原文链接：A systematic critique of Bitcoin's value proposition 

本文作者：Rondam Ramblings  编译：CoinTime Candice

1. 引言

这篇文章最初的标题是“比特币的设计包含了其自身毁灭的种子”。文章的主题是，比特币的安全完全依赖于消耗大量的能源，因此它可能提供的任何价值都被其固有的成本所抵消。但当我进行计算时，事实证明这不是真的。 比特币确实使用了大量的能源，但并不像我最初想象的那么多。 不幸的是，这不一定是个好消息。 比特币的安全性与挖矿的成本成正比，所以它使用的能源越少，它的安全性就越低。 事实证明，有一种针对比特币的貌似合理的攻击，只需几百万美元就可以进行，这个数字不仅是国家行为者和公司，甚至是许多高净值个人可以轻易得到的。

本文分为四个部分。在第一部分中，我将回顾比特币的价值主张。在第二部分中，我回顾了比特币的运作方式。在第三部分中，我分析了它的安全模型，特别是在假设哈希函数可以出租且不需要攻击者购买的情况下，发起51%攻击的成本。在第四部分中，我讨论了在现实世界中进行这种攻击的合理性，以及在私下讨论中向我提出的各种反驳意见。归根结底，当事态发展到紧要关头时，比特币的安全最终取决于与法定货币相同的基础：社会合作。比特币是一种全新的东西，即一种完整性取决于数学算法以及物理和经济定律的货币，这种想法因此受到质疑。

2. 比特币表面上的价值主张

比特币是第一种所谓的“加密货币”，这是一种特殊的数字货币，依靠加密算法而不是可信的第三方来保持其完整性。中本聪（化名，其真实身份仍然是一个严密的秘密）的比特币原始论文阐述了其创建的以下理由：

“互联网上的商业几乎完全依赖于作为可信第三方的金融机构来处理电子支付。虽然该系统对大多数交易都足够有效，但它仍然受到基于信任模式的固有弱点的影响。完全不可逆的交易实际上是不可能的，因为金融机构无法避免调解纠纷。调解成本增加了交易成本，限制了最低实际交易规模，并切断了小额临时交易的可能性，而且在失去为不可逆服务进行不可逆支付的能力方面也有更大的成本。有了逆转的可能性，对信任的需求就会蔓延。商家必须警惕他们的客户，防止他们要求比他们实际需要的更多的信息。一定比例的欺诈被视为不可避免的。这些成本和支付不确定性可以通过使用实物货币来避免，但在没有可信方的情况下，没有机制可以通过通信渠道进行支付。”

换句话说，使用可信第三方（TTP）调解电子商务的常用方法是不足的，因为1）交易可以逆转，2）TTP的成本太高，3）TTP不能消除欺诈，因此，4）小额交易不经济。

中本聪论文的第6节中描述了比特币的另一个特征。这一节只有三段长，但它的重要性远远超过了它的长度。我在这里引用它的全部内容：

“按照惯例，区块中的第一笔交易是一种特殊交易，启动区块创建者拥有的新代币。这增加了节点支持网络的动力，并提供了一种最初将代币分发到流通中的方式，因为没有中央机构来发行。新币数量的稳定增加类似于黄金矿工为增加黄金流通而消耗的资源。在我们的案例中，所消耗的是CPU的时间和电力。

激励也可以用交易费来资助。如果交易的产值低于其输入值，差额就是交易费，该交易费被加到包含交易的区块的激励值上。一旦预定数量的代币进入流通，激励就可以完全过渡到交易费，并且完全没有通货膨胀。

这种激励有助于鼓励节点保持诚实。如果一个贪婪的攻击者能够组合比所有诚实节点更多的CPU计算能力，他将不得不在使用它来欺骗人们通过盗取他的支付，或使用它来生成新代币之间做出选择。他应该会发现遵守规则更有利可图，这些规则使他获得的新代币比其他所有人加起来都多，而不是破坏系统和自己财富的有效性。”

