一、简介

Citrea 是第一个使用零知识技术增强比特币区块空间功能的汇总。Citrea 是唯一使用比特币作为数据可用性和结算层的可扩展性解决方案，通过其基于 BitVM 的信任最小化双向挂钩程序 - Clementine。Citrea完全兼容 EVM，使所有 EVM 开发人员都可以轻松地在比特币上进行构建。

二、融资背景

融资背景

Citrea在今年获得两轮融资，种子轮于2023年2月21日完成，融资金额为$2.7M，由Galaxy领投，其他投资者包括 Delphi Ventures、Eric Wall、Anurag Arjun、BatuX、Igor Barinov 和 James Parillo 等。A轮融资于2024年10月31日完成，金额为$14M，由Founders fund领投，Maven 11，Mirana Ventures，dao5，Axiom等跟投。【1】

三、创始人团队

团队成员

Citrea核心团队由Orkun Mahir Kılıç、Esad Yusuf Atik、Murat Karademir三人组成，三人都有丰富的区块链工作经验，并且也都为开发Citrea的Chainway Labs核心成员。

四、比特币面临的窘境

1.比特币区块空间需求旺盛

由于比特币的安全性、去中心化和抗审查性，人们要求用比特币满足他们所有的链上需求。在过去的几个月里，人们对比特币生态的兴趣呈指数级增长，这反映在燃料费用上。无论是支付还是铭文交易，人们都争先恐后地为交易付费。

所以确保可持续地参与比特币网络对其长期健康和安全预算至关重要，但有一个权衡：由于高昂的费用和必要的区块大小限制，不可避免地会排除一些交易。比特币必须在不改变其核心原则的情况下进行扩展以包含更多复杂交易。 这种日益增长的兴趣凸显了现有可扩展性提案的一个重大问题：它们未能满足比特币区块空间日益增长的需求。

2.现有的可扩展性提案无法扩展比特币

Bitcoin的L2

比特币一直面临着处理更多交易和支持更多应用的挑战，同时又不损害其安全性或核心原则。事实证明，这个多方面的问题很难完全解决。一些解决方案旨在提升比特币的支付效率，例如闪电网络，而另一些尝试则专注于扩大 BTC 资产的功能，例如侧链。

在当前情况下，对比特币区块链的固有需求正在被重新定向到单独的共识协议，即侧链。这种方法会导致一种权衡——牺牲比特币的安全性并与其激励机制不一致，以换取更低的费用和更多的 BTC 使用案例。因此，由侧链主导的比特币受到扩容解决方案的困扰，这些解决方案无法以任何有意义的方式为其长期健康和激励机制服务，不会为比特币安全做出贡献，最终也无法根据需要扩容比特币区块链，使得比特币转移到侧链的需求不再是对比特币的需求。

3.执行层代替侧链

传统侧链与Citrea

Citrea 是比特币上唯一一个落地的执行层，第一个零知识证明验证，也是比特币内部第一个通用的 L2 验证。与单片侧链不同，Citrea 通过其执行分片为比特币创建了一个模块化世界，使结算和数据可用性保持在链上和比特币上。【2】

五、主要功能

Citrea 是比特币上唯一真正结算在比特币上的执行层。Citrea 上发生的每笔交易都完全由零知识证明保护，并由比特币验证。Citrea 的执行环境相对于比特币而言是无需信任的，并且可供比特币网络的所有参与者访问。因此，Citrea 确保它满足与比特币同等的数据可用性、审查阻力和重组阻力保证。

1. 比特币作为应用基石：

Citrea 的使命是在最安全和去中心化的区块链比特币之上构建一个可编程的流动性层。我们认为，必须使用比特币区块空间来高效地解决各种金融活动，例如无需信任地购买 BTC、利用 BTC 或借出 BTC。尽管大多数当前试图提供这些功能的元协议都是可信的，但效率低下。Citrea 是在比特币上构建应用程序的最高效、最安全的平台。

2. 比特币结算和信任最小化双向挂钩：

Citrea 通过 Clementine 实现了第一个信任最小化的双向挂钩机制，由 ZK 证明和 BitVM 保护。只要 BitVM 设置中的单个验证者是诚实的，Clementine 就能保持安全。这代表着对现有解决方案（例如开放和封闭联盟）的重大改进。Clementine 的设计与 Citrea 的无需信任的轻客户端相结合，最大限度地降低了 Citrea 双向挂钩的信任要求，而无需软分叉。Clementine 的核心组件包括：轻客户端证明（比特币和 Citrea）和BitVM 中的零知识证明（ZKP）验证器。核心流程如下：

