1. 你是比特币：一种点对点的电子现金系统

2. 你是Satoshi Nakamoto satoshin@gmx.com www.bitcoin.org

3. 摘要。一种纯粹的点对点电子现金版本将允许在线支付直接从一方发送到另一方，无需通过金融机构。数字签名提供了部分解决方案，但如果仍然需要一个可信的第三方来防止双重支付，那么主要的好处就会丧失。我们提出了一种使用点对点网络解决双重支付问题的解决方案。网络通过将交易哈希进一个持续的基于哈希的工作证明链中来时间戳交易，形成一个无法更改的记录，除非重新完成工作证明。最长的链不仅作为所见事件序列的证据，也是它来自最大CPU功率池的证明。只要大多数CPU功率由不合作攻击网络的节点控制，它们将生成最长的链并超过攻击者。网络本身需要的结构最小。消息是在最佳努力基础上广播的，节点可以随时离开和重新加入网络，接受最长的工作证明链作为他们离开时发生了什么的证据。

4. 1. 引言 互联网上的商务几乎完全依赖于作为可信第三方的金融机构来处理电子支付。虽然该系统对于大多数交易来说运行得足够好，但它仍然受到基于信任的模型的固有弱点的影响。完全不可逆的交易实际上是不可能的，因为金融机构无法避免介入争议。调解的成本增加了交易成本，限制了最小实际交易规模，切断了小型非正式交易的可能性，而且在无法进行非可逆支付的服务的情况下还有更广泛的成本。随着逆转的可能性，对信任的需求扩散了。商户必须警惕他们的客户，因为他们可能会要求比平时更多的信息。接受一定比例的欺诈被视为不可避免。这些成本和支付的不确定性可以通过使用实体货币亲自避免，但没有机制可以在没有可信方的情况下通过通信渠道进行支付。需要的是一个基于密码学证明而非信任的电子支付系统，允许任何两个愿意的方直接彼此交易，无需可信第三方。计算上不切实际反转的交易将保护卖方免受欺诈，并且可以轻松实施常规的托管机制来保护买方。在本文中，我们提出了一种使用点对点分布式时间戳服务器的解决方案，以生成交易时间顺序的计算证明。只要诚实节点集体控制的CPU功率超过任何合作的攻击者节点群体，系统就是安全的。

5. 2. 交易 我们将电子币定义为一系列数字签名。每个所有者通过数字签名之前的交易的哈希和下一个所有者的公钥，并将这些添加到币的末端，将币转移到下一个所有者。收款人可以验证签名以验证所有权链。

6. 交易所有者1的公钥 交易所有者2的公钥 交易所有者3的公钥 哈希所有者0的签名 验证哈希所有者1的签名 验证哈希所有者2的签名 所有者1的私钥 所有者2的私钥 所有者3的私钥

7. 当然存在的问题是，收款人无法验证其中一个所有者是否没有对币进行双重支付。一个常见的解决方案是引入一个受信任的中央权威或铸币厂，检查每笔交易是否有双重支付。每次交易后，必须将币退回给铸币厂以发行新币，而且只有直接从铸币厂发行的币才被信任不会被双重支付。这个解决方案的问题是，整个货币系统的命运取决于运营铸币厂的公司，每笔交易都必须经过它们，就像银行一样。我们需要一种方法让收款人知道，之前的所有者没有签署任何较早的交易。就我们的目的而言，最早的交易是算数的，所以我们不关心稍后尝试双重支付的行为。确认交易不存在的唯一方法是了解所有交易。在基于铸币厂的模型中，铸币厂知道所有交易并决定哪个首先到达。要在没有可信方的情况下完成这一点，交易必须公开宣布[1]，我们需要一个系统让参与者同意接收顺序的单一历史记录。收款人需要证明，在每笔交易时，大多数节点都同意它是首先接收到的。

8. 3. 时间戳服务器 我们提出的解决方案始于一个时间戳服务器。时间戳服务器的工作原理是获取一组要时间戳的项目的哈希，并广泛发布该哈希，例如在报纸或Usenet帖子中[2-5]。时间戳证明了数据必须在那个时间存在，显然是为了进入哈希。每个时间戳在其哈希中包括前一个时间戳，形成一个链，每个额外的时间戳加强了它之前的时间戳。

9. 哈希块 项目 项目 ... 哈希块 项目 项目 ...

10. 4. 工作证明 要在点对点的基础上实现分布式时间戳服务器，我们需要使用一个类似于Adam Back的Hashcash[6]的工作证明系统，而不是报纸或Usenet帖子。工作证明涉及寻找一个值，当如SHA-256这样的哈希时，哈希以一定数量的零位开始。所需的平均工作量是所需零位数量的指数级，并且可以通过执行单个哈希来验证。对于我们的时间戳网络，我们通过增加区块中的随机数直到找到一个使区块的哈希具有所需零位的值来实现工作证明。一旦为了满足工作证明而花费了CPU努力，区块就不能在不重新进行工作的情况下被更改。随着后来的区块被链在其后，更改区块的工作将包括重新进行所有后续区块的工作。

11. 区块 前哈希 随机数 交易 交易 ... 区块 前哈希 随机数 交易 交易 ...

12. 工作证明还解决了在多数决策中确定代表问题。如果多数基于一-IP地址-一票，它可能被任何能够分配许多IP的人所颠覆。工作证明本质上是一-CPU-一票。多数决策由拥有最大工作证明努力投入其中的最长链代表。如果大多数CPU功率由诚实节点控制，诚实链将成长得最快并超过任何竞争链。要修改过去的区块，攻击者将不得不重做该区块及其后所有区块的工作证明，然后赶上并超过诚实节点的工作。我们稍后将展示，随着后续区块的增加，较慢的攻击者赶上的可能性呈指数级减小。为了补偿硬件速度的增加和随时间变化对运行节点的兴趣，工作证明难度由移动平均值决定，目标是每小时的平均区块数。如果生成得太快，难度就会增加。

13. 5. 网络运行网络的步骤如下：

    1) 新交易广播给所有节点。
    2) 每个节点收集新交易到一个区块中。
    3) 每个节点为其区块寻找难度大的工作证明。
    4) 当一个节点找到工作证明时，它将区块广播给所有节点。
    5) 节点接受