因此，比特币表面上提供了以下价值主张：1）一种不可膨胀的货币，具有2）不可逆转的交易，导致3）减少欺诈和4）降低交易成本（因为你不再需要支付TTP），并且，作为一个推论，5）使在TTP模式下成本过高的小交易变得实用。

我相信所有这些说法都会受到质疑，但我将把大部分批评留到最后，首先关注比特币的安全性，因为这主导了所有其他考虑因素。如果比特币不安全，如果它容易受到破坏区块链完整性的攻击，这将主导所有其他考虑因素。即使所有其他说法都是真的，如果整个系统在随时都能被炸成碎片也没什么关系。

我将首先简要回顾一下比特币的安全模式，以方便我的技术性不强的读者。 如果你已经熟悉了比特币的运作方式，请跳过下面的部分。 你会发现那里没有什么新东西。

3. 安全模式

如果没有TTP，你如何确保系统的完整性？具体来说，你如何保证每个人都同意系统中每个参与者拥有多少比特币，以及你如何强制限制创建新代币？

比特币的答案由三个主要部分组成：数字签名，区块链（也被称为Merkle树），以及挖矿。

数字签名是与文档相关联的一小段数据和另一小段称为密钥的数据。数字签名有两个关键的特性：首先，它们很容易生成，但前提是你知道秘密密钥，否则基本上不可能。其次，任何人都很容易验证签名实际上是由知道密钥的人生成的。此外，他们可以在不知道密钥的情况下进行验证。这项技术可以追溯到20世纪70年代，尽管比特币使用的特定版本是最近的。

比特币交易由数字签名授权。你可以把密钥想象成与支票账户相对应——用比特币的说法，这些被称为“钱包”。比特币交易是一种数字文件，上面写着“将X钱包中的X币转移到Y钱包”，并使用对应于X钱包的秘钥签名。如果有人窃取了秘钥，他们可以（而且几乎肯定会）窃取该钱包中的代币。 同样，如果一个秘密密钥丢失了，相应钱包中的任何代币都会不可挽回地丢失。

数字签名本身不足以确保系统的完整性，因为没有任何东西可以防止有人在一个钱包上签署总额超过其所包含金额的交易。这就是所谓的“重复支出”问题，尽管这有点用词不当。更准确的名称应该是“透支”问题，但重复支出是一个固定的术语，所以我会在这里使用它。

为了防止重复支出，比特币交易被集合到一个账本中，将交易按（部分）顺序排序。这种分类账就是所谓的区块链，之所以被称为区块链，是因为交易首先被收集到被称为“区块”的批次中，然后区块被串在一起形成一个链。如果有人想验证交易是否有效，也就是说，交易的资金来源的钱包确实包含这些资金，他们可以查阅区块链，查看该钱包的当前余额。同样，有加密协议可以确保一旦区块链建立，就没有人可以干预它。就像数字签名一样，这并不是什么新鲜事。区块链的技术术语是Merkle树，以1979年首次发表这一想法的Ralph Merkle命名。

比特币设计中的主要创新是挖矿，它来自于早期的一个名为HashCash的方案。细节并不重要。这个名字来源于这样一个事实，即它涉及一种称为“哈希”的特殊计算，它允许你构建非常难以解决的计算问题，事实上，这些问题非常难解决，以至于解决这些问题的最有效方法是或多或少地随机尝试去解决，直到你碰巧发现一个有效的解决方案。一旦你有了解决方案，任何人都很容易验证它确实是一个解决方案。这些谜题可以以特定的方式构建，所以如果你有一个针对某个文件的谜题的解决方案，就证明你（或某人）花费了大量的计算能力来构建它。

