【万字长文】货币价值模型：黄金、法定货币与比特币

投资者大多认为比特币是一种货币，一种优于美元和黄金的超级货币，支撑他们这种认知的逻辑是什么？是集体狂热的迷信还是有现实基础相信？

为了回答这个问题，在研究过程中我大概问了自己以下问题：

我最终得到了答案，即比特币较为完美地符合货币的价值模型，解决了其他类型货币无法解决或者货币发行者不想让你解决的问题。

当今社会，我们可以通过工作赚货币（也就是钱）然后用货币买到所需的物品，比如三块钱买到一瓶可乐，这个过程本质上是你用三块钱与卖家交换了一瓶可乐。那在货币还没有产生的社会呢？我们该如何通过交换得到自己需要的物品。

答案是以物易物

一起做个思想实验吧，原始社会里有个农民叫做小 A，今年他的土豆大丰收，快到冬天了，想用一些土豆与猎人小 E 交换一件兽皮过冬，但不巧的是小 E 讨厌吃土豆，他需要的是一把可以劈柴的斧子。小 A 是个脑筋灵活的原始人，他从各方打听到小 B 想用番茄换土豆，小 C 想用锄头换番茄，而小 D 正好想用斧子换锄头。于是，小 A 先与小 B 交易换来了番茄，然后拿着换来的番茄与小 C 交易换来了锄头，再然后用锄头与小 D 换来了斧子，最后又用斧子与小 E 交易换来了梦寐以求的兽皮，整个过程如下图所示。

为了换到兽皮，小 A 可能跑了很远的路去寻找小 B、小 C 和小 D，在途中还遇到了些危险，最终通过 4 次交换才得到兽皮，这个过程深刻的体现了两个字：低效。这种低效体现在三个方面：

人类史是一部通过科学进步、工程创新和制度优化等手段让生活变得更高效的发展史，只要有需求迟早会有人想出办法将低效变为高效。

分析问题可以发现，导致抵消的首要的原因是交易双方的需求不一致——小 E 想要斧子，而小 A 只有土豆，即小 A 没有小 E 想要的东西。

那如果小 A 有小 E 想要的东西，而且这种东西是小 A 所在地区所有人都想要、都喜欢、都有需求呢？ 那小 A 不仅可以直接与小 E 直接交换东西，而且可以与这个地区所有人交换任何他想要的东西。

假设这种人人都想要的东西叫做 M。如果小 A 没有 M，他可以与需要土豆且有 M 的人交换得到 M，然后拿着 M 与小 E 交换得到兽皮，此时小 A 总共经过两次交换得到了兽皮；如果小 A 一开始就有 M，那他可以直接用 M 与小 E 交换得到兽皮，此时小 A 只经过了一次交换就得到了兽皮。而 M 就起着交易中介或者交易媒介的作用 (Medium of Exchange)。

因为 M 这种交易媒介的出现，四次交换减少为两次甚至一次，随着人类需求的多样性增加，使用 M 作为交易的媒介会显得越来越高效。

此时的 M 就是货币 (Money)。

PS：由于货币出现在有文字记载的历史之前，因此任何关于货币起源的理论都是假说。除了认为货币的出现是为了解决以物易物的低效，也有人认为是货币是为了方便计算别人欠了自己多少钱即量化债务，以及是政府为了控制经济活动而创造的。

你需要货币，你也想要货币，货币是人人想要的东西。货币最开始是实实在在、看得见摸得着的物品，所以被叫做商品货币(Commodity Money)。历史上很多物品在不同的国家和地区充当过商品货币，比如石头、串珠、盐、铜、珊瑚、黄金、白银等。

为什么上述物品成为了货币，而其他物品没有？换句话说，这些物品具备什么样的优质属性使其成为货币？

我们试着推演一下：

以上就是商品货币应具备的七大属性：实用性、可分割性、易携带、防伪性、可替代性、耐用性和稀缺性

现以黄金为例，说明这些属性对货币价值的重要性。

黄金非常耐用，有真金不怕火炼一说，它不会腐烂生锈，埋在土里千年也能金光闪闪。黄金非常稀缺，形成于超新星爆发。超新星爆发产生巨大能量，使铁原子核发生核聚变，形成金元素，所以地球上的金元素不仅稀缺，而且地球形成早期的产物，是太阳形成阶段的馈赠。黄金每年大概新增 3000 吨，增发率约为1.5%。

source：616c92ea37a2ff12923190c8_NYDIG-Power-of-Bitcoins-Network-Effect.pdf

黄金的防伪性好，伪造的黄金可以从颜色、重量和硬度三方面鉴别，真黄金颜色七青八黄五赤、密度大、质地软，所以古人常常判断黄金真假时会用牙咬，如果能咬出痕迹，则说明是真的。黄金也是同质化的，比如只要是 10g 纯黄金，无论它们是以硬币、金条或是元宝形式存在，都有相同的价值。黄金也具备很强的实用性，可用于装饰和工业，比如制作黄金首饰和智能手机等。

