂换 nonce 一个个试，平均要试极多次（要求的 0 越多、次数指数级越大）才能碰上；可别人验证你的答案只需算一次哈希。这就是「工作量证明」：找答案极难、验答案极易。

这一招同时解决两件事。其一，投票权从「身份」换成「算力」：链的分量不看谁喊得响、有多少假账号，而看谁砸进了多少真实计算与电力——女巫攻击失效，因为算力伪造不出。其二，改历史贵到不可行：要篡改早先某块，攻击者得从那里起把后面每块的谜题全部重解一遍，还要抢在诚实矿工继续加新块之前追上并反超；只要诚实节点掌握多数算力，反超概率就随「落后块数」指数衰减。于是全网只需一条朴素约定：最长（累计工作量最大）的链，就是公认的真历史。

④ 网络怎么跑，以及用奖励把人心拉向诚实

整个网络就 6 步循环：① 新交易向全网广播；② 每个节点把交易收进正在挖的块；③ 各节点抢着为自己的块解工作量证明；④ 谁先解出就广播出去；⑤ 别的节点验证块里交易合法、没双花后接受；⑥ 用这个块的哈希当「上一块」，开始挖下一块——「接着往它后面挖」本身就是投票表示接受。万一两人几乎同时解出、链分叉，节点先都留着，等下一个块砸下来、哪条更长就归到哪条，短的作废。

但谁愿意干这烧钱烧电的苦力？中本聪安排了激励：每个块的第一笔是特殊交易，凭空产生一笔崭新的比特币奖给挖到它的人（另加块内手续费）。这一箭双雕——既是新币公平发行进流通的方式（类比金矿：投入算力换出金子），又给了节点持续挖矿、保护网络的动机。更关键的是一个博弈论论证：握有多数算力的人，与其费力造假、砸掉自己手里那堆币的价值，不如老实挖矿领奖——诚实才是更赚的选择。安全性最终不只压在密码学上，也压在「作恶不划算」上。

白皮书还顺手给了两个工程补丁：用 Merkle 树把块里交易归拢成一个根哈希，老交易可剪枝省磁盘；轻节点（SPV）只存块头就能验证收款。隐私上是伪匿名：公钥即地址、不绑真名，建议每笔换新地址以斩断关联。

关键结果

这是一篇设计 + 分析的论文，不是跑分实验，没有数据集与基线。关键定量论证在最后一节：把「攻击者追赶诚实链」建模成赌徒破产 / 泊松过程，算出——只要诚实节点占多数算力，攻击者反超的概率随收款人所等的确认块数 z 指数下降。文中给了具体表：若攻击者占 10% 算力，多等约 6 个确认，被翻盘的概率已低到千分之一量级；算力越接近半数，要等的确认越多。真正的「实验」是它上线后的运行：2009 年 1 月 3 日挖出创世块，此后十余年，这套核心共识在有真金白银动机去攻击的开放对抗环境里持续出块、从未被攻破——这比任何离线跑分都更有说服力。

为什么重要 / 影响

它第一次在完全开放、匿名、无准入的网络里实现了拜占庭容错式的一致——学界称之为「中本聪共识」，突破了经典共识「参与者必须已知且固定」的前提，是分布式系统理论的一次真正拓展。它定义并普及了区块链这一数据结构，直接催生了整个加密货币、智能合约（以太坊）、DeFi、NFT 产业。更深远的是，它提供了「不靠可信第三方也能达成全局一致」的工程范式，波及数字身份、供应链存证、去中心化治理。「工作量证明 + 最长链 + 经济激励」三合一，成了此后一代协议的设计模板。

局限与批评

• 能耗巨大：工作量证明靠「拼命烧电」来竞争记账权，全网电力消耗堪比一个中小国家，是它最受诟病的一点（这一环境代价在 2008 年尚未凸显）。
• 吞吐极低、并未成为「日常现金」：约 10 分钟才出一个块、每秒仅个位数笔交易，远不及 Visa 的每秒数千笔。它设想的「点对点电子现金」在实践中基本没实现，反而更多沦为投机与「价值存储」资产；加上价格剧烈波动、通缩设计，作为货币并不好用。
• 「一 CPU 一票」的理想落空：专用矿机（ASIC）与矿池让算力高度集中，少数几个矿池就可能逼近多数算力——去中心化被重新中心化侵蚀。
• 51% 攻击 & 只有概率性最终性：掌握多数算力者可回滚近期交易、实施双花（但改不了别人的签名、偷不走别人的币）；任何交易都只是「越等越安全」，永远没有绝对确认。
• 「诚实占多数就安全」并不严格：Eyal & Sirer（2014）提出的自私挖矿表明，策略性地藏块可让掌握 1/3 强算力的矿工获得超额收益，动摇了白皮书的原始安全假设。
• 隐私是伪匿名：全账本永久公开，链上分析（结合交易所等出入金点）常能把地址与真实身份关联起来。

要点