烧掉的 ETH 能匿名领回来：EIP-7503 零知识虫洞的隐私账本

一句话定位

EIP-7503 创建于 2023 年 8 月 14 日，截至本文撰写时状态为 Stagnant。它给以太坊设计了一套两段的私密价值转移：第一段，把 ETH 转入一个由秘密推导的不可花费地址，销毁在收据里留下痕迹；第二段，提交一个零知识证明，证明你知道某个已销毁条目对应的秘密，协议随即凭空铸造等量 ETH 给你。全程里，取款者与销毁者之间没有任何链上可验证的关联。先划重点：此 Wormhole 与那个跨链桥项目毫无关系，名字取自虫子洞的意象——两端相通、中间不可观测。

第一段：把销毁变成承诺

设想里没有任何权限门槛：任何人把 ETH 送进一个 0xfe 前缀推导的地址，这个地址没有对应的可用私钥，永远花不出去。协议按事件日志规则为每笔销毁生成结构化收据，把金额、发送方与一个对秘密的哈希承诺组装进默克尔树。注意销毁账户本身：它由 sha256(0xfe 拼接 secret) 的后二十字节推导，谁也不知道它对应谁——但从这一刻起，烧掉的 ETH 在收据链上有了编号。

第二段：用证明把编号赎回

取款交易提交一个零知识证明与一个无效化器。证明的公开输入只有信标区块根与承诺树根之类的坐标，隐私输入里藏着秘密、销毁在收据树里的位置、隐私池里的索引与找零拆分。验证链条上有几道硬约束：找零加取款金额必须严格等于原销毁金额；同一无效化器只能出现一次——协议在一个专用地址的存储槽里查它是否为空，非空即双花拒绝；销毁额不得超过 32 ETH 的单笔上限。证明本身还被要求以交易哈希为随机源之一生成，充当这笔交易的签名。

防伪的矿与匿名池的性质

提案另设了一道工作量门槛：秘密必须满足 sha256(0x02 拼接 secret) 对 2 的 24 次方取模为零——相当于一次小型挖矿，防止有人用海量微额销毁污染隐私池。它还有两个漂亮的结构性设计：所有从未转出的账户天然是隐私池的组成部分，隐私集合随全网使用自然扩张；并且对任何取款者，旁观者无法从链上证明其参与过该协议，提案称之为可抵赖性——比混币器更强的一层，因为连”用过”本身都不可证明。

它为什么停在 Stagnant

需要 2718 交易类型、4844 信标根与 7708 事件扩展三块地基，加上直接给协议加铸造能力的敏感语义，评审阻力可想而知。截至撰写时提案停在 Stagnant：技术评审停滞、无实现方推进。这不代表想法死亡——隐私研究社区对可抵赖销毁的讨论仍把它当参照点。对读者而言，它更像一份结构清晰的教科书：默克尔收据、无效化器、承诺与零知识验证，每块零件都被摆在使用动机最清楚的位置上。

快速问答

问：它和跨链桥 Wormhole 什么关系？ 答：零。只是重名。那个桥做锁仓与消息验证，这份 EIP 做私密销毁赎回，机制没有任何交集。

问：和混币器差在哪？ 答：混币器混合的是仍在流通的币，链上仍有进出记录；这里销毁与取款账户间连可证明的关联都构造不出来，且无需信任协调者。

问：上限 32 ETH 是防什么？ 答：约束单池规模与DoS面，配合工作量防伪把隐私池里的噪声条目控制在可验证范围内。

一个常见误会

流行叙述爱把它写成”以太坊原生混币协议”，方向反了。混币器假设敌人看得到进出配对，用匿名集稀释它；这份设计干脆取消配对——先销毁再生成，两条记录之间没有共同标识符可查。看隐私方案的诀窍从来不是找它藏了什么，而是问它在链上根本没有留下什么。

风险提示：本文仅作技术科普，不构成任何投资建议。