不过，黄金的价值很高，相对的使其可分割性变差，一小点黄金的价值都很高，不利于小额交易，为了弥补这个缺陷，人们使用可分割性更好的白银作为日常交易的媒介，形成了金银双本位制。黄金也不便于携带，所以古代常有专门的安保机构——镖局负责押送黄金。

对于货币，稀缺性指的不是单纯的稀缺，是在另外六大属性没有明显短板情况下的稀缺。一旦某种商品具备了可分割、易携带、耐用、同质化、防伪和实用这些属性，那它将长期拥有这些属性，因为这些都是商品自带的本质属性。但稀缺性除外，它受到很多外来因素的影响，难以长期保持。如果把货币的七大属性比作组成木桶的木板，那稀缺就是最短和最容易断裂的那块板。

盐曾在我国云南作为货币（盐币），盐是日常生活的必需品，人人都有需求，可分割性好、易防伪、且同质化，但是盐会易受潮不耐用。最关键的是，云南多山地，盐的产量少，是稀缺品，因此盐有资格作为货币，后来随着社会发展，交通便利，云南的盐供应逐渐充足，盐不再稀缺，也就失去了作为货币的资格。

黄金虽然分割性差和不便于运输，但黄金一直很稀缺，从上面的例子可以初步看出：要成为货币，只要只要能保证稀缺，其他属性差一点也没关系，总会有其他办法来弥补这些缺陷。比如为了解决黄金作为商品货币的缺陷，起初用可分割性较好的白银作为补充，后来进一步使用代用货币 (Representative money)解决问题——金融机构发行的一种面值与黄金挂钩的纸币，比如布雷顿森林体系崩溃前的美元。

所以，稀缺决定了商品货币的价值。价值体现在你工作换来的货币的购买力，无论是现在还是未来，都不会损失太多甚至还可能升值。

稀缺性决定了货币的价值，那今日之稀缺明日依旧稀缺吗？商品货币的稀缺性如何维持？芒格曾说，反着想，一切都反着想，如果知道自己将死在哪里，就不去那里。这种思维模型也可以用在此处：不想如何维持商品货币的稀缺性，想如何才能维持不住稀缺性。

南太平洋里有座叫 Yap 的小岛，岛上的土著使用巨大的石头作为货币，这些石币做“Rai Stone”，形状为圆盘，中间有一孔，像中国古代的铜钱。石币直径从几英寸到十几英尺（几厘米~几米），大多数直径为半米以上，重数百磅，最大的可达几千磅。

图源：Rai of Yap - the stone money | Wondermondo

因稀缺而成为货币。石币材质为石灰岩，是 Yap 岛周围稀缺品。为了得到这种石头，岛民要乘船250 英里（402 km）去一个叫做 Palau 的小岛上开采，并用狭小的木船运送回来，运输时会造成一定的人员死伤。通过这种方式开采出的石头注定付出了极高成本，非常稀缺。此外，Rai Stone 在阳光下闪闪发光，可长时间保存，具备良好的耐用性。

但是，石币很重，抗着石头去换其他商品很不方便，此时石币看上去不太适合承担货币的功能—— 交易媒介。但由于 Yap 岛面积小，人口少，岛民 A 购买岛民 B 提供的商品时实际上并不会携带石币，而是直接向整个岛上的人（即向社区）宣布，他把 Rai Stone 转移给 B 以换取商品，通过口口相传的方式确定了石头的归属，于是石币具备了交易媒介的功能。

因科技而崩溃。1800 年代，爱尔兰人 David O’Keefe 来到小岛，他明白了 Yap 岛上的货币系统，利用更先进的航海技术，轻易的将石头从 Palau 运输到 Yap 岛，并做成石币。他相当于成了小岛上的中央银行，掌握了发行货币的权力，成了岛上最富有的人，岛民为他工作，他用廉价的石币从岛民说中购买更值钱的商品。

