RingCT לעומק: איך מונרו מסתיר סכומי עסקאות

מבוא לעסקאות חסויות בטבעת

כאשר מונרו הושקה לראשונה ב-2014, היא ירשה את חתימות הטבעת וכתובות הסוואה של CryptoNote, שהסתירו את השולח ואת המקבל של כל עסקה. אולם, היה פרצה בולטת במודל הפרטיות: סכומי העסקאות היו גלויים לחלוטין על גבי הבלוקצ'יין. כל אחד יכול היה לראות בדיוק כמה XMR הועבר, מה שאפשר ניתוח מאזן מתוחכם והתקפות דה-אנונימיזציה. עסקאות חסויות בטבעת (RingCT) פתרו בעיה קריטית זו, וכיום הן מרכז מנגנון הפרטיות של מונרו.

RingCT הוצג לראשונה ב-2015 על ידי Shen Noether ממעבדת המחקר של מונרו, ויושם בינואר 2017. הרעיון המהפכני: להצפין את הסכומים כך שניתן יהיה לאמת שהעסקה חוקית מבחינה מתמטית — אין יצירת כסף יש מאין — מבלי לחשוף את הסכום בפועל. כיום, כל עסקאות מונרו חייבות להשתמש ב-RingCT ללא יוצא מן הכלל.

הבעיה שקדמה ל-RingCT

בגרסאות הראשונות של מונרו, כאשר שלחת XMR, סכום הפלט (output) היה גלוי לכולם. זה יצר מספר בעיות פרטיות חמורות:

• ניתוח מאזן: אם ידעת שאחד מבעלי טבעת החתימה שלח בדיוק 5.3 XMR לפני שעה, תוכל לזהות אותו כשולח האמיתי ולבטל את האנונימיות שחתימת הטבעת אמורה לספק.
• מעקב אחר סכומים: ניתן היה לעקוב אחר סכומים ספציפיים דרך הבלוקצ'יין ולנסות לקשר עסקאות זו לזו על בסיס הסכומים הזהים.
• הוצאת מהימנות מהממשים: ידיעת הסכומים העלתה ספקות לגבי אמינות חתימות הטבעת ופגמה בהסתרת הזהות.
• חשיפת עוצר העושר: עם ידיעת הכתובות, ניתן היה לחשב את ההכנסות הכוללות של משתמש מסוים.
• מידע תחרותי: עסקים שמשתמשים ב-XMR חשפו את נפח המכירות והכנסותיהם בעל כורחם.

כדי לפתור בעיה זו, נדרשה גישה קריפטוגרפית מתקדמת שתסתיר את הסכומים ובמקביל תאפשר אימות שהעסקה לא יוצרת מטבעות חדשים — אתגר מתמטי לא פשוט כלל.

התחייבויות פדרסן: הלב של RingCT

הבסיס המתמטי של RingCT הוא התחייבות פדרסן (Pedersen Commitment). זהו מנגנון קריפטוגרפי שמאפשר להתחייב לערך — כלומר, לסכום כסף — מבלי לחשוף אותו, ובמקביל לאמת לאחר מכן שהערך נכון ושלא שונה.

הנוסחה הבסיסית היא:

C = v·G + r·H

כאשר:

• C — ההתחייבות (commitment), מה שמופיע על הבלוקצ'יין לעיני כולם
• v — הסכום בפועל (ערך סודי שרק השולח והמקבל יודעים)
• r — מספר אקראי (blinding factor, גורם עיוור) שמסתיר את הסכום
• G ו-H — נקודות ייחוס על עקומה אליפטית ידועות לכולם

המאפיין המדהים של התחייבויות פדרסן הוא שהן הומומורפיות: ניתן לחבר ולהחסיר התחייבויות מבלי לחשוף את הערכים. זה אומר שניתן לאמת שסכום הכניסות שווה לסכום הפלטים (ולעמלה) מבלי לדעת אף אחד מהסכומים בפועל.

אימות חוקיות העסקה

בעסקת מונרו רגילה, אם אתה שולח 5 XMR ל-Alice ו-2 XMR בחזרה לעצמך (עם עמלה של 0.01), על הרשת לאמת:

כניסות = פלטים + עמלה
Input₁ = Output_Alice + Output_change + Fee

עם התחייבויות פדרסן, זה הופך ל:

C(inputs) - C(outputs) - C(fee) = 0

כיוון שההתחייבויות הומומורפיות, ניתן לאמת שהסכום הזה שווה אפס מבלי לדעת שום ערך בודד. ה-blinding factors חייבים להיות מאוזנים כדי שהמשוואה תעבוד, מה שמאמת גם שהמשתמש יודע את הסכומים האמיתיים.

