闪电通道靠惩罚交易威慑对手不敢把旧状态广播上链，代价是双方都必须守护历史数据。eltoo 提出另一条路：用可更新的一次性密钥和 SIGHASH_ANYPREVOUT，让旧状态即使泄露也兑换不了任何钱。本文讲清这条升级路线的机制支柱、它依赖的尚未激活的软分叉，以及通道工厂这个延伸应用。

生日悖论说明：找碰撞的难度远比直觉以为的低——256 位哈希也要约 2 的 128 次方次运算才有五成碰撞机会。本文用教室同生日的例子讲清碰撞攻击的原理，以及 MD5、SHA-1 是怎么倒下的。

把交易金额藏进承诺，只剩一个问题：如何向全网证明藏起来的数是正常正数、不是负一万亿？这就是范围证明。本文从“承诺的代数会骗人”讲起，解释位分解式证明的思路与体积困境，再看 Bulletproofs 如何把体积压到对数级，以及隐私链和比特币改善方案为何都收敛到同一个构件。

ECDSA 每签一次名都要抽一个一次性随机数 k，而数学上只要同一个 k 在两条不同消息上被用过，私钥就能被旁观者直接解出来——不需要碰到钱包一根毫毛。本文推导这笔账，回顾主机游戏机与 2012 年大规模密钥回收事故，再解释 RFC 6979 与 BIP 340 如何把“抽随机数”改写成确定性或近确定性流程，让事故只剩实现质量问题。

SHA-256 这类基于 Merkle–Damgård 结构的哈希函数存在长度扩展性质：知道一段消息的哈希值，无需知道原文，就能算出这段消息再接一段可控尾巴之后的哈希。本文解释这一性质的结构成因、它如何让 hash(secret‖message) 这种简陋校验被绕过，以及 HMAC 和 SHA-3 各自如何终结这个问题。

严格 DER 之后，ECDSA 签名仍有两条可延展通道：S 值天生成对偶写法，失败签名字节可以随意填充。BIP146 用 LOW_S 与 NULLFAIL 两条规则在隔离见证时代把它们封死。本文用曲线阶常量讲清规则本身，并解释它和 wtxid、压缩区块的关系。

适配器签名是一类改造过的数字签名：签名本身不完整，必须连同某个隐藏值一起才能补全，谁补全谁就暴露秘密。这套构造让原子交换、多方支付结算在密码学层面一步完成。本文讲清其工作原理（以 schnorr 家族的改造为例）、它与闪电网络历史方案的关系，以及为什么相关设计至今停留在提案与研究状态。

比特币和以太坊的签名都建立在同一条叫 secp256k1 的椭圆曲线上。本文解释这条曲线的方程、几个关键参数各自管什么，为什么 256 位长度大约对应 128 位安全强度，以及它与“ECDSA 签名流程”的区别：曲线是场地，签名是打法。

门罗币的转账在链上看不到金额——不是没索引，而是金额被 Pedersen 承诺、范围证明和链接环签名整体加密了。本文拆解 RingCT 三个部件怎么配合，2017 年怎么从可选变成强制，以及它隐藏了什么、没隐藏什么。

比特币白皮书在描述工作量证明时，直接引用了 Adam Back 的 Hashcash。这个 1997 年为对抗邮件垃圾与匿名转发器滥用而提出的部分哈希碰撞方案，比比特币早了十余年，核心思想完全一致：让发送方付出可调节、可瞬间验证的计算代价。本文讲清哈希现金怎么构造、为什么能防滥用、它和比特币挖矿的异同，以及它今天还在用在哪里。