David 增大了岛上货币的供应，使岛上的货币不再稀缺，随着时间的推移，通货膨胀产生，岛民手中的石币购买力降低，以石币为基础的货币系统也开始崩溃，这是先进科技发起的降维打击。

科技进步是货币稀缺性最大的敌人，因为先进的科技可以在短时间内创造出更多的可以充当货币的商品，无论是盐币还是石币，都因科技进步而失去稀缺性，进而失去了充当货币的资格。

为缓解石币的贬值，岛民采取了一些方法人为制造稀缺性，他们规定年代越久远的石头和运输过程中丧失生命数量越多的石币越有价值。因为年代久远的石币是几十年前和上百年前岛民手工开采的，与机器开采的石币外观上会有一些区别。但这种规定会减少市场中石币的流通量，造成通货紧缩，还会影响石币的同质化属性。

黄金能够长期充当货币，是因为现有的技术无法开采出更多的黄金，保证了黄金供应量的增长很少，不会使黄金失去稀缺性。黄金是太阳形成时的馈赠，储量有限，当开采技术落后时，人们只能获取开采难度低的黄金。当开采几乎进步时，由于易开采区域的黄金已被开发殆尽，人们只能去难度高的区域开采黄金。无形之中产生了天然的开采难度调解机制。

另外，虽然黄金可以通过核聚变和粒子对撞合成，但成本远高于直接开采，因此以当前的科技水平和可预见的未来，人类无法以何理的成本合成黄金，所以黄金将持续保持稀缺性。

黄金和白银很稀缺，稀有金属铱、铋、铑和镓也很稀缺，它们各自的稀缺性如何量化，如何比较？

首先，对于货币，要求稀缺但也不能太稀缺。比如金属镓 2020 年的新增产量为 300吨，但却被工业领域消耗了，比如制造氮化镓用于半导体。供应量少，但消耗量多，导致没有多余的库存量作为货币在市场上流通。

黄金每年虽然新增产量只有 3000 余吨，但是被工业领域消耗掉的少，因此有大量的黄金保存在各地，比如银行的金库、房屋装修和个人的首饰。这些留存于市场上的黄金可以承担货币作为交易媒介的任务。

从镓和黄金的例子，可以发现两个关键参数：新增量 和库存量。对于某种商品能否充当货币，稀缺性可以用库存量除以新增量表示，其结果叫做库存流量比(Stock-to-flow raito)。库存流量比越大，说明每年新增量占总库存量的比例越低，即说明该商品稀缺。

黄金每年新增产量占库存量的比例为 1.5%，所以库存流量比为 100/1.5=67，比特币目前为 56，到了 2025 会增加到 100 以上，成为比黄金更稀缺的商品。

图源：Daily Stock-to-Flow charts – Daily updated charts of Bitcoin's stock-to-flow vs price

某些商品在历史上曾充当货币，因为它们具备七大属性，虽然这些属性的优秀程度可能不同，某种商品的某项属性可能会好于另外一种商品，比如盐的可分割性强于黄金。但这些商品都有一个共同点：在特定时间和特定区域，它们是稀缺的。

具备七大属性后，它们才可以实现货币必备的三大功能：

具备这三项功能的商品即成为货币，成为货币后就具备了货币的。

商品是否可以长期保持七大属性，是人们是否愿意用该商品作为货币的关键。换句话说，人们愿意使用某种商品作为货币，是因为相信它未来依旧可以保持优良的属性尤其是稀缺性。比如人们信任黄金，这种信任来自于一个事实：黄金具备货币的其他属性，其中稀缺性体现为总量有限、无法大量开采且无法以合理的成本人工合成，有很高的库存流量比。

至于这种商品是什么不重要，只要它在七大属性中有几项足够优秀（一定要有稀缺性），且能长期保持这些属性，那它就具备了成为货币的条件。

对上面的内容进行抽象，可以建立商品货币的价值模型，该模型分为四层：

其中，信任层是某种商品能够终成为货币的价值源泉，是万丈高楼的地基，属性层中各属性的得分高低是决定一种商品货币优于另外一种商品货币的依据，属性越好，越能更好地实现货币的功能。

