Tornado Cash 技术架构全解

1. Tornado Cash 整体架构概览

Tornado Cash 是一个基于以太坊的完全去中心化隐私交易协议。其核心目标是通过密码学手段打破链上存款地址与提款地址之间的关联，从而实现交易隐私。

从架构层面看，Tornado Cash 由四个核心层组成：智能合约层（处理存款与提款逻辑）、密码学层（zk-SNARKs 与 Merkle Tree）、前端界面层（托管于 IPFS）以及 中继器网络（用于支付 gas 费用的去中心化服务）。其中，密码学层是整个协议安全性和隐私性的基石。

与传统混币器不同，Tornado Cash 不依赖中心化服务器来存储交易记录，所有数据均保存在链上，而隐私保护完全通过密码学实现。这意味着即使智能合约被完全公开审查，用户的隐私仍然得到保障。

2. 核心密码学组件

2.1 承诺（Commitment）与注销码（Nullifier）

这是 Tornado Cash 防止”双重提款”的基石机制。用户在存款时，会生成一个随机密钥（secret），并计算其哈希值作为“承诺（Commitment）”提交到智能合约。这个承诺相当于一张存款凭证的”存根”，被存储在 Merkle Tree 中。

当用户提款时，需要提交一个“注销码（Nullifier）”——它是承诺的另一个哈希变体，同样由随机密钥派生。合约会验证该注销码是否已经被使用过。如果被使用过，则拒绝提款；如果未被使用，则接受提款并将其标记为已使用。这样，每笔存款只能被提款一次，杜绝了双花问题。

📖 延伸阅读： 龙卷风币的隐私保障：承诺与注销码的密码学博弈

2.2 Pedersen 哈希：对零知识证明友好的承诺函数

Tornado Cash 使用 Pedersen 哈希 来生成承诺。Pedersen 哈希是一种基于椭圆曲线的哈希函数，具有一个关键特性：同态性。这意味着它可以在零知识证明电路中被高效地表示为简单的线性运算，从而极大地减少了证明生成所需的计算量和 gas 消耗。

如果使用像 SHA-256 这样的传统哈希函数，在 zk-SNARK 电路中需要将其转换为数千个约束条件，成本极高。而 Pedersen 哈希只需要少数几个约束条件，这是 Tornado Cash 能够在以太坊上保持较低交易成本的核心原因之一。

2.3 MiMC 哈希：Merkle Tree 的高效构建

在构建 Merkle Tree 时，Tornado Cash 选择了 MiMC 哈希 函数。MiMC 是一种专门为 zk-SNARK 设计的哈希算法，其特点是在算术电路中具有非常低的乘法复杂度。

当用户存款时，Merkle Tree 需要更新根哈希；当用户提款时，需要生成一个”成员证明”（Merkle Proof）。这两个操作都需要进行哈希计算。使用 MiMC 可以使这些计算的 gas 成本降到最低，同时保持与 zk-SNARK 电路的高度兼容。

技术选型总结： Pedersen 哈希用于承诺生成（单次计算，注重零知识证明友好），MiMC 哈希用于 Merkle Tree 更新（频繁计算，注重链上 gas 效率）。这种组合体现了 Tornado Cash 开发团队对以太坊 EVM 特性的深刻理解。

3. Merkle Tree：隐私池的”匿名集合”

Merkle Tree 是 Tornado Cash 中存储所有有效承诺的数据结构。每个存款生成的承诺都作为 Merkle Tree 的一个叶子节点。当用户提款时，他们需要证明自己知道某个叶子节点（承诺）对应的随机密钥，而不暴露具体是哪一个叶子节点。

这个”不暴露具体是哪一个”正是隐私性的来源。在传统的转账中，你可以清晰地看到资金从 A 地址流向 B 地址。但在 Tornado Cash 中，提款者只需要向合约证明：“我知道一个存在于 Merkle Tree 中的承诺对应的密钥”。合约验证了证明，但无法知道是哪一个承诺被使用。因此，存款和提款之间的链接被彻底切断。

