Monero Bulletproofs+ เทียบ Bulletproofs: อะไรเปลี่ยนไปจริง ๆ

เมื่อวันที่ 13 สิงหาคม 2022 เครือข่าย Monero ได้อัปเกรดแบบเงียบ ๆ โดยสลับชิ้นส่วนทางคริปโทกราฟีชิ้นหนึ่งที่ผู้ใช้แทบไม่เคยเห็น แต่ทุกคนต้องพึ่งพามันทุกครั้งที่ทำธุรกรรม ตัวที่เข้ามาแทนคือ Bulletproofs+ ซึ่งเข้ามาแทน range proof แบบ Bulletproofs ตัวเดิม ช่วยตัดจำนวนไบต์ออกจากทุกธุรกรรมและลดเวลาตรวจสอบให้กับ full node หลายพันเครื่องที่คอยตรวจตราเชนอยู่ ถ้าคุณเคยโอน XMR ผ่านบริการแบบไม่ต้อง KYC อย่าง MoneroSwapper ธุรกรรมของคุณก็แบกหลักฐานทางคณิตศาสตร์ชิ้นนี้ติดไปด้วยเสมอ มันคือข้อพิสูจน์ว่าคุณไม่ได้แอบเสกเหรียญขึ้นมาจากอากาศ

ชื่อทั้งสองตัวฟังดูแทบจะเหมือนกัน และบันทึกการอัปเดต (release notes) ก็แทบไม่เคยอธิบายว่ามันต่างกันตรงไหน แล้ว Bulletproofs+ คือการอัปเกรดด้านความเป็นส่วนตัวหรือเปล่า? หรือเป็นการอัปเกรดด้านความเร็ว? หรือเป็นระบบใหม่ทั้งหมด? คำตอบสั้น ๆ คือ มันเป็นการอัปเกรดด้าน "ประสิทธิภาพ" ไม่ใช่ด้านความเป็นส่วนตัว คู่มือฉบับนี้จะแยกย่อยให้เห็นว่า proof แต่ละแบบทำหน้าที่อะไรกันแน่ ทำไม Monero ถึงนำมาใช้ในเดือนตุลาคม 2018 และเดือนสิงหาคม 2022 ตามลำดับ และความต่างในทางปฏิบัติระหว่างทั้งสองตัวมีความหมายแค่ไหนสำหรับธุรกรรมทั่วไปในปี 2026

ทำไม Monero ถึงต้องมี Range Proof ตั้งแต่แรก

Monero ซ่อนจำนวนเงินในธุรกรรมด้วยกลไกที่ชื่อ RingCT (Ring Confidential Transactions) ซึ่งเริ่มใช้มาตั้งแต่เดือนมกราคม 2017 แทนที่จะเขียนจำนวนเงินเป็นตัวเลขโต้ง ๆ เอาต์พุตแต่ละตัวจะเก็บค่าที่เรียกว่า Pedersen commitment ในรูปแบบ C = xG + aH โดยที่ a คือจำนวนเงินที่ซ่อนไว้ ส่วน x คือค่าสุ่มสำหรับบดบัง (blinding factor) และ G กับ H คือจุดกำเนิดบนเส้นโค้งวงรี (elliptic curve) ที่ตายตัว เครือข่ายสามารถตรวจสอบได้ว่าผลรวมของอินพุตเท่ากับเอาต์พุตโดยไม่ต้องรู้ตัวเลขที่เกี่ยวข้องเลยแม้แต่น้อย

ความลับนี้กลับสร้างช่องโหว่อันตรายขึ้นมา ในเมื่อไม่มีใครเห็นจำนวนเงิน แล้วอะไรจะมาหยุดผู้ส่งที่ไม่หวังดีไม่ให้ commit ค่ามหาศาลจนวนเกินค่า group order ของเส้นโค้ง ซึ่งก็เท่ากับเสก XMR ขึ้นมาจากความว่างเปล่า? ตรงนี้แหละที่ range proof แสดงคุณค่าของมันออกมา