• 转入挂钩和转出挂钩
  基于 BitVM 的 Clementine 仅允许 UTXO 的静态大小进行转入和转出。为简单起见，我们假设它正好是1 BTC。

• 转入挂钩

转入挂钩输出逻辑

为了进行挂钩，用户将 1 BTC 锁定到只能由以下人员使用的 UTXO 中；输出为N+1 中的 N+1 多重签名（N - 1 个验证者、桥接操作员和用户）或者用户将在200个区块后获得。锁定UTXO后，用户将交易的签名发送给验证者。

一旦比特币上的交易完成，资金就会转移到新的 N-of-N 多重签名中，用户可以通过向 Citrea 上的智能合约出示 SPV 证明来铸造其挂钩的 BTC。交易包括一个 EVM 地址，用于在 Citrea 上识别用户。

• 转出挂钩
  要发起提款，用户必须将 1 BTC 转移到 Citrea 上的智能合约，并附上一个比特币地址。该地址被记录为“提款 Merkle 树”中的新叶，然后 1 BTC 将在 Citrea 上销毁。为了便于讨论，可以假设每个比特币地址都是唯一的，但不失一般性。因此，任何向比特币网络上的给定比特币地址转移 1 BTC 都将导致有效提款。

• 连接器源 UTXO

UTXO原理

Clementine 确保，如果桥梁运营商试图索取比其涵盖的提款金额更多的 BTC，它将永远失去对桥梁资金的使用权。

连接器源 UTXO 是操作员用来从 Clementine 索取的。为了获得连接器源 UTXO 的访问权限。连接器 UTXO 树是 UTXO 树，操作员使用它来证明它可以索取其涵盖的提款的 BTC 数量。

• 双向挂钩计划

定义时间线

时间线

• 轻客户端截止点： BitVM 承诺检查提款的区块高度
• 提交期：运营商给定的时间来满足剩余的提款并记录原像
• K-deep 假设：确保最后一个比特币区块最终确定的时间段。由于验证者可以使用最新区块的 PoW 发起挑战，因此操作员不应能够使用不同的区块哈希进行私人分叉
• BitVM 挑战响应期：验证者向操作员发起挑战并进行交互式验证游戏（如果需要）的时间段。在该时间段结束时，只有两种可能的结果：a.连接器源 UTXO 可供运营商使用，从而允许运营商索取其在提款期间涵盖的 BTC 数量、b.连接器源 UTXO 与 BitVM 响应 UTXO 一起被烧毁，从而撤销了运营商对桥梁资金的访问权限

轻客户端切断每 6 个月发生一次，并且永远以相同的间隔持续下去。

逻辑

在 Clementine 中，一旦比特币上最终确定了包括提款在内的证明，运营商就负责覆盖每一笔提款。在每个周期之后，运营商都会通过揭示比特币上的 log2(n) 个原像来承诺从 Clementine 索取的过桥资金数额。该金额等于自上一个检查点以来前端覆盖的提款总额。

3. EVM 等效性：

Citrea 通过以太坊虚拟机 (EVM) 为比特币带来可编程性。Citrea 的 EVM 是零知识可证明的，并且针对比特币和 BitVM 进行了定制。此执行环境允许用户部署超出比特币脚本功能的复杂智能合约。Citrea 通过汇总数千笔交易并生成简洁的有效性证明来扩展比特币。Citrea 证明刻在比特币中，可以通过 BitVM 在比特币上进行乐观验证。该模型确保了链上数据的可用性和可验证性。【3】

• 用户存款

用户存款

当用户将 BTC 发送给桥接运营商时，挂钩过程就开始了。验证者（有权挑战桥接运营商的参与者）随后签署用户的交易。此签名提交给桥接运营商，表明验证者批准 BTC 存款。完成此验证步骤后，用户可以通过将交易的 SPV（简化支付验证）发送到 Citrea 上的智能合约来铸造 cBTC（citreaBTC），以换取发送到 BitVM 控制的存款地址的 BTC。或者，用户可以通过比特币或闪电网络的原子交换进入 Citrea，这比通过双向挂钩存款更容易、更便宜。

