🔒 zipcoin 与上游 0xbow

# 一句话结论

zipcoin 把 Vitalik 小说《Snowmoon》里的货币真的做出来了——隐私池转账 + 烧币发言 + 门前留言。但它不是从零造的：整套隐私池复用的是 0xbow 的 Privacy Pools，一份已经审计、已经上线一年多的开源协议。

所以这份拆解分两层：zipcoin 自己写了什么，以及它站在谁的肩膀上、谁在真正控制它。下面每一个地址、每一笔余额、每一个权限，都是我直接读主网链上数据得到的，不是转述官网。

# 链上事实（区块 26,089,001–26,089,200）

# 合约层：谁不可变，谁不是

池子的写入路径只有两条，门槛完全不同：提款必须携带有效 Groth16 证明并匹配 processooor，而存款只能由 Entrypoint 触发——没有任何管理员路径能凭空转出资金。反过来说，Entrypoint 是 UUPS 可升级的：能改费率、能永久停掉新存款（windDown）、能提走累积审核费，但偷不走池子里的币。

这是这份报告最该被记住的一组区分：「不能偷你的币」和「能冻住新用户」是两件事。

# 证明层：一笔存款是怎么被「焊接」的

隐私池用 LeanIMT 增量 Merkle 树 + Poseidon 哈希 + Groth16（bn254）。所有证明在你的浏览器里生成（@0xbow/privacy-pools-core-sdk 的 wasm/zkey 放在站点 /artifacts/），私钥和 note 从不出浏览器。

1. 存款：label = keccak(SCOPE, ++nonce) mod p，commitment = Poseidon4(value, label, precommitment)；Entrypoint 先扣 0.5% 审核费，precommitment 记入已用集合防重放。
2. 审核：ASP 循环把「超过 5 分钟且不在黑名单」的存款按顺序编进一棵树，把新根推到链上。
3. 提款：证明里同时绑定状态树路径、ASP 树路径、新 note 的 nullifier/secret，以及目标地址、金额、手续费、留言。
4. 合约五道闸：调用者是声明的 processooor；context 匹配；树深 ≤ 32；状态根在 64 个历史根内；ASP 根必须等于链上最新根。
5. 结算：验证通过 → 花掉旧 nullifier → 插入新 commitment → 转账给 processooor。

第 4 条最后一句解释了一个体验细节：每次 ASP 推新根，正在生成的证明都会作废，所以站点把推根间隔控制在至少 3 分钟。

另外，ragequit（公开退出）不受 ASP 管辖——只要你是最初存款人，即使没被批准也能凭证明拿回原钱包。这不是营销词，是合约里独立的一条函数。

# 密钥与中继器

你的 note 由一次签名决定

钱包签一句固定文案 → keccak256(签名) 截断成 12 词助记词 → Poseidon 派生 master keys → 第 i 笔存款用 Poseidon3(master, scope, i)，第 k 次花费再滚出子 note。

• 签名和助记词都不离开浏览器；换设备重签同一句话即可恢复。
• 风险一：智能合约钱包每次签名可能不同 —— 那 12 词是唯一退路。
• 风险二：密钥强度 = 那句话的签名。任何骗你签同一句话的页面，等于拿到你所有 note 的钥匙。这是钓鱼最可能的落点。

中继器与「合规」

中继器替你提交并付 gas，费率 1%，用 gasPrice × gas(60–68 万) × 1.2 ÷ 费率 折算 ZC 门槛；余额低于 0.005 ETH 就整体下线；限流 6 次/分钟/IP。它能拒绝或拖延提交（审查），但改不了钱的去向。

而所谓 association set，在 zipcoin 这边实质是一份写在环境变量里的地址黑名单——改它不需要任何链上交易，也不留公开痕迹。

# 信任边界图

# 上游：这套代码的出处

源头是一篇 2023 年的论文《Blockchain Privacy and Regulatory Compliance: Towards a Practical Equilibrium》——Vitalik Buterin、Jacob Illum、Matthias Nadler、Fabian Schär、Ameen Soleimani，2024 年发表于期刊，被引 140+ 次。它是对 Tornado Cash 被制裁的直接回应：隐私工具能不能既保护正常人、又不给黑钱当洗衣机？