• ป้องกันเงินเฟ้อ: range proof พิสูจน์ว่าจำนวนเงินที่ซ่อนไว้ทุกตัวอยู่ในช่วงที่ถูกต้องคือ [0, 2⁶⁴) โดยไม่เปิดเผยตัวเลข ไม่มีจำนวนติดลบ ไม่มี integer overflow และไม่มีเหรียญปลอม
• Zero-knowledge: ตัว proof ไม่รั่วข้อมูลใด ๆ เกี่ยวกับค่าจริง ผู้ตรวจสอบรู้แค่ว่า "ตัวเลขนี้อยู่ในช่วง" แต่ไม่มีวันรู้ว่าตัวเลขนั้นคืออะไร
• ไม่ต้องมี trusted setup: ต่างจากโครงสร้าง zk-SNARK หลายแบบ ทั้ง Bulletproofs และ Bulletproofs+ ไม่ต้องการพิธีสร้างพารามิเตอร์ลับ จึงไม่มี "ขยะพิษ" (toxic waste) ที่อาจถูกนำไปใช้ปลอม proof ในภายหลัง
• การรวบ (Aggregation): proof ตัวเดียวสามารถครอบคลุมเอาต์พุตทั้งหมดของธุรกรรมได้พร้อมกัน ขนาดจึงโตขึ้นแบบลอการิทึมเท่านั้น ไม่ใช่โตเป็นเส้นตรงตามจำนวนเอาต์พุตที่เพิ่มขึ้น

ทุกไบต์ที่จ่ายไปกับ proof เหล่านี้จะอยู่บนบล็อกเชนตลอดกาล ถูกทำสำเนาซ้ำไปทุก node ทั่วโลก นั่นจึงเป็นเหตุผลว่าทำไมประสิทธิภาพของ range proof ไม่ใช่เรื่องเล็กน้อยที่มองข้ามได้ มันส่งผลโดยตรงต่อค่าธรรมเนียม เวลาในการ sync และภาระการจัดเก็บข้อมูลระยะยาวของ Monero ซึ่งทั้งหมดนี้คือรากฐานของความ fungible (สับเปลี่ยนกันได้) ของเหรียญ

Bulletproofs: ความก้าวกระโดดของปี 2018

ก่อนยุค Bulletproofs นั้น Monero ใช้ลายเซ็นวงแหวนแบบ Borromean เพื่อสร้าง range proof มันใช้งานได้ก็จริง แต่กินพื้นที่อย่างโหดร้าย ขนาดของ proof โตเป็นเส้นตรงตามจำนวนบิตที่ต้องพิสูจน์ และธุรกรรมแบบสองเอาต์พุตเพียงรายการเดียวก็พองโตไปถึงราว 13 KB บนเชนที่เน้นความเป็นส่วนตัวซึ่งแบกข้อมูลลายเซ็นวงแหวนหนัก ๆ อยู่แล้ว นี่เป็นภาระที่แบกต่อไปไม่ไหว

Bulletproofs ถูกเสนอโดย Benedikt Bünz, Jonathan Bootle และคณะผู้เขียนร่วมในปี 2017 และลงสู่ mainnet ของ Monero พร้อมการอัปเกรดเครือข่ายเดือนตุลาคม 2018 ผลลัพธ์นั้นน่าตื่นตา ธุรกรรมทั่วไปหดเล็กลงราว 80% จาก ~13 KB เหลือประมาณ 2.5 KB และค่าธรรมเนียมมัธยฐานก็ทรุดลงกว่า 95% มันยังคงเป็นหนึ่งในชัยชนะด้านประสิทธิภาพครั้งใหญ่ที่สุดในประวัติศาสตร์ของ Monero

Bulletproofs ทำงานเบื้องหลังอย่างไร

เครื่องยนต์ที่อยู่ภายใน Bulletproofs คือสิ่งที่เรียกว่า inner-product argument (IPA) ผู้พิสูจน์ (prover) จะเข้ารหัสบิตของจำนวนเงินลงในเวกเตอร์สองตัว แล้วต้องโน้มน้าวให้ผู้ตรวจสอบเชื่อว่าผลคูณภายใน (inner product) ของเวกเตอร์ทั้งสองเท่ากับค่าที่กำหนด แทนที่จะส่งเวกเตอร์เต็ม ๆ โปรโตคอลจะรันหลายรอบ โดยลดความยาวของเวกเตอร์ลงครึ่งหนึ่งในแต่ละรอบ หลังจาก log₂(n) รอบ ก็จะเหลือจุดบนเส้นโค้งเพียงไม่กี่จุดที่ต้องส่งออกไป