以黄金为例，它与其他货币最大的不同在于稀缺性，可以长期保持稀缺性的原因为：现有科技无法大量开采黄金和现有科技无法低成本合成黄金。换句话说，对黄金的信念来自于对科学的信念。如果人类掌握了更先进的开采技术、更低成本合成技术或者掌握了星际远航能力可以从其他星球运回黄金，那么黄金的价值会像 Yap 岛上的石币一样飞速贬值，因为不再稀缺。

当前生活中使用的货币，无论是美元、欧元、日元还是人民币，与黄金这种商品货币有巨大的不同，它们解决了黄金作为货币存在的问题：不便于运输且分割性差。

既然建立了货币的价值模型，那我们就依据该模型创建一种新的货币，解决黄金作为货币存在的问题——不便于运输且分割性差。

以及思考一个思想实验，假设我们生活在一个叫做蔡国的国家，人们使用黄金作为货币，但是黄金可分割性较差且运输不方便，充当交易媒介还有些许欠缺。于是，我成立了当铺，广泛分布于全国各地，你只需把黄金抵押给我，我发放等额的纸质票据给你。

由于人们在任何时候任何地方拿手中的票据都可以从我的当铺赎回等额的黄金，当铺在人们心中积累了深厚的信誉，在社会上产生很大的影响力，所以人们默认将当铺发放的票据看作与黄金等价。

票据的面值不仅可以是任何金额，票据本身票据也比沉甸甸的黄金实物更易携带和运输，我一举解决了黄金可分割性差的问题。鉴于此，人们开始使用票据购买商品和服务，比如买食物、买房、支付工资等等，也开始从存储黄金变为存我的发行的票据，因为他们相信这些票据赎回黄金。

通过这种方式，票据实现了交易媒介、价值存储和计价单位的功能，于是一种新的货币种类形成了。这种货币的价值由黄金背书，代表了黄金这种更底层的货币，所以又被叫做代用货币（Representative Money）。

人们愿意接受代用货币的原因，是人们相信它具备购买力，相信从代用货币发行方可兑换回足额的黄金。换句话说，代用货币的价值取决于发行货币方的可信度。

代用货币发行方是否可信？会不会在用户共抵押了 1 kg 黄金时发行价值 2 kg 黄金的票据呢，多的 1 kg 悄悄花掉，通过超发货币稀释他人的购买力呢？或者发行方会不会挪用金库里的黄金？

所以对代用货币的信任包含两个层次：

代用货币曾在历史上广泛使用，比如美国的金券和中国的银票。

我们继续这个思想实验。

由于我创造的伟大商业成就，大大提高了全社会商品和服务的交易效率，在成了人们心中管理国家最合适的人选，于是我从商界步入政坛，成为蔡国的总统。

不过眼下我面临一个大问题。在成为总统前，蔡国刚与世界其他国家进行了持续 6 年的战争，当铺里的黄金几乎都被前政府用于购买武器和弹药，现在战争结束，人民开始纷纷的要求赎回自己的黄金，当铺面临大规模挤兑。

我想到了一个解决办法：依靠政府的权力，再发明一种新的货币完全取代黄金。

我讨厌代用货币受制于黄金，我要让货币摆脱黄金。货币虽然要具备交易媒介、价值存储和计价单位三项基本功能，但最根本的功能是交易媒介，这是人类发明货币的初衷。

我做的第一件事是发行一种新的纸质票据，即一种新货币，这种货币不与黄金挂钩。我知道，人民是不会自发使用新货币的，因为纸张本身没有价值，即便上面印了花花绿绿的图案。

所以，我做的第二件事是创造人们对新货币的需求。由于我有军权和政权，有军队、警察和税务人员供我调用，我要求所有公司必须使用新货币支付工资和奖金，税收部门只接受新货币，纳税方使用旧货币不被承认，而不纳税将受到处罚，用这些方法我成功创造了人民对新货币最初的需求。

为了交易的便利，人们会在日常生活中逐渐使用新货币，人们开始使用新货币购买商品和服务，人们也不得不常备新货币，从而创造了对新货币的持续的需求。

此外，为了提升人民对新货币的信心，我建立良好的社会规则，大力发展教育，努力发展经济，提高人民生活水平，并且不随意超发货币使人民手中的货币贬值，进一步增强了社会对新货币需求。