HashCash背后的最初想法是将其用作反垃圾邮件措施：电子邮件发送者将在他们发送的电子邮件内容中包含一个难以解决的谜题的解决方案，以证明他们在发送该电子邮件时花费了大量的计算功能，因此垃圾邮件发送者不太可能发送该邮件。比特币的创新是将这一想法转化为数字彩票：谁是第一个解决这些难题的人，谁就赢得了彩票，并可以决定哪个交易区块成为区块链中的下一个官方区块。他们还可以包括一项交易，该交易凭空创建一些比特币，并将其存入他们选择的钱包（可能是他们控制其密钥的钱包）。任何人都可以参加这次抽奖。他们投入的计算能力越多，他们获胜的可能性就越大。相反，其他人投入的计算能力越多，他们获胜的可能性就越小。通过这种方式，包括哪些交易的决定（人们希望）是由不同的实体在不同的时间做出的，没有任何一方有能力搞鬼，至少不会很长时间。

需要注意的是，尽管以这种方式分发区块链是比特币的核心创新，但比特币声称的大部分收益并不是因为区块链是去中心化的，而是因为它是公开的。TTP可以维护一个公共区块链，这将具有去中心化式区块链的几乎所有好处。交易仍然是不可逆转的，货币可以不可膨胀，等等。维持公共区块链的TTP唯一的权力是审查交易的能力，即拒绝记录交易。但即使是这样，也可以通过建立一个发布交易的旁门左道来解决，如果这些交易徘徊太久没有被记录，就会损害TTP的声誉。比特币实际上有一个类似的功能，称为“内存池”，这是一个已提交但尚未挖掘的所有交易的集合。

TTP剩下的唯一问题是如何补偿他们的服务。TTP管理区块链必然是垄断，决定谁来控制垄断是一个棘手的政治问题。但审查和赔偿是采矿业真正解决的两个问题。

4. 百分之五十一的攻击

虽然非常不太可能，但两个人可能会在几乎同一时间赢得比特币彩票。在这种情况下，冲突会在下一轮彩票中解决。每次购买比特币彩票时，你必须提前决定要扩展分类账中的几个可能的竞争区块中的哪一个。冲突最终可以通过一个简单的规则来解决：在竞争区块的集合中，最长的区块链是唯一的真链。因此，即使碰巧有两个（或更多）人在或多或少的同一时间获得中奖彩票，这种情况在下一轮再次发生的几率也很小，而且在很长一段时间内纯粹偶然发生的几率逐渐接近零。迟早会有一个明确的赢家出现。在实际实践中，该系统被设计为大约每十分钟产生一个赢家（从而产生一个新的区块）。如果对几个竞争链中哪一个是真正的链有任何疑问，这几乎肯定会在一个小时左右解决。这就是为什么你会经常看到关于一个比特币交易必须有多少次确认才被认为是有效的原因。 确认越多，也就是说，交易在链上的位置越深，它就越有可能成为最终被证明是唯一真链的一部分。

然而，问题在于，有人可能会试图通过部署足够的计算能力来扩展另一条链来有意干扰系统。这被称为“51%攻击”，因为攻击者必须控制全球至少51%用于购买比特币彩票的计算能力，这将非常昂贵。那么，这有多昂贵？这就是问题的关键所在。

比特币算法设计得非常巧妙，可以非常小心地平衡彩票的成本和中奖几率，因此大约每十分钟就会出现一张中奖彩票，而与世界各地的计算能力无关。如果在任何一轮比赛中，获胜者出现的时间比目标提前了十分钟，那么下一轮比赛获胜的几率就会调整，使其更难获胜。同样，如果花费的时间远远超过十分钟，几率就会降低。

因为比特币可以用来交易实际的商品和服务，包括传统的法定货币，所以购买比特币彩票可能是一项有利可图的企业。截至本文撰写之时（2023年4月），一枚比特币价值约2.7万美元，一张中奖彩票可获得6.25个比特币，约合17万美元。这个金额平均每十分钟颁发一次，因此存在一些相当大的风险。如果有人能够以低于每十分钟17万美元或每小时100万美元的价格发起51%攻击，这将成为一项有利可图的企业。按照政府、大型企业和许多高净值个人的标准，这并不是一个巨大的数字。

