它到底是什么
RoboSats 是一个把 比特币 ↔ 各国法币撮合起来的点对点市场。它不要邮箱、不要手机号、不要 KYC——你每次交易用一个随机 token 生成一个确定性的「机器人头像」（比如 AbleAlice01），token 存好就能找回身份。所有流量走 Tor 洋葱地址。
不托管的托管
资金不进平台钱包。买卖双方各自用闪电网络的 hold invoice（持有发票）锁定资金，条件满足才放行。
协调者只当裁判
「协调者（Coordinator）」负责撮合、私聊转接与仲裁，从头到尾碰不到币。守约退保证金，违约没收。
联邦制，无单点
0.6.0 起由多个独立协调者组成联邦，客户端运行时动态发现成员，可加入/退出而不必发新版本。
技术架构细节
代码库构成（Monorepo）
- 后端：Django 应用，含
/api、/control、/chat三个 app 与集成测试——这就是「协调者」的服务端。 - 客户端：
/frontend是 ReactJS；/mobile是包一层 React Native 的 App；/web是给官方 .onion 用的轻壳。 - 自托管：
/nodeapp负责 Docker 编排（Umbrel、StartOS 等一键自托管客户端）；/docs是 learn.robosats.org 的 Jekyll 站点。
一笔交易如何完成
协调者后端运行的服务
官方 robosats-deploy 的 docker-compose 拉起一整套组件：
身份、认证与最小权限
- 身份派生：机器人 token → SHA2-256 → base91 编码作为 API 凭据；同一 token 确定性生成头像，无需账号系统。
- Nostr 公钥：由 token 哈希派生的 secp256k1 公钥，用于联邦内的消息与发现。
- 最小权限：协调者无需交出 LND 的
admin.macaroon，可用受限 macaroon 只开放 RoboSats 用到的 RPC（AddHoldInvoice、SettleInvoice、SendPaymentV2 等）。 - 费率：总手续费 0.2%（挂单 0.025% / 吃单 0.175%），用低挂单费率吸引流动性。
- 上限：单笔订单约 300 万 sats 量级——受闪电网络通道容量限制，这是它相对链上方案最大的软肋。
联邦如何在无中心的前提下达成一致
0.6.0 之前联邦信息写死在 App 里，加/减协调者都要发新版本。现在改成运行时发现，且刻意设计成「很难被女巫攻破」：
- 零开销发现：客户端本来就轮询每个协调者的
/api/info/，现在里面多了federation_hash；哈希一致就什么都不下载，不一致才拉一次/api/federation/并在本地重算校验（官方称常规情况从 53KB 降到 192B）。 - 资历加权投票：每个协调者按存在时长加权（1 → 10），老的权重高、新来的接近 1；只有拿到严格多数的哈希才能生效。
- 防女巫的根本：权重只信两处——App 内置的种子文件、以及客户端本地记录的「首次见到某协调者的日期」。协调者自报的
established一律不采信。 - 犹豫即安全：票数不够 / 平票 → 维持现状，绝不回退到更不可信的状态。
- 现状快照（2026-08-26）：temple 权重 10、lake 9、bazaar 4、freedomsats 4、alice 3。攻击者要强行改单需要约 16 个全新女巫（旧等权模型只需 5 个）。
RoboSats 的信任模型是「低信任」而非「零信任」：协调者仍可能审查、作恶或宕机，所以它用联邦 + 加权投票 + 客户端本地账本把单点作恶的成本抬高，并让你能选择信任哪个协调者。
和 Bisq / Hodl Hodl / Peach 比一比
| 维度 | RoboSats | Bisq | Hodl Hodl | Peach |
|---|---|---|---|---|
| 结算层 | 闪电网络（LN） | 比特币链上 | 链上 | 链上 |
| 客户端 | Tor 网页；Android / 桌面 App | 桌面端 + 安卓 App | 网页 | 手机 App |
| 担保机制 | 闪电 hold invoice + 保证金 | 2-of-2 多签 + 保证金（经典）；Bisq Easy 靠卖家信誉 | 2-of-3 多签托管 | 托管 + 第三方仲裁 |
| 是否托管 | 非托管 | 非托管 | 非托管 | 非托管 |
| 注册要求 | 无账号，随机 token + 头像 | 仅昵称 | 需邮箱 + 密码 | 需邮箱 + 密码 |