至此，新货币开始广泛流通于社会中，于是我颁布一条法令，不再承认黄金作为合法货币的地位，使黄金的功能从交易媒介退出，只具备价值存储功能。

虽然对新货币的需求一开始不是自发的，但需求创立后会形成网络效应，如果不使用新货币就无法买到你想要的商品和服务，最终使用新货币的人越多，人们越离不开新货币。

这种货币的初始需求是通过颁布法令强制创造的，而且制造这种货币所需的成本远低于货币的面值，为了表现这种货币与商品货币的区别，又被称为法定货币 (Fiat)。是我们日常中使用的货币，比如美元、英镑和人民币等。可能绝大多数心中的货币都是法定货币，但从布雷顿森林体系失败后，法定货币才开始成为成为唯一的货币形式，到目前仅持续了 50 多年时间。

根据货币的价值模型，黄金作为商品的价值是人们相信它可以持续保持优良属性，尤其是稀缺性——基于现有科技，黄金无法大量开采也无法以合理的成本合成。同理，法定货币的价值也源于信任。

具体信任什么？信任包括两点：

第一点很好理解，法定货币的原始需求是通过强权创造的，如果权力更替，前朝的货币自然会被废除，因为新掌权者会推行自己的法定货币。

阐述述第二点时，我依旧以虚构的蔡国为例进行解释。

我虽然掌握蔡国的政权，但名叫 W 的外来种族控制着国家的经济命脉。我对此很不满，一直在寻找机会把他们赶走。

后来，我发起土地改革，派军队没收了 W 人的农场，废除宪法中关于 W 人拥有固定席位的规定，剥夺 W 人的政治权力。

于是农场主失去生产积极性，纷纷出走或撤资，其他国家也对我们进行谴责和制裁。我虽然夺回了土地，但缺乏资金和生产资料、技术和能力，农产品产量开始大幅下降，价格飞涨，产生了通货膨胀。物价上涨从农业传导到其他行业，导致各种商品和服务产量下降，最终使整个社会的物价大幅上涨。

为了让人们有钱买生活东西，我不得不通过印钱的方式提高了工人的工资，但这种方式并没有真的创造价值，反而继续推高物价，形成恶性通货膨胀。

昨天一只鸡值 20 元，今天值 200 元，明天可能值 1000 元，物价的剧烈波动上涨，使蔡国法定货币的价值剧烈波动且无法预测，这样的货币人们不会想使用这样的货币，于是货币失去需求，走向崩溃。

上面的例子说明，法定货币因币过度超发导致恶性通货膨胀而崩溃，而恶性通货膨胀很大可能是政治和经济发生动乱导致的，其货币价值模型入下图所示。

参考文献

代用货币和法定货币的价值都源于信任。代用货币需要信任货币发行方，如果不能从发行方处赎回抵押的贵金属比如黄金，那代用货币将失去价值。法定货币需要信任发行货币的政府，如果政权更迭和政治经济崩溃，那法定货币也将失去价值。

以黄金为首的商品货币需要信任黄金的属性可以长期保持，这是由自然规律和人类科学技术的发展决定的，这种信任要远远强于对某个机构和政权的信任，但是黄金本身可分割性差且不便于运输，作为交易媒介不够完美。

代用货币和法定货币虽然一定程度解决了商品货币的问题，但是也带来了新的问题。

第一：货币容易超发，造成通货膨胀。由于货币的发行由唯一的机构负责，在某些特定时候，比如战争期间，当政府无法高效地直接通过税收从人民手中获取资源，那么政府就有足够的动机直接发行货币，从人民手中间接收取铸币税。比如在经济危机时，政府发行货币收购濒临倒闭的大公司，造成人民手中的货币贬值，美国和英国都干过这种事。

第二：无法抗审查，甚至主动服务于审查。货币发行方可以冻结和没收你的财产，限制你使用货币进行转账和交易，简单来说，看上去你的钱是你的，但归根结底钱是他们的，因为你没有真的掌管你的钱。或许你觉得只要不做违法犯罪的事情就没事，但事情没那么简单。美国冻结过俄罗斯的资产，这合理吗？俄罗斯政府冻结了民主人士的基金账户，这合理吗？还有数不胜数的例子，本质上这种货币体系无法真的保证私有财产不受侵犯的基本权力。