然而，要发动攻击，你不仅需要支付计算硬件的持续运营成本（主要是电费），还需要购买该硬件。按照目前的速度，购买足够的硬件以安装51%的附加费的资本支出约为250亿美元，这是一个即使是富裕的政府也不能随意花费的数额。然而，这应该让人有所顾虑，因为如果，例如，中国或美国政府决定打压比特币，他们绝对有能力这样做。

5. 租赁攻击

如果你可以租用而不是购买必要的硬件，51%的攻击成本会大幅下降。比特币挖矿硬件是可以租用的。对租用的硬件进行51%的攻击可能吗？它实用吗？粗略的计算表明，这两个问题的答案都是“是的”，事实上，它可能比可能和实用还要糟糕，它甚至可能是有利可图的。

我将在这里以粗略的方式描述这个计算，但为了使其更简洁，我将回到技术术语，讨论“哈希”而不是彩票。决定51%攻击难度的关键数字是“哈希率”，即通过消耗计算能力购买彩票的数量。与普通彩票相比，这些数字相当惊人。在过去一年中，哈希率在大约200到350 TH/s（每秒一万亿个哈希）之间波动。将其乘以600秒（十分钟），每个区块的哈希数介于120万亿到210万亿之间。让我们简单地将其四舍五入为10^14。

在过去的一年里，比特币的市场价格从大约1.6万到4.5万美元不等，但这并不重要，因为你可以租用比特币挖矿设备并以比特币支付。从https://www.miningrigrentals.com/，随机选取一个数据点，我们可以租用一个号称哈希率为3.3GH/s的设备，价格为5.636683E-4 BTC/hr。 为了获得100 TH/s，即使哈希率处于去年的上限，也足以发起51%的攻击，将花费（10^14 / 3.3 x 10^9）*5.636683E-4 BTC/hr = 17 BTC/hr = 2.8 BTC/block。 区块奖励目前是6.25 BTC/区块，所以这不仅是有利可图的，而且利润丰厚。

当然，显然有一些限制因素我们在这里没有考虑到，因为如果套利比特币这么容易，就已经有人做了。主要的限制因素是，要进行攻击，你需要租用我们用作数据点的3.3 GH/s单位中的30000个，而这个数字可能根本不存在，更不用说可供出租了。尽管如此，这一分析确实证明了一个关键点：保护比特币免受攻击的东西并不是基本的经济学，因为如果51%的比特币网络可以以当前市场价格出租，那么出租攻击就会有利润。

当然，比特币挖矿硬件的供应远非完全弹性。即使在理想化的假设下，如果有人试图租用30000台挖矿机，价格肯定会上涨以满足急剧增加的需求，而且（同样在理想化假设下）应该会上涨到足以消除利润率的程度。

然而，区块奖励并不是将这种攻击货币化的唯一可能方式。51%的攻击成功，甚至是这种攻击成功的可信威胁，几乎肯定会在广泛的公共市场中播下恐惧和不确定性。攻击者可以利用这一点，因为他们可以在攻击消息传出时拥有一定的控制权，因此他们可以（例如）在发动攻击之前做空金融股票组合。从开始到结束，攻击本身只需要几个小时，因此上行风险将降至最低。这种策略并不是大获全胜，但在我看来，它是一个潜在的有吸引力的商业建议，没有更多的风险和注意事项。 值得注意的是，这并不违法。

在私下的讨论中，我听到了三个反驳的观点，我都不接受（如果我接受，我就不会写这篇文章了），但为了完整起见，我在这里把它们和我的回应一起列出。

首先，没有足够的租赁能力来发动51%的攻击，而且永远不会有。提出这一论点的人没有提供任何数据来支持，但为了论证起见，我会规定第一部分可能是真的。然而，仅仅因为今天没有足够的租赁能力，并不能保证明天没有足够的能力，特别是如果攻击者开始购买现有的能力，并推动价格上涨到租赁比挖矿更有利可图（在销售方面）。