目前 Tornado Cash 的 Merkle Tree 深度为 20 层，可以容纳超过 100 万个承诺，提供了足够大的匿名集合。

📖 延伸阅读： Merkle Tree 与 zk-SNARKs 协同工作——Tornado Cash 隐私保护的基石

4. zk-SNARKs：零知识证明的核心电路

zk-SNARK（Zero-Knowledge Succinct Non-Interactive Argument of Knowledge，零知识简洁非交互式知识论证）是 Tornado Cash 实现隐私的”终极武器”。它允许提款者向合约证明两件事，而不泄露任何额外信息：

• 存在性：提款者知道一个存在于 Merkle Tree 中的承诺对应的随机密钥。
• 唯一性：与这个承诺对应的注销码从未被使用过。

整个证明过程是非交互式的——提款者生成一个证明字符串，提交给合约，合约在毫秒内即可完成验证。这个验证过程不依赖于任何外部服务器，完全在链上进行，确保了去中心化。

zk-SNARK 的”简洁性”体现在证明大小恒定（通常只有几百字节），验证时间极短，这使得它非常适合在 gas 成本高昂的以太坊上运行。

📖 延伸阅读： Tornado Cash 与 zk-SNARK：零知识证明如何实现链上隐私

5. 可信设置仪式（Trusted Setup）

zk-SNARK 需要一组公共参数（被称为”证明密钥”和”验证密钥”），这些参数通过一个”可信设置仪式”生成。Tornado Cash 的可信设置仪式有 1114 名独立参与者，每个参与者都贡献了随机性。

该仪式的安全性建立在”只需有 1 名参与者是诚实的”这一假设之上。只要至少有一名参与者妥善销毁了自己的随机输入，那么整个参数就是安全的，没有人能够伪造证明。这是目前行业内规模最大的可信设置仪式之一，为 Tornado Cash 提供了极高的信任基础。

6. 技术选型分析：为何选择这些组件？

Tornado Cash 的技术选型体现了对以太坊 EVM 局限性的深刻理解和对密码学前沿的熟练运用。

• 选择 Pedersen 哈希：因为它在 zk-SNARK 电路中表示简单，降低了证明生成成本。
• 选择 MiMC 哈希：因为它在 Merkle Tree 更新中 gas 消耗低，适合高频链上操作。
• 选择 Merkle Tree：因为它提供了高效的成员证明验证（O(log n) 复杂度）。
• 选择 zk-SNARK：因为它是目前以太坊上验证效率最高的零知识证明系统。

这种组合并非唯一选择，但它在隐私性、去中心化程度、链上成本三者之间找到了一个精巧的平衡点。

7. Proof-of-Innocence：隐私与合规的技术平衡

在 OFAC 制裁事件后，Tornado Cash 社区开发了 Proof-of-Innocence 机制。该机制允许用户生成一个零知识证明，表明其提款资金不来自被制裁的地址或已知的黑客地址集合。

这一技术的核心思想是：在保持隐私的前提下，为用户提供一种”自愿合规”的工具。用户可以选择生成这样的证明来满足合规审查，而无需暴露自己的完整交易历史。这是隐私协议在监管压力下的一种技术演进方向，也是 Tornado Cash 试图在隐私与合规之间寻找平衡的体现。

📖 延伸阅读： Privacy Pools：Tornado Cash 的合规进化

8. 技术架构的未来演进方向

随着 Privacy Pools 协议的发展，Tornado Cash 的技术架构正在向更灵活的方向演进。Privacy Pools 引入了”关联集提供者”概念，允许用户选择加入不同的”池子”，每个池子可以应用不同的合规规则。

这种架构升级意味着未来的 Tornado Cash 可能不再是单一的隐私池，而是一个可组合的隐私中间件层，能够同时满足不同用户的隐私需求和合规要求。这代表了隐私协议在成熟期的方向——不再是”全有或全无”的隐私，而是可选择的、可配置的隐私保护。