比特币白皮书解读：中本聪在2008年用九页纸描述了什么

Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

比特币白皮书：18年后的核心解析

《比特币白皮书》是一份题为《比特币：一种点对点的电子现金系统》的九页文档，由署名为“中本聪”（Satoshi Nakamoto）的个人或团体于2008年10月31日发布。在短短十二个章节中，它描述了在没有银行参与的情况下，数字货币如何运作：一个由计算机组成的开放网络将所有支付按固定顺序排列，而计算工作确保了事后无人能够篡改这一顺序。如今你购买、持有或发送的每一枚比特币，其根基依然深植于这九页纸之中。

2026年10月31日，这份白皮书迎来了18周年。今天持有比特币的人，本质上拥有的是中本聪当年勾勒出的概念：公共账簿中的一条记录，只有持有匹配私钥的人才能花费它。本文将逐节解读白皮书，用通俗的语言解释技术术语，并展示哪些内容在2026年依然完全适用，哪些是后来才添加的。

什么是比特币白皮书？2008年10月31日的九页纸

白皮书是一种技术立场文件，旨在产品尚未完成时阐述一个想法。中本聪在密码学邮件列表（Cryptography mailing list，面向密码学家、计算机科学家和隐私倡导者的分发列表）上发布了一则简短帖子，宣布了比特币白皮书。消息的第一句话写道：“我一直在研究一种新的电子现金系统，它是完全点对点的，没有受信任的第三方。”

点对点意味着参与者直接相互连接，没有中央服务器控制网络。该文件当时托管在 bitcoin.org 上，如今亦然。文档共九页，结构包括摘要、十二个编号章节和八个参考文献来源。文中提供的唯一联系方式是一个免费网络邮件提供商的邮箱地址。至于“中本聪”背后的真实身份，至今仍未确定；我们在另一篇文章中收集了关于寻找中本聪的已知理论和嫌疑人名单。

发布时间并非日历上的偶然：它正值金融危机期间。几周前，美国投行雷曼兄弟破产，世界各国政府正在救助其银行。白皮书本身并未提及这场危机。它的批评冷静地指向了一个依赖对中介信任的支付系统。

白皮书结构一览

第1节，引言：互联网上基于信任的支付问题
第2至4节：交易、时间戳服务器和工作量证明
第5和6节：网络的运作方式及参与者参与的动机
第7至9节：回收磁盘空间、简化支付验证、价值的合并与拆分
第10和11节：隐私性及攻击的概率计算
第12节：结论

双重支付问题：白皮书旨在填补的空白

双重支付问题是指如何防止某人将同一枚数字硬币花费两次的疑问。对于现金而言，这个问题不存在：谁交出了纸币，谁就不再拥有它。相比之下，文件可以随意复制。直到2008年，这个问题是通过中央权威机构（通常是银行或支付服务）来解决的，它们维护一本账簿并核对每笔支付。

正是这个中央权威机构是中本聪想要使其变得多余的。在引言中，白皮书描述了旧模式的成本：支付可以被撤销，因此商家必须警惕客户，并要求提供比必要更多的信息；一定比例的欺诈被视为不可避免；而且由于费用高昂，小额支付几乎毫无意义。所需的是一个基于密码学证明而非信任的电子支付系统。双方应能直接进行交易，无需第三方批准。

理解这一点至关重要：中本聪并非第一个提出此想法的人。参考文献列表中首先提到了Wei Dai于1998年提出的b-money，以及Adam Back于2002年设计的Hashcash（最初旨在遏制垃圾邮件的方法）。新颖之处在于这种组合：一个没有中心的网络，利用计算工作自行就共享账簿达成一致。

交易与数字签名：硬币如何易手

第2节将电子硬币定义为一串数字签名链。数字签名是数学证明，表明消息来自特定私钥的持有者，而不泄露该密钥。任何传递比特币的人都会对前一交易的哈希值与接收方的公钥进行签名。通过这种方式，任何人都可以将硬币的历史追溯回其起源。

哈希是一种数字指纹：数学函数将任何数据转换为固定长度的短字符串。如果数据的任何一个字符发生变化，整个指纹都会改变。无法从指纹中推导出原始数据。

然而，仅凭签名并不能解决问题。接收方可以看到硬币曾属于谁，但无法看到前任所有者是否已经将其给了别人。白皮书由此得出决定性结论：所有交易必须公开宣布，参与者需要一个系统来就单一有效顺序达成一致。首先确认的交易始终有效，任何随后的同一硬币的花费均无效。