第二，即使这次攻击成功，最坏的情况也是链式分裂。比特币之前曾经历过链式分裂（导致比特币现金的产生），并幸存下来，因此它可以再一次幸存下来。这里的区别在于，比特币现金分裂不是由攻击引起的，而是由比特币社区的技术分歧引起的。由攻击导致的分裂将具有非常不同的动态和可能会产生非常不同的后果。特别是，如果这样的攻击被证明是有利可图的，那么这将提供强大的激励来重复这种攻击。即使第一次攻击失败，有人可能会再次尝试使用第一次失败的经验来改进他们的策略。最好的结果是出现大量的不确定性，这可能会导致信心下降，而信心最终是任何货币的交易基础。

第三个回应是，采矿社区将联合起来阻止这样的攻击（如果攻击发生的话）。我很高兴承认这样的情况可能会发生，但重要的是要注意这对比特币的安全性意味着什么：这意味着比特币最终并不像经常声称的那样受到数学、物理甚至经济学的保护，而是受到采矿社区的社会凝聚力、合作和（我敢说）可信度的保护。换句话说，在根本上，比特币与TTP并没有本质上的不同，只是TTP是一个自我选择的群体，而不是选举或任命的群体。（值得注意的是，你不能只是决定成为这个群体的一部分，你必须付出实际的代价才能进入。比特币的治理结构从设计上说是一个财阀政治。）

我想强调的是，我的论点并不取决于租赁攻击是否会成功。只要它可能成功就足够了。我在上面概述的策略（我声称）表面上是合理的。可能有什么东西会阻止有些人真正成功，但目前还不清楚那会是什么。但无论是什么，这就是目前保护比特币免受攻击的东西，这意味着保护比特币免受攻击的东西目前还不为人所知。这应该让任何对比特币的未来持有多头立场的人深感担忧。

6. 讨论

既然我正在批判比特币，我可能也应该全力批评其宣称的其他优势。回顾一下，这些优势是：

我将逐一讨论这些问题。

6.1 通货膨胀

比特币可以通过链式分裂和政策来膨胀。两者都不可能在短时间内发生（尽管已经发生了一次链式分裂），但也都有可能。目前的比特币爱好者有强烈的反对通货膨胀的意识形态倾向，但尚不清楚这种倾向是否会永远持续下去。特别是，随着区块奖励在总市值中的份额越来越小，通货膨胀的政治压力可能会增加，就像法定货币一样。此外，如果比特币能够实现其一些追随者所渴望的目标，使其成为世界储备货币，那么早期采用者的过度持有将变得更难证明其合理性，通胀的政治压力也将增加。例如，中本聪被认为持有约110万个比特币，或略高于总市值的5%。他的钥匙已经很多年没有使用了，据说已经丢失了，但有理智的人真的愿意把地球的经济状况押在这上面吗？未来的几代人是否愿意接受他们遥远的祖先做出的这个决定？还是会像他们之前的许多人一样，决定一点通货膨胀实际上可能是有益的？

比特币目前可能没有通货膨胀，但原因与一些法定货币没有通货膨胀相同：因为控制它们的人已经决定作为一个政策问题，通货膨胀是不可取的。比特币的唯一区别在于，它的政策制定是基于一个哈希一票。

6.2 不可逆交易

这可能是比特币最有力的主张。事实上，逆转比特币交易是不可能的，而且在未来所有合理的情况下都会如此。

然而，不可逆转在很大程度上是一把双刃剑。人们会犯错误，或者丢失钥匙，或者钥匙被盗。在这种情况下，逆转交易的能力可能是非常可取的。当然，这确实打开了必须裁决争议的潘多拉盒子，而比特币主要是通过消除纠正错误的可能性和通过武力将被盗的硬币归还其合法所有者来消除这一问题。这里不是参与这个政策辩论的地方。 我想你大概能猜到我站在哪一边。 我只想指出，不可逆转性并不是万能的。 如果它是，它就会被普遍采纳为事实上的标准。 没有其他不可逆转的货币体系被广泛采用是有原因的。 这并不是因为它们难以建立。