הוכחות טווח (Range Proofs)

הסתרת הסכומים יוצרת בעיה חדשה: מה אם אחד מהסכומים שלילי? מה אם מישהו ניסה לשלוח "מינוס 100 XMR" כדי לייצר כסף יש מאין? ללא גבולות, ניתן תיאורטית לבצע עסקה עם פלט שלילי שמבחינה מתמטית "מאזנת" אבל יוצרת XMR מאין.

הוכחות טווח (Range Proofs) פותרות בעיה זו: הן מאמתות קריפטוגרפית שכל סכום נמצא בתחום חיובי (בין 0 ל-2 בחזקת 64) מבלי לחשוף את הסכום עצמו. זהו יישום של הוכחת ידע-אפס (Zero-Knowledge Proof) לכך שהסכום הוא חיובי ובגדר הסביר.

Borromean Ring Signatures להוכחות טווח

הגרסה הראשונית של RingCT השתמשה ב-Borromean Ring Signatures כדי ליצור הוכחות טווח. שיטה זו ייצגה כל ביט של הסכום בנפרד — כל ביט מקבל חתימת טבעת שמאמתת שהוא 0 או 1. הבעיה: ההוכחות היו ענקיות — כ-5kB לפלט — מה שהפך עסקאות מונרו לגדולות ויקרות מאוד.

Bulletproofs: המהפכה ב-2018

באוקטובר 2018, מונרו עברה ל-Bulletproofs — שדרוג דרמטי בגודל ובמהירות של הוכחות הטווח. Bulletproofs פותחו על ידי Benedikt Bünz ועמיתיו מאוניברסיטת סטנפורד, ואפשרו לצמצם את גודל הוכחות הטווח בכ-80% (!), מה שהוריד את עמלות הרשת בצורה דרמטית.

מדוע Bulletproofs קטנות יותר?

Bulletproofs משתמשות בתת-פרוטוקול קומפקטי יותר שנקרא Inner Product Argument. במקום להוכיח כל ביט בנפרד, הן מוכיחות את כל הביטים יחד בסדרה לוגריתמית של סבבים. גודל ההוכחה הוא O(log n) במקום O(n) — כלומר, עסקה עם פלטים רבים הופכת יחסית זולה יותר.

בנוסף, ניתן לאגד מספר Bulletproofs לכדי הוכחה אחת גדולה (aggregated proof), מה שמוריד עוד יותר את העלות הממוצעת לעסקה עם מספר פלטים.

Bulletproofs+

ב-2022, מונרו עדכנה שוב ל-Bulletproofs+ — גרסה משופרת שמקטינה את גודל ההוכחות בעוד 5-7% ומשפרת ביצועי אימות. ה-Bulletproofs+ נבדקו מתמטית בצורה קפדנית ומספקים את אותן ערבויות ביטחון עם פחות תקורה חישובית.

מבנה עסקת RingCT מלאה

עסקת מונרו מלאה עם RingCT מכילה את המרכיבים הבאים:

1. כניסות (Inputs) עם חתימות טבעת

לכל כניסה יש חתימת CLSAG (Concise Linkable Spontaneous Anonymous Group) — גרסה מותאמת של חתימת הטבעת הרגילה שעובדת עם RingCT. ה-CLSAG מאמת שאחד מהפלטים הכלולים בטבעת שייך לשולח ובמקביל שסכום הכניסות שווה לסכום הפלטים בתוספת העמלה.

2. פלטים (Outputs) עם התחייבויות

כל פלט מכיל:

• כתובת סוואה (Stealth Address) — כתובת חד-פעמית ייחודית לעסקה זו בלבד
• התחייבות פדרסן — ה-commitment לסכום הנסתר
• Amount Key מוצפן — מפתח מוצפן שמאפשר למקבל לשחזר את הסכום האמיתי

3. Bulletproof+

הוכחת הטווח שמאמתת שכל הפלטים חיוביים ובגדר הסביר. עסקה אחת עם מספר פלטים תכיל Bulletproof+ אחד אגרגטיבי — זה יעיל יותר מאשר הוכחות נפרדות לכל פלט בנפרד.

4. Pseudo-Outputs ו-RCT Signatures

לכל כניסה מחושב pseudo-output commitment — commitment ביניים שמחבר בין ה-commitments של הכניסות לבין הפלטים. הסכום של ה-pseudo-outputs חייב להתאים לסכום ה-commitments של הפלטים בתוספת העמלה.