这两个问题都源于货币体系的中心化。货币体系包括货币的结算系统 和货币的发行，如果由少数几个机构控制，而机构的权力不受约束，而不受约束的权力又是作恶的根源。

货币体系可以去中心化（decentralization）吗？可以。

黄金这种货币体系就是去中心化的。可以将黄金的开采看作是货币的发行，曾经所有人都可以开采黄金，没有被某一个机构垄断，所以黄金的发行是去中心化的。人们可以直接用黄金支付工资和购买商品，不受其他机构的限制，所以黄金自带的支付体系也是去中心化的。

但黄金的货币体系有与法定货币有相同的缺陷，黄金是实实在在可触及的金光闪闪的东西，你虽然可以自己保管黄金，但安全性不够，依旧可以没收你的黄金。你想随身携带大量黄金远行，比如出国，也会被海关查扣。

可以设计一种既去中心化又安全的货币体系吗？可以，我们现在以比特币为例从零开始设计一套。

货币体系包括货币结算系统和货币发行系统两部分。

货币结算系统用来记录你的交易历史，比如今天张三从李四处买了半块西瓜花了 40 元钱，那就在账本里记录一条 ”张三转给李四转账 40 元“；明天李四请王五给自己家里打扫卫生花了 50 块钱，则在账本里记录一条 “李四给王五转账 50 元”。

货币发行系统用来记录什么时候发行了新的货币，货币的发行会增加整个社会的货币供应量。比如美联储可以发行美元，然后将美元借给美国政府，而美国政府拿着借来的美元投入社会，从而增加整个社会的货币供应量。

在法定货币体系中，货币的结算和发行都是由少数几个机构决定的，权力是集中的，也就是常说的中心化。现在要做的是，设计一套系统，让任何人都有资格参与货币的结算和发行，让原本集中的权力变得分散，这就是去中心化。

要想建立去中心化的货币结算体系，让人人都有资格结算货币，第一步应该建立一份公开的账本，只有这样所有人才可以往账本中记录交易信息。

不过，使用人人都有权记录的公共账本存在以下问题：

接下来我们挨个解决上述问题。

我们常常会在合同上签名，用来证明自己认可合同内容，比如租房合同。那在每一笔交易后面签名以证明这笔交易确实是自己发起的可行吗？可行，但是还不是完全可行。

在网络上，签名是电子版的，比如李四发起一笔交易，并在后面留下他的电子签名。由于账本是公开的，任何人都可以复制这个电子签名，如果某人用复制李四的签名来发起李四本人不知情的交易，这依旧是伪造交易。

如何解决这个问题？

我们可以让签名无法复制，并且签名会随着交易内容改变而改变。

首先，用户随机生成一串由 256 位 0 和 1 组成的二进制数字作为私钥(secret key, sk)，然后由私钥通过椭圆曲线乘法生成公钥(public key, pk)。

发起转账时用户需要使用私钥对这笔交易进行签名(Signature)，此时要用到一个签名函数 Sign(Message, sk) = \text{Signature} 。由于私钥只有用户自己知道，所以只有用户自己可以对自己的交易进行签名确认，其他人无法伪造签名，因此也无法伪造交易。

签名函数中的 Message 表示交易内容，比如“张三转账给李四 100 元”， sk 表示表示私钥。签名函数的输出 \text{Signature} 也是一个 256 位的二进制数字。

除了需要一个签名函数来生成数字签名，还需要验证数字签名是否属于私钥的拥有者，因此还需要一个验证函数 Verify = (Message, Signature, pk) = T/F 。验证时需要将交易内容，签名和公钥 (pk)作为参数输入到验证函数中，如果签名属于私钥拥有者，则验证函数的输出为 T (True)，表示验证通过，否则输出 F (False)，表示验证未通过。注意，公钥是公开的，所有人都知道。

需要注意的是，私钥可以生成公钥，但是无法通过公钥反推私钥。

那这样的签名有多安全呢？他人是否可以猜出签名的呢？几乎不可能。

由于签名是 256 位的二进制数字，共有 2^{256} 可能的结果，将其表示成以 10 为底的数为 10^{77} ，而全宇宙的原子数约为 10^{80} ，这是一个超级天文数字，如果不知道私钥，以现有科技没有任何可能性猜出签名。想更直观的了解 2^{256} 有多大，可以参考 该视频

有了数字签名是否就足以防止伪造交易了呢？还不够。

如果李四曾给张三转账 100 元并亲自签名，那张三复制 一次这笔交易和相应的签名，不同样伪造交易了吗？解决方法很简单，给每笔交易添加一个独特的 ID，避免被人直接复制交易信息。