• 发生交易

用户交易

Citrea 的 EVM 环境可以为 BTC 提供 DeFi、私人转账或 BTC 兑换等应用。无论用户使用哪种应用，技术流程都始于用户将交易发送到完整节点。收到这些交易后，完整节点将它们发送到排序器进行软确认。任何想要访问 Citrea 交易历史记录或想要查询数据的人都可以设置 Citrea 完整节点。

序列器是一种全节点，它软确认交易并构建区块。然后，它将这些软确认（软区块）传播到每个可用的全节点。软确认的目的是为用户提供快速的交易体验。下一步涉及一种用于零知识汇总的特殊全节点。这个全节点称为证明者，在继承比特币用户交易安全性方面发挥着重要作用。

与所有全节点一样，证明器会从排序器接收软确认并保存数据。证明器的特殊之处在于，它通过汇总排序器已软确认的交易来创建批次。

然后，它会生成此批次的零知识证明，供任何人验证其有效性。证明者不仅生成证明，还会创建一个称为状态差异的数据 - 这是初始状态和最新状态之间的存储槽差异。创建状态差异是 Citrea 的比特币区块空间使用效率高的原因。由于比特币区块空间有限且昂贵，Citrea 记录状态差异而不是完整的交易数据，以最大限度地减少区块空间使用和数据成本。

• 用户提款

用户提款

要退出挂钩，用户可以向 Citrea 完整节点提交提款交易，也可以将其作为强制交易记入比特币。在这两种情况下，桥接运营商都会覆盖用户的退出挂钩，然后从 BitVM 索取其预先覆盖的提款。

Citrea 桥利用 BitVM 在比特币上结算。BitVM 是一种计算范式，可在比特币上实现图灵完备合约。只要没有人质疑，BitVM 上的计算就被认为是正确的，这使得 BitVM 成为乐观的。Citrea 使用 BitVM 来验证比特币上刻写的零知识证明。在 N 个验证者中，1 个诚实的验证者足以保护双向挂钩机制，从而使 Citrea 实现信任最小化。

或者，用户可以通过原子交换退出比特币或闪电网络，这比使用双向挂钩更容易、更便宜。

六、未来发展方向

1.多虚拟机方法

Citrea 的设计旨在与多种虚拟机兼容并可互操作。它在通用 STARK zkVM 中运行，这意味着可以实现任何虚拟机并产生执行证明。最初，Citrea 实现了 EVM，但是由于其面向未来的设计，可以实现 WASM 或 SVM 等不同的 VM。

2.意志模型

Volition 是一种特殊类型的数据可用性解决方案，它结合了链下和链上数据。简而言之，volitions 允许用户或应用程序选择在何处保存每笔交易的数据。该模型允许具有不同数据位置的应用程序在单个区块链中互操作。例如，用户可以选择链下数据可用性，费用低但安全性较低，也可以选择比特币数据可用性，费用正常但具备完整安全性。无论选择哪种数据可用性，每笔交易都会继续通过 ZK 证明得到验证。

3.去中心化序列网络

Citrea 贡献者正在探索解决方案，以在不影响延迟和最终性的情况下支持多个排序器达成共识。一种可能的方法是实现类似 PoS 的层，但仅用于排序块。对于用户来说，真相的来源永远是比特币中的零知识证明。去中心化的排序层将减少对排序器的短期信任以保护排序，因为排序将在单个时隙中在排序层上最终确定。目前有几种共识机制正在试验中，例如 CometBFT、Hotstuff 和 MonadBFT。

4.无需信任的原子交换

目前正在研究 Citrea 与比特币之间的无信任原子交换。这些交换将允许用户在不使用挂钩机制的情况下从 Citrea 进出。

5.Lightning 集成

目前正在研究 Citrea 和闪电网络之间的无信任原子交换。这可以让 Citrea 用户直接从 Citrea 网络或从 Citrea 的入口和出口支付闪电发票，而无需利用比特币基础层。

6.无需信任的结算

要实现完全无需信任的比特币结算，需要一个可以验证 ZK 证明的操作码和一个契约操作码。在当前架构中，BitVM 提供信任最小化的结算 - 这与现有不安全的侧链方案相比是一个巨大的改进。

七、结语

Citrea 协议的核心在于其针对动态数据流的独特定位，为实时数据的共享与管理提供了高效且去信任化的解决方案。它的广泛应用场景和创新型技术架构，使其成为区块链领域的重要一员，但仍需应对技术和用户普及方面的挑战以实现更广泛的应用。