כיצד המקבל משחזר את הסכום שלו

כשמישהו שולח לך XMR, איך אתה יודע כמה קיבלת אם הסכום מוצפן על הבלוקצ'יין?

הסוד טמון ב-Diffie-Hellman Key Exchange שבין השולח למקבל:

1. השולח יוצר מפתח משותף סודי עם המקבל (shared secret) באמצעות מפתח ה-view הציבורי שלך
2. הסכום מוצפן עם מפתח זה ומאוחסן בפלט בשדה "ecdhInfo"
3. כשאתה סורק את הבלוקצ'יין עם מפתח ה-view הפרטי שלך, אתה יכול לשחזר את המפתח המשותף ולפענח את הסכום
4. תוכל גם לאמת שה-commitment מתאים לסכום המפוענח — כל אי-התאמה מסמנת עסקה לא תקינה

זה אומר שרק אתה — ומי שקיבל ממך את מפתח ה-view הפרטי, למשל רואה חשבון — יכולים לראות כמה קיבלת. כולם אחרים רואים רק commitment אטום לחלוטין.

CLSAG: חתימות טבעת משופרות ל-RingCT

החתימות שמשמשות ב-RingCT עברו גם הן שיפורים משמעותיים לאורך השנים:

MLSAG (Multi-Layered Linkable Spontaneous Anonymous Group)

הגרסה הראשונה — MLSAG — עבדה עם RingCT על ידי יצירת חתימת טבעת נפרדת לכל "שכבה" (layer) של מפתחות. זה עבד אבל היה יקר יחסית מבחינת גודל הנתונים שנדרשו לאחסן בבלוקצ'יין.

CLSAG (2020)

CLSAG, שהוצג ב-2020, מאחד את כל השכבות לחתימה בודדת תוך שמירה על אותן ערבויות ביטחון מלאות. התוצאה: חתימות קטנות בכ-25% ואימות מהיר יותר בכ-10%. זהו השדרוג ששימש לייעול העסקאות ולהוזלת עמלות עבור כל משתמשי מונרו.

Seraphis/Jamtis: עתיד מונרו

קהילת מונרו עובדת כעת על Seraphis — שדרוג עיקרי לפרוטוקול העסקאות שיחליף את RingCT הנוכחי. Seraphis ייכלול:

• Jamtis — ארכיטקטורת כתובות חדשה עם יכולות שיתוף מפתחות view גמישות יותר לצרכי ביקורת ועסקים
• Triptych או Seraphis Ring Signatures — חתימות טבעת עם גדלי טבעת גדולים יותר ביעילות מתמטית גבוהה יותר
• תמיכה ב-Multisig משופרת לחוזים חכמים ותשלומים קבוצתיים
• ארכיטקטורת UTXO גמישה יותר שתאפשר שימושים עתידיים

ניתוח פרטיות: מה RingCT מסתיר ומה לא

מה RingCT מסתיר לחלוטין

• כמות XMR שהועברה — אטומה לחלוטין לכולם, כולל צמתים מלאים ובלוקצ'יין אנליטיקה
• יתרות חלקיות — לא ניתן לחשב מאזן של כתובת אפילו עם ידיעת הכתובות
• זרמי כסף — קשה לעקוב אחר כמה XMR עובר דרך ישות ספציפית
• מידע תחרותי — עסקים לא חושפים נפחי מכירות

מה RingCT לא מסתיר לבד

• השולח האמיתי — זו עבודת חתימות הטבעת ו-Decoy Selection
• המקבל — זו עבודת כתובות הסוואה (Stealth Addresses)
• מספר הפלטים בעסקה — גלוי על הבלוקצ'יין
• עמלות עסקה — גלויות לכולם
• מטא-דאטה רשתי — כתובות IP מחייבות שימוש ב-Tor/I2P

ביחד עם חתימות הטבעת וכתובות הסוואה, RingCT משלים את "הטריאדה" של פרטיות מונרו: הסתרת שולח, מקבל וסכום — שלוש שכבות הגנה בלתי-תלויות שמחזקות זו את זו.

השוואה לגישות אחרות בשוק

Zcash ו-zk-SNARKs

Zcash משתמש ב-zk-SNARKs להסתרת כל פרטי העסקה. גישה זו חזקה מאוד אבל דורשת "Trusted Setup" — טקס מיוחד שאם נפגע, יאפשר יצירת כסף מזויף ללא זיהוי. מונרו בחרה בגישה שאינה מצריכה Trusted Setup ושהפרטיות היא ברירת מחדל חובה — לא אופציונלית.

