什麼是 MPC 錢包？多方計算安全機制

每一個加密貨幣錢包歸根結底都只有一個秘密：一把私鑰。誰持有它，誰就掌控這筆資金。沒有例外。

這種設計在理論上很優雅。但在現實中，它釀成了一場慢動作的災難。Chainalysis 估計，所有已挖出的比特幣裡大約有 20%——按當前價格計算超過 $140 billion——鎖在那些主人已經丟失私鑰訪問許可權的錢包裡。Stefan Thomas 是舊金山的一名程式設計師，他存著 7,002 BTC 的 IronKey 硬碟只剩兩次猜密碼的機會。再猜錯，硬碟就會永久自我加密。這兩次機會，他已經好幾年沒敢去試了。

那就自己備份私鑰吧。你把 24 個單詞的助記詞刻在金屬上，鎖進保險箱，也許還分散存放在不同地點。你成了自己的銀行——也成了自己唯一的單點故障。一場房屋火災、一個忘掉的保險箱密碼、一張不小心上傳到 iCloud 的照片，一切就都完了。

另一條路呢？把私鑰交給託管方。交給交易所。這條路一直管用，直到 FTX 在 2022 年 11 月崩盤，一夜之間蒸發了客戶存款 $8 billion。在它之前是 Mt. Gox。還有 QuadrigaCX。這種模式反覆上演，因為底層架構註定如此：一把私鑰，一個存放地，一個出錯就全盤皆輸的點。

整整十年，你只有這兩個選項——要麼自己扛下風險，要麼把它外包給一個你不得不去信任的人。MPC 打破了這個二選一。

多方計算（MPC）是密碼學的一個分支，由斯坦福的 Andrew Yao 在 1980 年代提出。它的核心洞見是：多個參與方可以基於各自的私有輸入共同計算出一個函式的結果，而全程都不向彼此透露這些輸入。把這套思路用到錢包上，就意味著一把私鑰被拆分成加密的碎片——分片（shares）——分散在彼此獨立的裝置和伺服器上。完整的私鑰從不在任何地方被拼裝出來。不在你的手機上。不在伺服器上。不在記憶體裡。哪裡都沒有。

你可以把它想象成一個銀行金庫，需要三名管理員裡的兩名同時轉動各自的鑰匙才能開啟。只不過這裡的「鑰匙」是各自做著獨立計算的數學分片，而那扇「金庫門」則是一段有效的數字簽名——區塊連結受這段簽名，卻對背後發生過什麼異常一無所知。

這叫作門限簽名（threshold signing）。一個 2-of-3 的配置意味著存在三個分片，任意兩個就能協作授權一筆交易。一個分片在你手機上，一個在平臺伺服器上，一個在加密的離線備份裡。如果你的手機被偷，攻擊者手裡就只有一個分片——孤立來看，在數學上毫無用處。剩下的兩個分片可以生成一個替換的裝置分片，既不改變你的錢包地址，也不需要資金挪動。

整個計算在毫秒級完成。你點一下「確認」，分片們做完各自的分散式數學運算，一筆標準交易就上了鏈。沒有可見的延遲。鏈上沒有額外的簽名。也沒有任何可以把它和其他錢包區分開來的指紋。

要弄懂 MPC 改變了什麼，最簡單的辦法就是把它和傳統錢包並排放在一起看。

一個常規錢包——硬體、軟體、紙錢包，都一樣——把一把私鑰存在一個地方。這就是它全部的安全模型。如果這唯一一份副本被攻破，攻擊者就擁有了對錢包裡每一項資產完全、不可逆的控制權。如果這份副本被毀，訪問許可權也隨之消失。區塊鏈並不知道你的意圖；它只認有效的簽名。

而 MPC 錢包把這份風險分散到多個彼此獨立的系統上。一個分片被攻破？沒有其他分片它就是廢的。一個分片被毀？剩下的分片會重新生成一個替代品。錢包地址保持不變，資金從不挪動，舊分片在密碼學上被作廢。這是一種根本不同的架構——它的設計前提是個別元件終將出故障，而不是寄希望於它們永遠別出故障。

如果你用過多籤（multisig）錢包，MPC 聽起來也許有點眼熟。兩者都消除了單點故障。但它們的機制完全不同，而這些差異比你預想的更重要。

多籤工作在區塊鏈層。一個 2-of-3 的多籤錢包持有三把彼此獨立的私鑰。當你籤一筆交易時，兩位金鑰持有人各自產出一段完整的簽名，兩段簽名都會上鍊。區塊鏈驗證門限是否達到。所有人——礦工、區塊瀏覽器、任何在看的人——都能看出這是一個多籤配置。