6.3 减少欺诈

通过采用数字签名来验证交易，比特币确实消除了目前常见的一种欺诈行为。但是，数字签名可以在不采用比特币的其他部分的情况下消除这种欺诈。事实上，随着芯片卡取代磁条的出现，现在世界上大部分地区都已经实现了这一点。（这些芯片包含密钥，并使用它们产生数字签名。）数字签名尚未普及的唯一领域是在线购买。在那里采用数字签名没有任何技术障碍，只是需要商定一个标准协议而已。

然而，这里也有一个黑暗的一面。 比特币消除了一种欺诈行为，但却被其他欺诈行为所取代。 特别是，如果你丢失了你的钥匙，或者把它们委托给一个不可信的第三方，那么你就没有追索权。此外，交易的不可逆转性使胁迫更加有利可图，从而导致勒索软件的兴起。事实上，可以说，比特币的兴起是催生勒索软件成为全球产业的催化剂。 小偷现在可以在自己的客厅里肆无忌惮地偷走你的钱。 难怪这么多人选择以此为职业，尤其是那些生活在执法不严的地方的人。

6.4 降低交易成本

只要比特币的购买力持续上升，这在理论上是有可能的。但是，一旦这种情况停止，区块奖励的价值就会渐进地接近零，此后资助挖矿的唯一途径（假设通货膨胀政策不改变）就是收费。 在实际成本方面，这将如何变化是任何人都能猜到的，因为我们离达到稳定状态还很远，但在比特币的设计中，有两件事是固有的，会促使费用上升。 首先，所有用于保持系统安全的电力都必须以某种方式支付。 其次，网络的容量在设计上是有限的。 从技术上讲，改变这一点是可能的，但从政治上讲，这是非常困难的。上一次有人尝试这个结果是比特币现金链分裂。

即使是现在，当待处理交易的内存池很大时，人们有时也必须支付相当高的费用才能及时开采（几分钟而不是几小时或几天）。期望任何供应量有硬性上限的商品价格低廉是不现实的。

6.5 实际小额交易

我认为，这是比特币最大的失信行为，同样，这也是可以预见的。根据设计，比特币交易需要很长的时间来处理，交易越小，越不可能被及时挖出来。 此外，如上所述，系统处理交易的能力有一个硬性限制，这对于处理全世界经常发生的小额交易量来说是非常不足的。 用比特币在星巴克买杯咖啡，一度是个耐人寻味的新鲜事，但让大量不懂技术的人用它来做日常的散户交易，是绝不现实的。

7. 结论

那么比特币有实际价值吗？我不确定。它当然不适合其最初宣称的取代法定货币进行日常交易的目的。这一点很明显，因为比特币的价值仍然是以购买一枚比特币所需的美元来衡量的。

另一方面，在我写这篇文章的时候，这个数字只有大约3万美元，我觉得这令人震惊。在我家的某个地方，我有一台古老的笔记本电脑，它的硬盘上有一个装有0.05比特币的钱包的钥匙，是2009年比特币刚推出时有人免费送给我的。我用它摸索了一阵子，甚至还试着挖了几个小时的矿，但听到我的笔记本电脑上的风扇一直在对我尖叫，我就觉得很累。 因此，很明显，我在当时就犯了一个非常严重的错误，而且完全有可能我现在也犯了一个非常严重的错误。 我预测未来的记录不是很好。

我认为，从长远来看，比特币的主要价值将是作为一种价值储存，与贵金属相当，但更容易移动。允许你可靠地存储价值，而不必物理存储和保护人工制品（密钥除外），这具有真正的价值，这很可能足以维持比特币的长期发展。但如果比特币作为一种交换媒介提供了任何有价值的东西，我看不出来。

*本文由CoinTime整理编译，转载请注明来源。