工程上是 Yarn monorepo 四个包：circuits（3 个 Circom 电路，Groth16）、contracts（Foundry）、sdk（浏览器内证明）、relayer（动态报价）。合约由 Wonderland 编写，审计方 Oxorio（电路、合约、升级专项）与 Auditware，audit/ 下共四份报告。

# 部署全景：一个 Entrypoint，十几个池子

按 ETH ≈ $2,670 粗算，池内合计约 $9M。链上：主网是主场，官方与媒体报道同时支持 Gnosis（仓库部署脚本里也有 GNOSIS_RPC），测试网是 Sepolia 与 Gnosis Chiado；Gnosis 的具体地址我没找到公开列表，这条按未核实处理。

# 谁在部署和运营：0xbow Ltd.

链上控制权：一把 2/4 多签，握两个角色

Safe 0xAd7f9A19E2598b6eFE0A25C84FB1c87F81eB7159
  threshold = 2 / owners = 4
  hasRole(OWNER_ROLE)  = true   // 升级合约、改费率、停存款、提审核费
  hasRole(ASP_POSTMAN) = true   // 更新白名单 Merkle 根

四个签名人：0xd76eeb…b52e、0xb1a1d5…16fc、0x652e36…13da、0xe8a2cc…af77。这与 L2Beat 隐私看板记载的「2/4 multisig」完全一致。

它在运营什么：官方前端 privacypools.com（主网 + Gnosis）、ASP 审查（完整白名单发布到 IPFS，比 zipcoin 的环境变量黑名单规范得多）、Tornado Cash Proof of Association 工具、npm 上的 SDK（zipcoin 用的就是它），以及与以太坊基金会的集成合作。

另：公开案卷中可检索到 Asher v. 0xbow Ltd 等（美国田纳西州中区法院，2025 年）。我只看到条目、未核实内容，不下结论。

# 还有谁在用这套代码

上游仓库 133 star、44 fork。拉全量列表按最近推送排序查过后：

• defi-wonderland / wonderland-archive —— 原始开发方的镜像
• zipcoincash/privacy-pools-core —— zipcoin，唯一一个挂着别的品牌、真的上线部署的 fork
• 其余四十来个是开发方或个人 fork（bankaixyz、fatlabsxyz、shs-plasma、leverup-xyz 等），无公开链上部署证据；甚至有把仓库名改成 - 或 Ayzcubb 的蹭热度产物

结论：除 0xbow 自身，目前没有发现第二个有实质链上部署的实例。

# 风险清单

1. 未审计的自研合约：ZipBroadcaster、ZipDoorstep 与发射台合约不在 0xbow 的审计范围内。
2. 入口可升级：升级权在部署方手里，可改费率、停新存款、提审核费（0xbow 那边链上确认是 2/4 多签；zipcoin 这边的持有者未公开）。
3. 中继与 ASP 中心化：存在可被审查的瓶颈；黑名单机制不透明、不公开。
4. 匿名集极小：19 笔存款、约 $2,700。这个规模下隐私性接近于零——时间与金额的推测就能把存款和提款对上。
5. 前端是信任面：证明在浏览器生成，依赖站点下发的 wasm/zkey，也依赖你只在真站点上签那句话。
6. 叙事依赖：靠「Vitalik 的小说币」传播，与 Vitalik 本人无任何关联（站点自己声明）。

# 怎么看它

技术上：比绝大多数同名热度盘扎实得多。复用已审计的隐私池代码、证明在客户端生成、验证器与 0xbow 同源、退出路径抗审查、代币与销毁合约的「无 owner」承诺链上可验——这些都是能自己动手核对的硬事实。

但要说清楚的是：它的「隐私支付」几乎没有真实使用量，真正在跑的是「烧币发言」这个社交玩法（销毁量是池子余额的 260 倍）。而所有值钱的部分——中继、审核、财库、升级权——都握在团队手里。

把它和上游放在一起看，位置就清楚了：它是同一套成熟协议上的一个叙事分支。上游 ETH 池 747 ETH、5,969 笔存款，它 19 笔；上游白名单发在 IPFS、控制权在 2/4 多签，它是一份环境变量黑名单。真正值钱的代码不是它写的——这也决定了它的天花板。