储备金证明详解：默克尔树、审计局限性与交易所偿付能力验证

速读

储备金证明（Proof of Reserves，PoR）是中心化交易所用于证明其持有100%用户资产存款的一种密码学审计方法。通过将链上钱包签名与默克尔树数据结构相结合，PoR使用户能够独立验证自己的账户余额是否获得1:1的足额支持。

需要记住的要点

• ✓1:1抵押验证：储备金证明为中心化交易所提供数学证据，证明其所持有的数字资产足以匹配全部用户账户负债。
• ✓默克尔树自行验证：密码学默克尔树让每位用户都能核实自己的账户余额是否被计入交易所的PoR审计快照。
• ✓ZK-SNARK隐私升级：现代PoR框架使用零知识证明来证明偿付能力和账户余额非负，同时不暴露敏感的用户财务数据。
• ✓负债盲区：PoR可以证明链上资产的持有情况，但难以侦测未记录在链上的公司债务、已被抵押的贷款或隐藏负债。
• ✓自托管依然更优：尽管PoR提升了交易所的透明度，但将资产存放在自托管硬件钱包中可以完全消除第三方信用风险。

什么是储备金证明（PoR）？

2022年底，中心化加密货币交易所FTX轰动一时地崩溃——数十亿美元的用户资金被秘密再抵押并最终损失——此后，数字资产行业开始要求彻底的财务透明度。

传统金融机构依赖会计师事务所提供的季度纸质财务审计。而在加密货币行业，交易所则推出了储备金证明（Proof of Reserves，PoR）——一套公开、基于密码学的核验框架，让用户可以直接在链上核实交易所的偿付能力。

从本质上讲，一次完整的储备金证明评估需要核实两个基本组成部分：

链上储备资产 ≥ 用户负债总额

1. 链上储备资产：交易所拥有的冷钱包和热钱包地址中，可公开验证的加密货币余额。
2. 用户负债总额：交易所平台上所有用户账户存款余额的总和。

默克尔树密码学证明的运作方式

为了在不公开每位用户私人财务数据的前提下证明用户负债，交易所使用默克尔树（一种二叉哈希树）。

默克尔树验证流程的四个步骤

1. 对用户余额进行哈希：交易所将每位用户唯一的账户ID和当前余额哈希为一个独立的叶子节点（例如Hash(User_ID + Account_Balance)）。
2. 构建树结构：相邻的叶子节点两两配对并反复哈希，逐层向上汇聚，最终生成一个统领全局的密码学指纹：默克尔根。
3. 为链上钱包余额签名：交易所使用其冷钱包私钥对一条公开消息进行签名，以证明其对持有用户资产的链上地址拥有控制权。
4. 用户自行验证：交易所会向每位用户提供一条密码学默克尔路径（或称记录哈希）。用户只需将这段哈希输入验证工具，即可从数学上确认自己的余额已被计入整体默克尔根的计算。

演进：零知识（ZK-SNARK）储备金证明

早期的默克尔树PoR实现存在隐私方面的局限：恶意行为者可以通过分析树的分支，推断出交易所的用户总数，或估算竞争对手的余额规模。

为解决这一问题，现代交易所（如Binance、OKX和Bybit）已升级其框架，采用零知识证明（ZK-SNARK）：

• 余额非负证明：ZK-SNARK让交易所能够从数学上证明，没有任何用户账户余额被篡改为负值（这可能人为压低负债总额），同时又不暴露单个账户的具体数字。
• 完整的隐私保护：用户可以验证自己确实被计入其中，而第三方只能看到一份零知识证明，确认总资产 ≥ 总负债。

储备金证明的关键局限性

尽管储备金证明是交易所透明度方面的一大进步，但它并不能完美保证财务健康状况。投资者必须了解其固有的局限性：

1. 表外负债盲区

PoR可以证明某交易所在链上钱包地址中控制着10万枚BTC。但它很难侦测到表外负债——例如未记录的银行贷款、私人信贷额度，或向第三方作出的公司担保。如果一家交易所把自己的比特币抵押出去，为一笔表外的法币贷款提供担保，PoR仍然会显示这些比特币还在该钱包地址中。

2. 临时借入资金的陷阱

如果没有持续、实时的核验机制，交易所理论上可以在计划中的月度PoR快照即将生成之前，从某做市商处借入5亿美元，完成余额快照后，再在几分钟内归还这笔借款。

3. 法币储备被排除在外

PoR框架只追踪公开区块链上的数字资产（如BTC、ETH和USDT）。持有在传统商业银行账户中的法币储备（如美元、欧元或英镑）无法通过默克尔树进行验证，仍然需要依赖传统财务审计。

常见问题

来源与延伸阅读

关于密码学偿付能力与储备金证明的主要研究：

• Vitalik Buterin — Having a safe CEX: proof of solvency and beyond

本文仅供教育参考，不构成财务或会计建议。交易所的偿付能力参数与审计方法会随时间变化。存入资金前，请在交易所平台上核实实时的储备金证明数据。