Layer 1, совместимый с EVM, где балансы, суммы и состояние контрактов могут находиться под пороговым FHE на уровне протокола: конфиденциально, когда вы этого хотите, и проверяемо кем угодно, плюс ZK-пул, спроектированный для v2.
Приватность в Celar — не дополнительный контракт, а плоскость данных самого протокола. Каждый уровень описан относительно явно заданных классов противника, и вместо прилагательных публикуется матрица утечек.
Суммы, балансы и значения в контрактах — это шифротексты TFHE, вычисляемые в сети через программируемый бутстрэппинг. ConfidentialERC20 доступен сразу.
Стелс-адреса с двумя ключами (по схеме ERC-5564) дают каждому платежу новый одноразовый адрес; релееры с залогом скрывают отправителей.
Экранированный пул на Groth16 поверх BLS12-381: приватность отправителя, получателя и суммы сохраняется даже при полном сговоре всех валидаторов.
Стандартная семантика EVM, инструментарий Solidity, модель адресов и JSON-RPC. Конфиденциальные возможности появляются только через прекомпилы — существующие контракты, кошельки и инструменты работают без изменений.
euint8…euint64 и ebool через стандартную библиотеку TFHE.sol; в хранилище лежат хендлы, а шифротексты — в плоскости данных FHE.import {TFHE, euint64, ebool} from "celar/TFHE.sol"; contract ConfidentialVault { mapping(address => euint64) private bal; function transfer(address to, euint64 amt) external { ebool ok = TFHE.and( TFHE.le(amt, bal[msg.sender]), // funds check TFHE.le(amt, TFHE.sub(MAX, bal[to])) // overflow guard ); euint64 m = TFHE.select(ok, amt, ZERO); bal[msg.sender] = TFHE.sub(bal[msg.sender], m); bal[to] = TFHE.add(bal[to], m); // no revert, no branch, no leakage — // outcome visible only to the owner via re-encryption } }
Любой конфиденциальный перевод корректен с точки зрения консенсуса независимо от того, прошёл он или нет. Единый уровень газа, отсутствие отката, одинаковые события — внешний наблюдатель не узнаёт из результата ничего.
Зашифрованное сравнение: хватает ли средств у отправителя? Ответ остаётся зашифрованным.
Вторая зашифрованная проверка защищает баланс получателя; ok = ok₁ ∧ ok₂.
Переносится либо сама сумма, либо зашифрованный ноль. Ни одна ветвь никогда не выполняется.
Балансы обновляются одинаково в обоих случаях. Результат узнаёт только отправитель — через повторное шифрование на себя.
The TFHE secret key exists only as shares across the committee; no single seat holds it. Decryption and re-encryption require a threshold quorum of seats to cooperate. The committee configuration is 50 seats, threshold 12 — run and verified end-to-end in a test ceremony, and not yet securing value. Up to 12 seats learn nothing; 13 colluding seats could reconstruct the key, and we publish that rather than hide it. Larger committees are not reachable on this engine, and no work is scoped to reach them. Whitepaper §7.1 states the configuration and its limits.
Устойчивая распределённая генерация ключа с публикуемыми протоколами и разрешением жалоб в сети даёт линейные доли, а также CRS для доказательств входных данных. Недобросовестные участники исключаются до генезиса.
Разрешённое раскрытие объединяет t частичных расшифровок, каждая из которых зашумлена калиброванным шумом, поэтому повторные расшифровки остаются безопасными даже для шифротекстов, на которые повлиял противник (IND-CPA-D), при заданных на эпоху бюджетах запросов.
Proactive refresh is implemented and validated: the committee re-randomizes every share without changing the key. Once attested erasure of superseded shares is built, refresh will also limit how long an attacker has to assemble a quorum. Seat rotation on staggered terms is designed but deferred.
Каждая частичная расшифровка — это подписанное самодостаточное доказательство нарушения; за несанкционированное обслуживание следует серьёзный слэшинг. Аварийное восстановление — закрытый кворум, способный только переразделить доли, за условием активации в сети с временной блокировкой: публично по построению, никогда не скрытно.
