BLS12-381 的密钥不能沿用比特币那套 BIP-32 派生——超过半数的派生结果会落在曲线阶之外直接无效。ERC-2333 定义从种子到 BLS 私钥的 HKDF 派生路径，以太坊质押工具据此从一条助记词生成验证者密钥。本文讲清 hkdf_mod_r 函数的用法、树形路径的分层约定与那份顺带的抗量子备份设计。

Graftroot 是 2018 年 2 月 Gregory Maxwell 在 bitcoin-dev 提出的构造：现任权者用聚合密钥只对脚本本身签一次字，就能把花币权委托给替代条件，协作时链上只有一把看起来普通的密钥，不协作也只多约三十二字节。本文拆解它的委托机制、它与默克尔化脚本树路线的竞争，以及落选后留下来的方法论。

隐藏金额的承诺必须附带范围证明，否则谁也拦不住把金额伪造成天文数字的溢出攻击。门罗币 2018 年 10 月的网络升级用 Bulletproofs 替换 Borromean range proof，把典型两输出交易从约 13.2 KB 压到约 2.5 KB。本文拆解范围证明为什么必须存在、多输出聚合为什么能省、以及体积下降如何改变费用与区块占用。

Equihash 是 2016 年 NDSS 发表的内存绑定工作量证明算法，基于广义生日问题找哈希碰撞解，靠参数 n、k、d 控制难度与内存开销，曾被 Zcash 等新币种采用。本文拆解它解方程找解的验证模型、内存-时间权衡怎么挡住专用芯片的流水线优势，以及参数换代与 ASIC 落地后的现实走向。

默认 SIGHASH 把签名焊死在它引用的前序输出上，通道每更新一代就得为每笔历史状态预签惩罚交易。BIP118 提议把前序引用移出签名哈希承诺，让同一份签名可以合法附着在结构相同、资金来源不同的交易上，为 eltoo 的无状态通道更新铺路。本文拆解承诺清单的构成、松绑后 eltoo 的链上两步对抗、协议自身的纪律要求，以及它停在草案状态的现实原因。

1986 年 Fiat 与 Shamir 给出一个通用手法：用哈希函数代替验证者掷骰子，让交互证明变成一次发完的非交互证明。今天的 Schnorr 签名、多数零知识证明系统都靠它落地。本文解释它换掉了什么、随机预言假设的真实含义，以及“在 ROM 里安全”与“现实中安全”之间已知的裂缝。

把消息装进搅拌机的想法来自 1981 年 Chaum 的混合网络：批量收信、统一换皮、乱序转发，让入口和出口对不上。洋葱路由则让每跳只揭一层皮。本文梳理这两条四十年前的设计路线各自防什么、泄什么，以及它们怎样变成 Tor、闪电付款路由与交易广播隐私的现代骨架。

混淆电路是 Yao 在 1980 年代提出的多方计算原语：把函数翻译成电路，输入一方把每根导线加密打乱，另一方凭密钥逐门求解却看不到中间值。本文解释门表加密与标签乱序怎么做保密，为什么它长期被当作“理论能行、跑不动”，以及近年来工程上把它拉回可用的几项优化。

哈希进曲线看似小事：取个哈希当坐标，大多数时候根本不落在曲线上。RFC 9380 给出一套标准化的“哈希映射到椭圆曲线”方法，杜绝随机取点、坐标重试这类危险取巧。本文解释为什么曲线点不能靠哈希直接拼出来、SVDW 等映射族怎么工作、和 BLS 签名以及零知识协议的关系。

Poseidon 是 2019 年论文提出的一族哈希函数，专为在素数域电路上算哈希而设计：相比把 SHA-256 硬塞进约束系统，它每条消息位最多能省掉数量级的约束数。本文解释为什么 ZK 系统需要“域原生”哈希、它的轮函数长什么样、和 Pedersen 承诺什么关系，以及哪些项目在实际用它。