最终，经过上述方法得到的公开账本如下图所示：

小结：通过数字签名技术解决了他人在公开账本上伪造交易的问题。

当前已经有了一个公开的账本，记录了所有人的交易历史，那基于该账本如何防止用户在钱不够的情况下依旧发起转账呢？

核实用户名下到底有没有足够的钱即可。比如最初有位神秘人 X 给张三、李四、王五和宋六各转了 100 元，随后张三给李四和王五分别转账 60 元和 40 元，此时张三账户上没有钱了。如果他再向宋六转账 20 元时，所有人都通过查看交易记录发现他没有足够的钱，从而认定这笔交易非法。

所以，对于使用公开的账本作为结算系统的去中心化货币系统，人们所拥有的钱的数量本质上等于账本上的交易记录。

不过，这种计算余额的方法存在一个问题。公开对的账本只记录了交易，没有直接记录余额，余额需要通过核算交易记录间接得到。当账本中记录了天量的交易记录后，如果每次都需要从头开始计算每个人有多少余额，相当于每次都需要将所有交易记录进行加减，非常耗费计算资源和时间，使交易确认的速度变慢，影响货币实现交易媒介的功能。

为了解决这个问题，可以在给他人转账时，同时将没有花完的钱转给自己。比如，张三此时有 100 元，他向李四转账 60 元，然后给自己转账 40 元，这 40 元就相当于找零。此时的找零本质上是一次转账剩余没有转出的资金，也被叫做未花费的输出(UTXO，Unspent Transaction Output)，这种方式可以大大减少计算余额所需的时间和资源。

现在通过一个例子说明，使用 UTXO 方法比从头到尾将交易记录加减一遍来统计余额的方法有多大的优势。

依旧假设神秘人 X 开始时给张三、李四、王五各转了 100 元，随后他们之间发生了如下几笔交易：

如果不用 UTXO 方法统计余额，上述交易变成：

统计张三、李四和王五的余额时需要计算的次数如下：

如果使用 UTXO，上述交易变成：

统计张三、李四和王五的余额时需要计算的次数如下：

对比可知，UTXO 法更高效，如果转账次数很多时，优势会更加突出。因为 UTXO 如同阶段性的小结，每当自己给别人做一次转账时都记录一下自己的余额，然后这笔转账之前的所有交易都不需要参与后续的计算了。

所以余额的计算方法为：余额 = 最近一次 UTXO 本身 \pm 这个 UTXO 之后其他人给自己转账的金额。

对于一个公开的账本，首先通过数字签名技术解决了他人伪造交易的问题，然后通过回溯交易记录和 UTXO 的方法解决了他人钱不够依旧发起转账的问题。但现在还有两个问题：

既然是账本是公开的，那账本就不能由某几个人或者机构保存，万一他们联合起来篡改交易记录呢？由于交易记录决定了你有多少钱，篡改交易记录就是盗窃你的资产。

所以，这份公开的账本应该人手一个，每一个想参与记账的人都可以拥有一份，账本的内容由大家共同维护。

假如张三发起一笔交易“张三给李四转账 10 元”，这笔交易的内容将发送给网络中所有负责记账的人，他们负责将收听到的这笔交易记录到他们手中的账本里。

但这种记账方式依然存在需要解决的问题：如何让张三、李四、王五和赵六手中的账本内容保持一致？每个人手中都有一份账本，如果账本内容不一致，那就无法根据账本知道某个人确切的有多少钱。比如，在张三的账本上你有 80 元，但在李四的账本上却可能有 100 元，因为别人曾经给你转了 20 元，这笔交易只记录在了李四的账本上而没有记录在张三的账本。

除此之外，如果同时收听到多笔交易时，如何决定哪些交易被接收哪些被拒绝？以及如何确保他人记录的交易顺序都相同？

这些问题都指向了同一件事情：如何对大家手中账本的内容达成共识？即共识机制是什么 ？

既然难以控制每个人如何选择要接收的交易以及记录交易的顺序，那么可以一次只选择一个人出来记录某些交易，比如张三，然后张三再将他记录的交易发给其他人，其他人只需要负责记录张三已经记录过的交易即可。这样就可以保证所有人手中的账本内容一致了。

