固定面额与零知识发票：Tornado Cash 的提款为何查不到来路

一笔提款如何和一百笔存款同态

机制只有一个池子一条路。存款人先生成一个只有自己知道的秘密值，对它连同自己的提现地址做哈希得到一个承诺，连同一笔固定面额（早期实现为一、十、一百以太三档）发给合约登记；合约把承诺追加进一棵固定深度的默克尔树。提现时，存款人换一个新地址，向合约提交两样东西：一个证明，声明知道某个未被花掉的承诺的秘密、且该承诺在树根之下；以及那棵树上对应叶子的默克尔路径的根。合约验证明、验根、付款到指定地址，同时记录一个空值器防止同一承诺花两次。

外部观察者看到的每笔提款，都只和池子里全部既有承诺构成”其中之一”的关系。树深越大、池越满，单个提款的隐藏集越大——早期仓库自述的电路规模约两万八千至三万条约束，证明耗时在秒级，这是隐私代价的直观注脚。它没有管理员、没有密钥、没有暂停开关，合约部署完即自治，这也是后续所有争议的技术底色：软件没有可中断的实体，却可以被解释为服务。

隐私之外的硬事实

第一，它防不了出金口的审查：交易所与托管方可以拒绝接收来自混币池的币，这是它最常见的现实挫败。第二，固定面额是双刃剑：它切断金额关联，也让整数化痕迹明显，配合时点与出金路径分析仍能收窄怀疑。第三，公开可查的监管事实要讲清楚：美国金融犯罪执法网络在二零二一年八月把该合约体系列入特别指定国民名单，这是针对开源智能合约的第一起标志性执法；其合约在多数合规前端与节点服务上被屏蔽，多名关联开发者先后在荷兰与美国被追诉，案件进展以当期司法公告为准。

从机制看定位

拿它与其他隐私路线对照最见性格。 coinjoin 系靠多人同时拼单拉大集合，依赖有别人正想混；这类零知识池把时间维度也吃进集合——任何历史存款都在掩护当前提款，不需要同时有人参与。代价是把全部秘密押在一套电路的正确性上：电路有缺陷，隐私一夜归零，因此它的审计历史与仓库归档状态本身就是风险档案。

给中文读者的风险提醒放在最后说透：向此类合约转账在部分司法辖区可能触犯金融合规义务，接收方可能遭遇资产冻结与自证义务；即便纯自用，资金进出通道对混合资金的排斥是长期趋势。本文只解释机制与公开事实，不鼓励、也不指导任何人规避监管。

截至本文核验时，其核心合约仍部署在以太坊主网及若干镜像链上、可被任何节点交互，官方仓库处于归档维护状态；制裁与诉讼状态请以当期官方公告为准。

一次提现的字段级旅程

把一次提现拆到字段级，机制就没有神秘感了。第一步在本地：从存款时保存的私有状态里取出秘密值，重算承诺，对照公开树确认它还躺在叶子上且对应的空值器未被置位。第二步生成证明：以树根、路径和秘密为私料，跑一遍电路，得到一段固定长度的零知识证明。第三步提交：向合约发送证明、根和一个新鲜地址；合约查表确认该根仍被登记、验证证明、检查空值器，然后把面额转给新地址并置位空值器。任何一步的输入对不上，失败都发生在链上且要付燃料。整个回路没有任何环节需要许可、身份或许可白名单——这也是它被执法者盯上的根源：一个没有可对话对象的软件，恰好是监管者最无法施加影响的交易对手。个人在合法边界内审视自己的使用与申报义务，是唯一稳妥的姿势。

风险提示：本文仅作机制与合规背景科普，不构成投资建议或法律意见。