MPC 工作在區塊鏈之下。同一把私鑰的三個分片在鏈下協作，產出一段標準簽名。區塊鏈根本不知道牽涉到了 MPC。它看到的只是一筆來自普通地址的普通交易。

這個區別帶來實實在在的後果。多籤的支援程度在各條鏈之間天差地別——Bitcoin 的實現和 Ethereum 的不一樣，Solana 又是另一套處理方式，而許多 L2（二層）的 Rollup 對它的原生支援很有限，甚至完全沒有。MPC 產出的是一段標準的 ECDSA 或 EdDSA 簽名，所以它在每條鏈上都無需任何改動就能用。Gas 成本也分道揚鑣：多籤交易攜帶多段簽名，意味著更大的呼叫資料（calldata）和在 Ethereum 上更高的手續費（有時是 2–3 倍）。而 MPC 交易在體積上和任何單私鑰交易完全一樣。

隱私是另一道鴻溝。一個多籤錢包的結構在鏈上是公開可見的，這可能給那些專門盯著高價值多籤地址下手的老練攻擊者畫了個靶子。而 MPC 錢包和普通錢包無從區分。

再說金鑰輪換。在大多數多籤配置裡，更換一個簽名方都需要部署一份新合約或遷移到一個新地址——一個會造成中斷、又燒手續費的過程。而 MPC 分片可以重新整理（refreshed）：從當前這組分片派生出新分片，舊分片作廢，整個過程既不改變錢包地址，也不觸碰區塊鏈。某個員工離職了？重新整理分片，照常運轉。無需遷移，零停機。

第一個被提起的名字是 Fireblocks。它的 MPC 基礎設施已經在 1,800 多家機構客戶之間處理了累計超過 $6 trillion 的轉帳量——這些客戶包括 BNY Mellon、BNP Paribas 這樣的銀行，還有對沖基金、支付處理商和交易所。當這些機構轉移加密資產時，授權每一筆交易的，正是 MPC 門限簽名。而不是某一個人，揣著一隻鎖在抽屜裡的硬體錢包。

在消費者這一側，Zengo 證明了 MPC 不一定讓人覺得複雜。它的移動錢包採用 2-of-2 的 MPC 方案——一個分片在裝置上，一個在 Zengo 的伺服器上——使用者從頭到尾都不會碰到助記詞。沒有 24 個單詞要抄下來。沒有硬體裝置要買。生物識別認證，一個看起來很普通的 App，外加一套靠面部對映兜底的恢復工具包。自 2019 年以來使用者超過一百萬，沒有一個帳戶被黑過或被凍結過。

機構化的趨勢相當陡峭。Fireblocks 2024 年的一項行業調查發現，67% 的機構加密公司已經採用或正在積極評估基於 MPC 的託管方案，而僅僅兩年前這一比例還只有 38%。推動這一轉變的，很大程度上是保險方的要求和受託責任——對任何在監管審視下管理別人錢的人來說，單私鑰模式根本就不是個能起步的選項。

跨鏈基礎設施也在重度依賴 MPC。像 Wormhole 這樣的跨鏈橋、像 Axelar 這樣的協議，都用受 MPC 保護的驗證者網路來授權資產在鏈與鏈之間的轉移。當數以億計的資金從 Ethereum 轉到某條 L2 時，在另一端批准鑄造的，是分散式門限簽名——而不是某一個驗證者的私鑰。

GaiaEx 從一開始就把 MPC 內建進了自己的架構，而不是在上線之後再往一套常規託管模型上去硬加。

帳戶建立會觸發金鑰生成和即時分片。一個分片落到你的裝置上；其餘分片分散到 GaiaEx 在地理上彼此隔離的基礎設施中。在任何時刻，都沒有任何單臺伺服器——也包括 GaiaEx 這家公司本身——持有足夠的分片去重建你的私鑰或挪動你的資金。這不是一項政策上的決定。這是一道數學上的約束。

在交易過程中，門限簽名計算在 200 毫秒以內完成。你確認一筆訂單或一次提現，相關的分片就協作產出一筆標準的區塊鏈交易。MPC 層是隱形的——沒有額外的確認步驟，沒有可感知的延遲，鏈上也不留下任何曾發生過分散式簽名的痕跡。

裝置丟失後的恢復，全程無需助記詞。剩下的分片透過 GaiaEx 的恢復協議核驗你的身份，生成一個全新的裝置分片，並作廢舊的那一個。你的錢包地址保持不變。資金不挪動。整個過程只要幾分鐘，而不是那種苦苦回想 24 個單詞到底抄在哪兒的、焦慮難熬的幾個小時。