对于投资者来说，本节包含关于所有权最重要的句子：比特币属于控制私钥的人。公钥和私钥如何协同工作，详见我们的私钥与公钥指南。

时间戳服务器与工作量证明：为何计算工作能确保顺序

第3节描述了一种时间戳服务器。它对一批数据（即一个区块）的哈希进行处理并发布该哈希。这证明了数据在那一点时间已经存在。每个新时间戳都包含前一个时间戳，因此每一个后续的区块都加强了之前的区块。这种从区块到区块的链接就是现在所称的区块链。

为了使这些时间戳不由中央服务器发布，第4节通过工作量证明分布了这一任务。工作量证明是一种方法，计算机必须进行多次尝试才能找到具有特定属性的哈希，而检查结果只需一步计算。白皮书以SHA-256哈希函数为例：所求哈希必须以一定数量的零位开头。为了找到它，计算机会更改区块中的一个数字，即所谓的随机数（nonce），直到结果符合为止。

任何想要更改旧区块的人都必须为该区块及其后附加的所有区块重新进行这项工作，然后超过诚实的参与者。白皮书将核心理念表述为“一CPU一票”，即每个处理器一票，而不是每个IP地址一票，因为IP地址可以廉价大量获取。有效的账本是最长的那一个，即投入最多计算工作的那个。

难度调整早在2008年的文本中就已有规定

一个常被忽视的细节是：白皮书已经规定了工作量证明的难度进行调整。它基于针对每小时固定数量区块的移动平均线。如果区块发现得太快，难度就会上升。这一机制解释了为什么尽管挖矿硬件越来越快，比特币平均仍保持在大约每十分钟一个区块。

网络与挖矿激励：新比特币如何进入流通

第5节描述了网络的六个运行步骤。新交易广播给所有节点。每个节点将它们收集到一个区块中，并努力为其寻找工作量证明。找到它的人广播该区块。其他节点仅在区块内所有交易有效且未被花费时才接受它，并通过致力于下一个区块来表达接受。节点是运行比特币软件、检查规则并中继数据的计算机。

如果两个节点同时找到一个区块，会短暂出现两条分支。白皮书务实解决冲突：继续在被接收到的第一条分支上工作，并将另一条保留备用。一旦其中一条分支变长，所有人都切换到该分支。

为什么有人要投入计算能力和电力？答案在第6节的激励部分。每个区块中的第一笔交易创建了一个新硬币，归区块创建者所有。中本聪将其比作消耗资源以增加流通黄金的金矿工人；对于比特币来说，这是CPU时间和电力。此外还有交易费：如果交易的输出价值小于输入价值，差额归矿工所有。一旦“预定数量”的硬币进入流通，激励将完全由费用构成。

关于诚实性的论点引人注目。拥有比其他所有人更多计算能力的攻击者必须权衡是利用它来欺骗人们还是生成新硬币。他应该发现遵守规则比破坏系统和随之而来的自身财富价值更有利可图。这一想法催生了矿业，如今运营着充满专用机器的大型数据中心。如果你想在不挖矿的情况下加入网络，你可以运行自己的节点；这在电力方面的成本详见我们的运行比特币节点指南。

Merkle树与SPV：比特币原计划如何处理每区块80字节

第7节处理磁盘空间问题。为了防止数据量无限增长，区块中的交易被打包在Merkle树中。Merkle树是一种哈希结构，其中成对的值组合成一个新的值，直到最后只剩下一个根哈希。只有这个根哈希位于区块头中。因此，旧的、已长期花费的交易可以被修剪，而不会使区块失效。

白皮书中的计算是文本中最精彩的段落之一。不含交易的区块头约为80字节。每十分钟一个区块，那就是80字节乘以6乘以24乘以365，即每年4.2兆字节。中本聪指出，2008年的计算机通常配备2千兆字节RAM，并且摩尔定律预测每年增长1.2千兆字节。因此，即使必须将所有区块头保存在内存中，存储也不会成为问题。对于区块头而言，这在今天仍然成立。然而，包含所有交易的完整区块链已经增长了数倍，因为在实践中很少使用修剪旧数据的功能。

简化支付验证：移动钱包的前身

第8节描述了简化支付验证，简称SPV。任何人只想验证支付并不需要完整节点。最长链的区块头和将交易链接到其区块的Merkle分支就足够了。用户不再亲自检查交易，而是可以看到网络已接受它，并且有进一步的区块在其之上构建。

中本聪公开指出了这种方法的一个弱点：只要攻击者压倒网络，这种方法就可以被欺骗。因此，频繁接收付款的企业可能希望运行自己的节点。智能手机上的许多轻量级钱包应用程序都基于这一原理。今天选择钱包也意味着决定你自己进行多少验证，以及留下多少给服务器。