การขยายตัวแบบลอการิทึมนี่แหละคือความมหัศจรรย์ การพิสูจน์ช่วง 64 บิตใช้ proof ขนาดเพียงไม่กี่ร้อยไบต์ และการรวบหลายเอาต์พุตเข้าด้วยกันก็เพิ่มองค์ประกอบแค่ไม่กี่ตัว ไม่ใช่การเพิ่ม proof ก้อนใหม่ทั้งก้อน เพื่อให้ inner-product argument เป็นแบบ zero-knowledge ตัว Bulletproofs ดั้งเดิมจะต้องแปะเทอมบดบัง (blinding terms) เพิ่มเข้าไปและส่งไปพร้อมกับตัว argument หลัก

การตรวจสอบแบบกลุ่ม (Batch Verification)

Bulletproofs ยังเปิดทางให้ node ตรวจสอบ proof จำนวนมากพร้อมกันในการดำเนินการเดียวแบบรวมกลุ่ม ซึ่งถูกกว่าการไล่ตรวจทีละตัวอย่างมาก เรื่องนี้สำคัญมหาศาลเวลาที่ full node กำลัง sync ประวัติย้อนหลังหลายปี หรือกำลังตรวจสอบบล็อกที่เพิ่งขุดได้ซึ่งอัดแน่นไปด้วยธุรกรรมจาก mempool

Bulletproofs+ เทียบ Bulletproofs: ความต่างที่แท้จริง

Bulletproofs+ มาจากงานวิจัยปี 2020 ของ Heewon Chung, Kyoohyung Han, Chanyang Ju, Myungsun Kim และ Jae Hong Seo นวัตกรรมหลักของมันคือการเปลี่ยน inner-product argument ไปเป็น weighted inner-product (WIP) argument โดยตัว WIP จะพับเอาส่วนบดบังแบบ zero-knowledge เข้าไปไว้ในตัว argument โดยตรง ผู้พิสูจน์จึงไม่ต้องส่งเทอมบดบังแยกต่างหากแบบที่ Bulletproofs ดั้งเดิมเคยต้องส่งอีกต่อไป

การส่งองค์ประกอบน้อยลงหมายถึง proof ที่เล็กลงและการตรวจสอบที่ถูกลงเล็กน้อย ในการนำไปใช้จริงของ Monero นั้น Bulletproofs+ ตัดส่วนที่เป็น range proof ของธุรกรรมลงราว 5–7% และเร่งความเร็วในการตรวจสอบขึ้นเล็กน้อย มันเป็นการปรับปรุงแบบค่อยเป็นค่อยไป ไม่ได้ใกล้เคียงกับการกระโดด 80% ของปี 2018 เลย แต่เป็นการประหยัดแบบฟรี ๆ ที่ทบต้นกันไปทั่วทั้งธุรกรรมหลายล้านรายการและพื้นที่จัดเก็บของทุก node

ที่สำคัญที่สุดคือ คุณสมบัติด้านความเป็นส่วนตัวนั้นเหมือนกันเป๊ะ proof ทั้งสองตัวซ่อนจำนวนเงินได้ดีพอ ๆ กัน ทั้งคู่อาศัยช่วง 64 บิตเดียวกันและสคีม Pedersen commitment ตัวเดียวกัน ใครก็ตามที่โฆษณาว่า Bulletproofs+ "เป็นส่วนตัวกว่า" คือเข้าใจผิด ความเป็นส่วนตัวมาจาก RingCT, ลายเซ็นวงแหวน และ CLSAG ต่างหาก ส่วน range proof มีหน้าที่รับประกันแค่ความซื่อสัตย์ของจำนวนเงินเท่านั้น

