闪电网络「链下即隐私」迷思：2026年学术研究揭示了什么
固有观念及其问题
「闪电网络是隐私的，因为交易是链下的。」这句话自2018年以来在几乎所有面向大众的Bitcoin推介中被重复，技术上正确，但语义上具有误导性。正确：是的，通道开启与关闭之间的支付不会触及Bitcoin区块链。误导：不，缺少链上记录并不足以构成我们通常所说的隐私。
2024-2026年的学术研究，特别是ScienceDirect的论文《Timechain-level modeling and analysis of the Bitcoin Lightning Network》、gncrypto转载的大学研究《Lightning Network economically irrational and has privacy shortcomings》以及若干相关出版物，耐心地拆解了为什么这种简单直觉站不住脚。
六类结构性泄露
1. 公开图谱
BOLT 7，gossip协议，向网络中的节点广播已公告的通道及其容量、对等节点和路由策略。这些信息在设计上就是公开的，并被商业爬虫实时索引。一个已公告的通道在拓扑意义上没有隐私。
2. BOLT 11发票
标准闪电网络发票（BOLT 11）在其冗长文本中编码了：收款人node ID、精确金额、payment hash、过期时间、描述。解码一张公开发布的发票——在电商网站、Twitter、邮件中——就已经获得了支付元数据的相当一部分。
3. 传输中的payment hashes
每个路由HTLC的中间节点都能看到payment hash和下一跳目的地。洋葱路由限制了范围，每个节点只看到从谁来和向谁去，但无法消除关联性。控制多个节点的攻击者可以通过时序分析和hash匹配重建路径。
4. 通道公告与关闭
通道的开启和关闭都是普通的链上交易。尽管近期SegWit格式（Taproot、Schnorr）使通道funding transactions与经典单签支付不可区分，使用模式仍然可被识别：时序、对称金额、共同花费。
5. 付款人/收款人启发式
ScienceDirect论文形式化了若干启发式方法，使观察者能够在不直接控制中间节点的情况下，对支付的来源和目的地提出假设。例如：如果节点A的出站容量在某秒减少N satoshis，同时节点B的入站容量增加N satoshis（扣除手续费），则A→B是合理假设。这些启发式不是证明，但对中等规模支付的准确率达到60-80%。
6. 托管服务
Wallet of Satoshi、Strike、Cash App及所有托管钱包都能看到其用户的全部支付并保留日志。这一泄露规模巨大，无法通过协议改进来堵上：暴露的是托管架构本身，而非LN。
进行中的协议改进
BOLT 12，offers
2026年初在LND v0.18和CLN上部署，BOLT 12引入了一种持久性发票格式。收款人不再为每笔支付分享唯一发票（这会泄露node ID），而是发布一个offer，一个持久引用。付款人连接到此offer后，收到一条盲化路由，在不泄露node ID的情况下抵达收款人。这是多年来最重大的结构性改进。
Blinded paths
与BOLT 12相关的机制：收款人可以发布一条blinded path，描述如何通过一系列中间节点抵达自己，而付款人看不到最终身份。付款人使用路径的盲化末端来组合路由。这样，来源和目的地都不会相互泄露完整的node ID。
Payment-point endpoint privacy
一项较新的工作（IETF / LND v0.19）探索在LN支付中使用密码学点替代payment hashes。目标是打破基于中间节点hash匹配的启发式方法。截至2026年5月仍处于实验阶段。
2026年的诚实实践
对于一个希望在2026年以合理隐私使用LN付款的用户，有效措施的叠加如下：
- 必须自建托管钱包，Phoenix、Blixt、Zeus配合自托管LND/CLN后端。不使用托管服务。
- 节点完全通过Tor运行，仅暴露一个.onion端点。
- 默认使用私有通道，不announce，除非需要公开可路由。
- BOLT 12 offers用于收款，不泄露node ID。
- 多条再平衡路径，通过swap服务和atomic swaps尽可能实现。
- 清醒接受：面对装备精良的商业攻击者（Chainalysis、Elliptic），隐私不会是绝对的；且面对国家级攻击者，它从未声称过绝对。
正确的框架
闪电网络不是Monero意义上的隐私工具。它是一种可扩展性工具，附带一个程序性隐私窗口，当运营者选择默认设置时，这个窗口就会关闭。本文说「链下即隐私」的迷思站不住脚，不是为了劝阻使用LN，而是为了校准预期。一个配置良好的LN节点在隐私方面仍然远优于银行卡、Stripe结账或中心化交易所。它只是不等同于Monero，而且在进行中的协议改进达到完全部署成熟之前，它不会等同。