2008年的计算机通常有2千兆字节RAM，中本聪计算出这足以容纳所有区块头。

拆分金额与隐私：伪匿名密钥而非银行保密

第9节解决了一个实际问题：如果你拥有一枚价值0.5比特币的硬币，如何支付0.3比特币？因此，交易有多个输入和输出。通常要么有一个来自较大先前交易的单个输入，要么结合几个较小的输入，并且最多有两个输出：一个用于支付，另一个用于找零，返回给发送者。今天这被称为UTXO模型（未花费的交易输出）。

第10节涵盖隐私。在银行模式中，隐私得以保留，因为只有涉及的各方和银行能看到数据。比特币使所有交易公开，因此必须以不同方式创建保护：公钥是匿名的。每个人都可以看到有人在向另一个人发送金额，但不知道各方是谁。中本聪将其比作证券交易所，后者公布每笔交易的时间和规模，但不公布各方的姓名。

作为额外的防火墙，白皮书建议为每笔交易使用新的密钥对。但它承认，具有多个输入的交易会揭示这些输入属于同一个所有者。如果一个密钥的所有者被发现，进一步的交易可以与他们联系起来。这是2026年的日常现实：任何在受监管交易所购买比特币并进行身份验证的人，都会被联系到他们的地址，供交易所和当局使用。因此，伪匿名并不意味着匿名。

第11节的概率计算：攻击变得多么不可能

白皮书在数学上最具挑战性的部分是第11节。它模拟了攻击者如何试图比诚实的参与者更快地构建区块链的替代版本。即使攻击成功，也不允许任意更改：攻击者既不能凭空创造价值，也不能拿走从未属于他的钱。他只能试图收回他自己最近做出的付款。

中本聪将这种竞争描述为所谓的赌徒破产问题，即玩家弥补赤字的可能性。如果攻击者落后且计算能力少于诚实节点，他的机会随着每个额外区块的增加呈指数级下降。白皮书包含一段C语言编程的简短计算和一个结果表。

白皮书中的表格：确认次数与哈希率份额

该表显示了接收方必须等待多少个区块，以使攻击者成功的几率降至0.1%以下。值q代表攻击者在网络计算能力中的份额，z代表自付款以来添加的区块数量。

攻击者的计算能力份额 (q) 成功率低于0.1%所需的区块数 (z) 10% 5 15% 8 20% 11 25% 15 30% 24 35% 41 40% 89 45% 340 这解释了你在交易所知道的做法：比特币存款只有在经过几次确认后才会记入账户。根据白皮书，拥有10%的计算能力份额，攻击者在五个区块之后也只有略高于0.09%的机会。但该表也显示了模型的局限性：随着攻击者接近一半的计算能力，所需的确认数量急剧上升。超过一半，即所谓的51%攻击，计算不再适用。

比特币白皮书中没有的内容：2100万上限、减半和“区块链”一词

现在被认为是比特币核心的许多功能在白皮书中都找不到。“区块链”这个词没有出现在文本中。相反，中本聪描述了由其哈希链接在一起的区块，并声明此类区块的最长序列是有效版本。这个复合词后来才流行起来。

2100万比特币的上限也不存在。白皮书只提到“预定数量”的硬币。中本聪在2009年1月8日在同一邮件列表上宣布第一个软件版本时给出了具体数字：总流通量为21,000,000枚硬币，每块的金额每四年减半。这种减半被称为减半。自2024年4月最近一次减半以来，矿工每块获得3.125比特币；我们的减半倒计时显示下一次何时到期。

后来的扩展如隔离见证（Segregated Witness）、Taproot或用于快速小额支付的闪电网络也不在文本中。这些扩展建立在2008年的规则之上，但没有改变基本理念。如果你想了解是什么使比特币成为今天的投资，关于我们比特币概述涵盖了供应、挖矿和保管的数字情况。

从白皮书到网络：2009年1月的创世块和首批软件

从论文到运行系统过去了两个多月。2009年1月3日，创建了创世块，即比特币区块链的第一个区块。它包含当天英国《泰晤士报》的一条头条新闻：“财政大臣站在银行第二轮救助的边缘”。该行被视为证明该区块是在此日期之前未创建的，并常被视为对银行危机的评论。由于代码中的一个怪癖，这个第一个区块的50比特币无法花费。

2009年1月8日，中本聪在邮件列表上宣布了比特币v0.1，这是Windows的第一个软件版本。同一消息指出，该软件目前仅在Windows上运行，并包含了C++源代码。因此比特币是开源的，任何人都可以在程序中检查白皮书中的规则。从此网络开始运行，并一直按照那九页纸上设定的基本规则一个接一个地产生区块。