การอัปเกรดเดือนสิงหาคม 2022 ทำมากกว่าแค่สลับ range proof มันยังส่งมอบ view tags ที่เร่งการสแกนกระเป๋าให้เร็วขึ้นราว 40% และเพิ่มขนาดวงแหวน (ring size) จาก 11 เป็น 16 ตัวล่อ (decoys) ตัว Bulletproofs+ จึงช่วยชดเชยน้ำหนักส่วนเกินที่วงแหวนขนาดใหญ่ขึ้นเพิ่มเข้ามา ทำให้ธุรกรรมยังคงเพรียวบางแม้กลุ่มนิรนาม (anonymity set) จะโตขึ้น

Range Proof เดินทางผ่านธุรกรรมอย่างไร

การได้เห็นว่า proof เหล่านี้อยู่ตรงไหนในวงจรชีวิตของการจ่ายเงิน XMR จะช่วยให้เข้าใจภาพรวมได้ดีขึ้น ขั้นตอนด้านล่างนี้ไล่ตามเอาต์พุตหนึ่งตัวตั้งแต่ตอนสร้างจนถึงการยืนยัน

1. Commit จำนวนเงิน กระเป๋าของคุณสุ่ม blinding factor ขึ้นมาแล้วสร้าง Pedersen commitment C = xG + aH สำหรับเอาต์พุตแต่ละตัว เพื่อซ่อนมูลค่าไว้บนเชน
2. สร้าง proof กระเป๋าสร้าง Bulletproofs+ range proof แบบรวบเพียงก้อนเดียวที่ครอบคลุมทุกเอาต์พุต พิสูจน์ว่าจำนวนเงินแต่ละตัวอยู่ในช่วง [0, 2⁶⁴) โดยไม่เปิดเผยมัน
3. กระจายสัญญาณ (Broadcast) ธุรกรรมที่เซ็นแล้ว ทั้งข้อมูลลายเซ็นวงแหวน, key image, commitment และ range proof จะแพร่กระจายไปทั่วเครือข่ายผ่าน Dandelion++ แล้วลงเอยใน mempool
4. ตรวจสอบ (Verify) full node แต่ละเครื่องตรวจ range proof (มักจะรวมกลุ่มกับตัวอื่น) ยืนยันว่าอินพุตสมดุลกับเอาต์พุต และตรวจสอบลายเซ็นวงแหวนก่อนจะส่งต่อ
5. ยืนยัน (Confirm) นักขุดบรรจุธุรกรรมลงในบล็อก หลังจากยืนยันครบสิบครั้ง เงินจึงถือว่าชำระเสร็จสมบูรณ์และนำไปใช้จ่ายต่อได้

ถ้า range proof เพียงตัวเดียวตรวจสอบไม่ผ่าน ธุรกรรมทั้งรายการจะถูกปฏิเสธ ไม่มีการยอมรับแบบ "บางส่วน" กฎแบบได้ทั้งหมดหรือไม่ได้เลยนี่แหละที่ทำให้การรับประกันเรื่องเงินเฟ้อแน่นหนาไร้รอยรั่ว

ความต่างนี้มีความหมายอย่างไรในทางปฏิบัติ

สำหรับผู้ใช้ทั่วไป การเปลี่ยนจาก Bulletproofs เป็น Bulletproofs+ นั้นมองไม่เห็นเลย คุณแค่อัปเดตกระเป๋า แล้วธุรกรรมของคุณก็เริ่มสร้าง proof ตัวใหม่ขึ้นมาเอง ไม่มีเหรียญใดใช้จ่ายไม่ได้ ไม่มีที่อยู่ใดเปลี่ยน และไม่มีอะไรในเรื่องความเป็นส่วนตัวของคุณที่ขยับ ประโยชน์ทั้งหมดตกอยู่ที่ระดับเครือข่าย

ธุรกรรม Monero มาตรฐานแบบสองอินพุตสองเอาต์พุตในปี 2026 มีน้ำหนักราว 1.5 KB และเสียค่าใช้จ่ายเพียงเศษเสี้ยวของหนึ่งเซ็นต์สหรัฐที่ระดับความสำคัญปกติ Bulletproofs+ คือเหตุผลหนึ่งที่ทำให้ตัวเลขนั้นยังต่ำอยู่แม้หลังจากขนาดวงแหวนจะกระโดดไปเป็น 16 แล้ว ลองคูณการประหยัด range proof 5–7% เข้ากับธุรกรรมหลายล้านรายการที่ได้รับการยืนยันในแต่ละปี คุณก็จะได้บล็อกที่เพรียวลงอย่างวัดได้ การ sync เริ่มต้นที่เร็วขึ้นสำหรับ node ใหม่ และร่องรอยที่เบาลงสำหรับใครก็ตามที่รัน Monero ผ่าน Tor บนฮาร์ดแวร์ธรรมดา ๆ