| 手续费 | 0.2%（0.025 / 0.175） | 浮动，依金额与支付方式 | 0.75% / 人（推荐链接 0.5%） | 平台费 + 溢价 |
| 价格溢价 | 常见 < 3%，常更低 | 中等 | 中等 | 常 10%–15% |
| 适合金额 | 小额高频（≈300 万 sats 上限） | 大额链上；Bisq Easy 限 6–600 USD | 中到大额 | 中额，图省事 |
| 上手难度 | 需闪电钱包 + Tor | 需装客户端；经典协议要先有 BTC | 需理解多签 | 最简单 |
| 主要短板 | LN 容量限制、流动性不如链上 | 客户端较重；经典协议冷启动 | 中心化域名 + 需邮箱 | 隐私溢价高 |
补充：还有一类「免 KYC、无对手方」的变体，如 Azteco 现金/在线代金券（约 10% 手续费，最不留痕但最贵）。共同点是——隐私的代价是溢价和更低的流动性。
跑一个协调者节点
普通用户不需要跑协调者——在浏览器 / App 里连上现成的协调者即可；你也可以自托管「客户端」（nodeapp，Umbrel / StartOS 支持）。下面说的是运营一个协调者：为自己或他人提供撮合与仲裁，需自备比特币与闪电流动性，并承担信誉责任。
官方编排在 RoboSats/robosats-deploy，两种形态：docker-compose（推荐，测试充分）或 Kubernetes（进行中，适合高可用 / 大规模）。以下以 compose 为例，环境按 Ubuntu Server 22.04 LTS。
- 准备基础环境安装 Tor（建议用 Tor Project 官方源而非系统源）与 Docker / Compose 插件；备好一台常在线服务器。
- 克隆编排仓库
git clonerobosats-deploy 并进入compose/。 - 生成并配置环境文件
cp -r env-sample env，编辑compose.env、robosats…env、lnd.conf等。用SUFFIX做命名空间（如-lndtn测试网、-lndmn主网），一台机器可跑多套。 - 拉起全栈
docker compose up -d，启动 tor / bitcoind / 闪电节点 / postgres / redis / nginx / celery 等全部容器。 - 创建管理员账号复制静态文件后
manage.py createsuperuser，用户名必须与ESCROW_USERNAME一致（默认admin），否则托管逻辑对不上。 - 配置 .onion 与常驻按
hidden-service.md暴露洋葱服务，按systemd.md让编排随系统启动；用aliases.sh简化日常命令、backup/backup.sh做备份。 - 打通闪电节点给 LND / CLN 建通道、备足入账流动性（否则接不了单），配置受限 macaroon 供 RoboSats 使用，并监控余额与通道健康。
硬性依赖清单
Kubernetes 版本把同样组件做成 StatefulSet / Deployment（bitcoind、litd、lnd、postgres、daphne、gunicorn、nginx、celery 与各类 command 任务），适合大规模与高可用，但官方标注仍在完善中，新协调者建议先用 compose。
冷静看待：它不是万能药
- 法币侧仍留痕：银行转账、PayPal 这类支付方式会在银行端留下记录。无 KYC ≠ 不可见。
- 对手方与渗透风险：法币环节依赖双方诚信 + 平台仲裁，新手容易踩坑；无身份平台也存在被执法 / 情报人员「卧底」套取信息的可能（同类平台历史上有先例）。
- 闪电的物理上限：单笔受通道容量限制、流动性波动大、对手方可能临时消失；不适合搬大额。
- 协调者是「低信任」：仍可审查或作恶，靠联邦与信誉机制抬高成本，但仍要选可信协调者，或自托管。
- clearnet 版不安全：官方明确警告
unsafe.robosats.org只是跳转到第三方 Tor2web 服务，仅供「逛逛」，绝不要用来交易；注意仿冒 / 钓鱼站点，认准官方 .onion。
中国境内对虚拟货币相关业务活动属于非法金融活动，虚拟货币交易炒作不受法律保护，并可能触及外汇、洗钱等风险。上面这些平台大多处于监管灰区甚至被限制访问——研究、学习没问题，真金白银参与前请务必想清楚法律与资金后果。
一句话怎么选
要小额、快、便宜、够隐私且已有闪电钱包 → RoboSats。要大额链上结算、社区治理成熟 → Bisq。要极致省事、愿意付溢价 → Peach。想自己当节点 / 参与联邦 → 按上面 robosats-deploy 走一遍，但先备好 BTC 和闪电流动性。