MimbleWimble (Grin, Beam)

MimbleWimble גם משתמש בהתחייבויות פדרסן, אבל עם ארכיטקטורה שונה לחלוטין — ללא כתובות מסורתיות ועם מבנה בלוקצ'יין שמאפשר "pruning" אגרסיבי. הגישה מצמצמת את גודל הבלוקצ'יין אבל מגבילה חלק מהפונקציונליות.

Bitcoin ופתרונות צד

Bitcoin עצמו חסר לחלוטין הסתרת סכומים. פתרונות כמו CoinJoin מערבבים עסקאות אבל לא מסתירים את הסכומים, מה שמגביל את הפרטיות באופן מהותי וניתן לניתוח על ידי כלי בלוקצ'יין אנליטיקה.

ביצועים ועמלות לאורך הזמן

RingCT, Bulletproofs ו-CLSAG לא רק שיפרו פרטיות — הם גם שיפרו ביצועים משמעותית:

מונרו של 2024 כבר משתמשת ב-RingCT משופר משמעותית ממה שהושק ב-2017 — פרטיות חזקה יותר עם עלויות נמוכות יותר לעסקה.

שאלות נפוצות על RingCT

האם RingCT מושלם? האם ניתן לפרוץ אותו?

RingCT מבוסס על בעיות מתמטיות קשות (discrete logarithm problem) שאין עדיין אלגוריתם יעיל לפתרונן. כל עוד הבעיות הללו נשארות קשות — כולל בעידן קוונטי עם שדרוגים עתידיים — RingCT נשאר בטוח. הקוד עבר מספר ביקורות ביטחון עצמאיות.

האם מונרו יכולה להוציא XMR מאין?

לא. הוכחות הטווח מבטיחות שאין פלטים שליליים, וההתחייבויות ההומומורפיות מבטיחות שסכום הכניסות שווה לסכום הפלטים. כל עסקה שמנסה לחרוג מכלל זה תידחה על ידי הרשת.

האם אפשר לאמת כמה XMR בארנק שלי?

כן — אם יש לך גישה למפתח ה-view הפרטי שלך ול-wallet, תוכל לראות את כל הפלטים שהגיעו אליך ולחשב את יתרתך המדויקת. בלי מפתח ה-view, אף אחד אחר לא יכול.

הקשר ל-MoneroSwapper

כשאתם מחליפים XMR דרך MoneroSwapper, כל העסקאות שמגיעות ויוצאות מהארנקים שלנו משתמשות ב-RingCT מלא עם Bulletproofs+ ו-CLSAG. זה אומר:

• הסכומים המעורבים בהמרה שלכם נשארים סודיים — לא ניתן לדעת כמה XMR החלפתם
• לא ניתן לקשר כמה XMR נכנסה לכמה יצאה — הבלוקצ'יין לא חושף זאת
• הפרטיות שלכם מוגנת ברמה מתמטית — לא רק במדיניות פרטיות
• אין KYC, אין רישום — כי פרטיות אמיתית לא מצריכה אמון עיוור

סיכום: למה RingCT חשוב לעולם הדיגיטלי

RingCT הוא אחד מהחידושים הקריפטוגרפיים הגדולים של עולם המטבעות הדיגיטליים. בעזרת התחייבויות פדרסן, הוכחות טווח, Bulletproofs+ ו-CLSAG, מונרו מצליחה לאמת שהפנקסנות (bookkeeping) נכונה — שאף אחד לא יוצר XMR מאין — מבלי לחשוף שום מידע על הסכומים עצמם.

זהו מעשה קריפטוגרפי מרשים: הוכחה ללא ידיעה (Zero-Knowledge Proof) ברמה שמאפשרת מטבע דיגיטלי פרטי לאמיתי. בניגוד לביטקוין ואחרים, שבהם כל עסקה חשופה לניתוח מלא, מונרו עם RingCT מציעה פרטיות פיננסית אמיתית — לא "פסאודו-אנונימיות" אלא הסתרה מתמטית מוכחת של המידע הפיננסי שלכם.

אם אתם מוכנים לנצל את הפרטיות המלאה של מונרו, החליפו ל-XMR ב-MoneroSwapper — ללא KYC, ללא מעקב, עם הפרטיות המתמטית שרק RingCT יכול לספק.