ประสิทธิภาพนี้ป้อนเข้าสู่เรื่องการเข้าถึงได้โดยตรง ค่าธรรมเนียมที่ต่ำลงและธุรกรรมที่เล็กลงทำให้การตั้ง node ถูกลง ซึ่งช่วยรักษาความกระจายศูนย์ของเครือข่ายเอาไว้ เมื่อคุณสลับมาเป็น XMR ผ่าน MoneroSwapper แล้วถอนเข้ากระเป๋าของคุณเอง proof ที่ขี่อยู่ภายในธุรกรรมนั้นก็คือ Bulletproofs+ ก้อนเพรียวบางก้อนเดียวกับที่ผู้ใช้ทุกคนในปี 2026 สร้างขึ้น นี่คือสิ่งที่รักษาความ fungible เอาไว้ เพราะเอาต์พุต XMR หนึ่งตัวแยกไม่ออกจากอีกตัวในเชิงคริปโทกราฟี

ควรย้ำว่า range proof เป็นเพียงชั้นเดียวของกองความเป็นส่วนตัวของ Monero เท่านั้น หน่วยงานด้านภาษีอย่างกรมสรรพากร และหน่วยงานกำกับดูแลอย่าง ก.ล.ต. รวมถึงธนาคารแห่งประเทศไทย (ธปท.) ต่างจับตาการไหลเวียนของคริปโทอย่างใกล้ชิด แต่ range proof ไม่ได้เปิดเผยอะไรเลยเกี่ยวกับผู้ส่ง ผู้รับ หรือจำนวนเงิน หน้าที่เดียวของมันคือความซื่อสัตย์เรื่องปริมาณเหรียญ ไม่ใช่ความนิรนาม งานส่วนนั้นถูกจัดการที่อื่นในโปรโตคอล

คำถามที่พบบ่อย

Bulletproofs+ ทำให้ Monero เก่าของฉันใช้จ่ายไม่ได้หรือเปล่า?

ไม่ การเปลี่ยนแปลงนี้เป็นการอัปเกรดระดับ consensus ที่เปิดใช้งานที่ความสูงบล็อก (block height) ที่กำหนดไว้ หลังจาก fork เดือนสิงหาคม 2022 กระเป๋าที่อัปเดตแล้วก็เพียงเริ่มสร้าง proof แบบ Bulletproofs+ สำหรับธุรกรรมใหม่ เหรียญที่รับมาในยุค Bulletproofs เก่ายังใช้จ่ายได้ปกติทุกประการ เพราะ proof ถูกสร้างขึ้นใหม่ทุกครั้งที่คุณส่ง ไม่ได้ถูกเก็บถาวรไว้กับยอดเงินของคุณ

Bulletproofs+ เป็นส่วนตัวมากกว่า Bulletproofs ไหม?

ไม่ ทั้งคู่ซ่อนจำนวนเงินได้ในระดับเดียวกันเป๊ะ และพิสูจน์ช่วง [0, 2⁶⁴) เดียวกัน Bulletproofs+ เป็นเพียงการปรับปรุงด้านประสิทธิภาพล้วน ๆ คือ proof เล็กลงและตรวจสอบเร็วขึ้นเล็กน้อย ความเป็นส่วนตัวที่แท้จริงของ Monero มาจาก RingCT, stealth address และลายเซ็นวงแหวน CLSAG ซึ่ง range proof ไม่ได้ไปแตะต้องเลยสักอย่าง

ฉันต้องทำอะไรเพื่อใช้ Bulletproofs+ ไหม?