Большинство приватных блокчейнов продают прилагательные. Celar публикует сводную матрицу утечек по именованным классам противника — включая то, что версия v1 явно не ставит своей целью.
| Элемент данных | Публичный уровень | Уровень FHE (v1) | ZK-пул (v2) |
|---|---|---|---|
| Сумма | Видна | Скрыта* | Скрыт |
| Балансы / состояние | Видна | Скрыта* | Неприменимо — используются ноты |
| Личность отправителя | Видна | Скрыта релеером | Скрыт |
| Личность получателя | Видна | Одноразовый стелс-адрес | Скрыт |
| Успех / неудача перевода | Видна | Скрыт — без ветвлений | Содержимое скрыто |
| Адрес вызываемого контракта | Видна | Виден — в дорожной карте v1.x | Неприменимо — прекомпил пула |
Постквантовая конфиденциальность, классические анонимность и аутентификация. Конфиденциальность Celar опирается на сложность решёточных задач, а не на эллиптические кривые. Суммы, балансы и состояние контрактов, записанные сегодня, останутся конфиденциальными даже перед противником, который сохранит их до появления криптографически значимого квантового компьютера. Уровни анонимности и аутентификации у нас классические — и мы прямо об этом говорим.
| Уровень | Примитив | Постквантовая стойкость |
|---|---|---|
| Суммы, балансы, состояние контрактов | TFHE / CGGI (LWE / RLWE) | Стойко — уже на решётках |
| Пороговая расшифровка и повторное шифрование | Пороговая схема на основе LWE | Стойко |
| KMS mesh transport (DKG, reshare) | TLS 1.3, X25519MLKEM768 | Secure — PQ-hybrid |
| Доказательства входных данных | (R)LWE ZKPoK | Стойко |
| Хеширование | Poseidon2, Keccak-256 | Стойко — двукратный запас |
| Идентификация и подписи | secp256k1 ECDSA | Уязвимо для алгоритма Шора → переход на ML-DSA |
| Стелс-адреса | secp256k1 ECDH | Уязвимо для алгоритма Шора → решёточный KEM |
| Цель повторного шифрования | X25519 | Уязвимо для алгоритма Шора → постквантовый KEM |
| Доказательства экранированного пула | Groth16 / BLS12-381 | Уязвимо для алгоритма Шора → STARK / решёточный SNARK |
Миграция уровней идентификации, подписей и ZK — запланированная ветка с хардфорком, зависящая от зрелости стандартов NIST PQC, и она не входит в объём запуска. Криптографическая гибкость заложена там, где это важно: версионируемая оболочка доказательства допускает постквантовую систему доказательств без смены кривой, а ABI прекомпилов на основе хендлов не зависит от конкретной схемы. Полный анализ по уровням →
Эмиссия, стейкинг и гарантия приватности связаны опубликованным правилом здоровья: стоимость компрометации кворума расшифровки должна оставаться не менее чем вдвое выше стоимости, защищённой в сети, — пересчитывается непрерывно и закреплена конституционно.
Безопасность BFT при f < n/3 с мгновенной финальностью; инвариант эмиссии машинно проверяется в каждом блоке.
Суммы, балансы и состояние контрактов остаются скрытыми от любой коалиции, не достигшей кворума расшифровки.
Стелс-адреса и передача через релеера оставляют наблюдателю только релеера, одноразовый адрес, уровень и время.
Анонимность экранированного пула сохраняется даже при сговоре всех валидаторов — за счёт криптографии, а не доверия комитету.
Общая эмиссия всегда публично проверяема: зашифрованное состояние не может ни создать токены, ни скрыть инфляцию.
Каждая расшифровка требует авторизации владельца или контракта; частичные расшифровки по замыслу подписываемы и атрибутируемы, поэтому нарушения можно доказать и наказать, а единственный путь восстановления публичен по построению.
Узнайте, как это работает — сначала простым языком, затем точным.