แค่รันกระเป๋าเวอร์ชันปัจจุบันก็พอ ซอฟต์แวร์ Monero อย่างเป็นทางการทั้ง GUI และ CLI รวมถึงกระเป๋าของบุคคลที่สามที่น่าเชื่อถือ ต่างสร้าง proof แบบ Bulletproofs+ เป็นค่าเริ่มต้นมาตั้งแต่การอัปเกรดปี 2022 ไม่มีการตั้งค่าให้สลับและไม่มีการย้ายข้อมูลที่ต้องทำ ทุกอย่างเป็นอัตโนมัติ

ทำไม Monero ถึงไม่ใช้ zk-SNARKs แทน?

ระบบ zk-SNARK ที่มีประสิทธิภาพส่วนใหญ่ต้องการพิธี trusted setup ซึ่งสร้างพารามิเตอร์ลับที่ถ้ารั่วออกไป อาจทำให้ผู้โจมตีปลอม proof และเพิ่มปริมาณเหรียญได้โดยไม่มีใครจับได้ ส่วน Bulletproofs และ Bulletproofs+ ไม่ต้องการพิธีแบบนั้นเลย จึงสอดคล้องกับปรัชญาแบบไร้ความไว้ใจ (trustless) ของ Monero สิ่งที่ต้องแลกคือ proof ที่ใหญ่ขึ้นเล็กน้อยและการตรวจสอบที่ขยายตามขนาดของข้อความที่จะพิสูจน์

อะไรจะมาหลังจาก Bulletproofs+?

ก้าวกระโดดครั้งใหญ่ถัดไปคือ FCMP++ (Full-Chain Membership Proofs) ซึ่งมุ่งจะแทนที่ลายเซ็นวงแหวนด้วย proof ที่ซ่อนการใช้จ่ายแต่ละครั้งไว้ท่ามกลางบล็อกเชนทั้งสาย แทนที่จะซ่อนในวงแหวนตัวล่อแค่ 16 ตัว มันใช้กลไกการพิสูจน์ของตัวเองและอยู่ระหว่างการทดสอบอย่างเข้มข้นตลอดช่วงปี 2025–2026 โดยมีกำหนดจะเข้าสู่ hard fork ในอนาคต ส่วน range proof อย่าง Bulletproofs+ น่าจะยังทำหน้าที่เดิมต่อไป แม้ FCMP++ จะมายกเครื่องด้านสมาชิกภาพ (membership) ของความเป็นส่วนตัวก็ตาม

สรุปบรรทัดสุดท้าย

Bulletproofs คือการปฏิวัติ การตัดขนาดลง 80% ที่ทำให้จำนวนเงินแบบเป็นความลับใช้งานได้จริงในปี 2018 ส่วน Bulletproofs+ คือการขัดเงา การปรับปรุง 5–7% ในปี 2022 ที่สลับ inner-product argument เป็นเวอร์ชันแบบถ่วงน้ำหนัก พับเอา zero-knowledge เข้าไปไว้ในตัว proof และประหยัดไบต์ในทุกธุรกรรม โดยไม่เปลี่ยนแปลงอะไรในเรื่องความเป็นส่วนตัวของคุณเลย การเข้าใจความต่างนี้ทำให้คุณจับมายาคติทางการตลาดที่เรียก proof ตัวใหม่ว่า "นิรนามกว่า" ได้ มันไม่ได้เป็นเช่นนั้น และมันก็ไม่จำเป็นต้องเป็น

proof ทั้งสองตัวมีเป้าหมายเดียวกัน คือการรับประกันว่าไม่มีใครปลอม XMR ในขณะที่จำนวนเงินยังถูกผนึกไว้เป็นความลับ ความซื่อสัตย์เงียบ ๆ นี้คือส่วนหนึ่งของสิ่งที่ทำให้ทุกเหรียญสับเปลี่ยนกันได้ พร้อมจะนำมันไปใช้งานจริงแล้วหรือยัง? คุณสามารถซื้อ Monero แบบไม่เปิดเผยตัวตนผ่าน MoneroSwapper โดยไม่ต้องมีบัญชีและไม่ต้อง KYC และทุกเอาต์พุตที่คุณได้รับจะมาพร้อม Bulletproofs+ ก้อนเพรียวบางที่ผ่านการพิสูจน์มาแล้วก้อนเดียวกับที่เครือข่ายส่วนที่เหลือไว้วางใจ