那如何选择出那个有资格记录交易的人呢？

选择某一个人做某一件事情，在日常生活中经常遇到。比如，用投票的方式竞选班委，票数多的人获胜，或者投票决定晚饭吃什么，去哪里旅行，甚至谁来当政府官员。

但我想聊的是另一种选择方式：选拔。教育系统通过考试的方式选拔学生，学生通过做题获得分数，而分数的高低决定了谁有资格读重点高中、本科和研究生，分数最高的人称作状元。

受此启发并稍作改变，可以设计一个系统，系统每次只出一道题，让所有想参与记账的人解题，谁最快算出正确答案谁就有资格往公开的账本里记录交易。

那题目应该具备什么特点？

可以反着想，一个糟糕的选拔考试是什么样？比如，不考虑学生的知识背景，出的题目是部分学生压根没有学过的，这是不公平。同理，选择谁来记账用到的题也要公平，后面的内容会讲如何保证题目是公平的。

既然是选拔考试，题目也不能太容易，否则实现不了选拔的目的。同理，选择谁来记账用到的题也不能很容易的找到答案。

既然是选拔考试，学生回答了题目，判卷老师手上要有一份标准答案才行，否则如何判断结果的正确与否呢？那为什么要给判卷老师发一份标准答案而不是让老师判卷时自己再做一遍题目呢？为了提高判卷的效率。同理，那些愿意记账的人中如果有人率先解出答案，其他人要能够很容易验证答案是否正确才行。

所以，题目应该具备以下三个标准：

什么题目符合上述标准呢？

幸运的是有一种函数满足题目的要求—— 哈希函数。哈希函数 (H)有一些有趣的性质：

可以用一个简单的例子验证哈希函数的第二条性质。以哈希函数 SHA256 为例，输入为 Money's model 时，输出是

当输入稍作改变，变为 Noney's model 时，输出变为

在输入只变动了一个字母（M→N）的情况下，输出发生了翻天覆地的变化。

哈希函数的单向性和抵抗哈希碰撞的属性决定了，如果已知函数的输出，只能通过暴力求解的方法进行试算每一个可能的输入。

以 SHA256 函数为例，其输出是由 256 个 0 和 1 组成的一串数，由于每一个位置上都有 0 和 1 两种可能，所以其输出一共有 2^{256} 种可能，这是一个天文级的数字，而且是字面意思上的天文级，因为全宇宙原子总数约为 10^{80} ，而 2^{256}\approx 10^{77} 。而不同的输出几乎都会有不同输入与之对应，所以函数的输入至少有 2^{256} 种可能，准确来说是无限种可能。所以，已知输出，除了试算法没有其他方法找到可能的输入。

有了哈希函数这个强大工具后，就可以为选拔记账者设计具体的题目了。不妨把题目定为：

请找到一串数字，将其放在一份交易记录后面，然后将这串数字和交易记录作为 SHA256 函数的输入进行计算，使其输出结果的前 n 位是 0。谁先找到这串数字，谁就被选拔为记录交易的人。

现在回顾一下哈希函数适合作为选拔记账者的题目原因：

不过，有些地方还需要注意：

题目没有设置为找到一串数字，使输出结果的具体确切地等于某一个值，而是让输出结果的前 n 为是 0，因为根据哈希函数的单向性可知，无法找到这样的一串数字，

候选人会从自己接收到的所有交易中先选择一些有效的交易打包成一份清单，这份清单叫做区块 (block)，判断交易是否有效的标准是判断交易的签名是否正确，以及发起交易的人是否有足够的钱，这两点是前文重点提到的。

题目随时都在发生改变，因为随时随地都有人发起交易，交易会因为发起者不同、转账金额不同和转账发起时间不同而有巨大变化，而交易又是哈希函数输入的重要组成部分，所以题目也是千变万化的。

由于这种选拔记账者的方式需要候选人付出大量的运算能力，所以只要找到那串数字，就可以证明他做了足够多的工作，所以这串数字又被称为工作量证明(Proof of Work, PoW)

假如张三幸运的成为具备记账资格的人，那他会将之前打包的交易清单发送给网络中的其他参与记账的人，其他人会验证清单里的交易是否有效和前面提到的那串数字是否正确，如果验证通过，其他人便把这个清单连接在之前的账本后面。由于交易清单叫做区块，而清单又与清单相连组成一个账本，因此这个账本被形象地称为区块链(Block Chain)

那区块与区块之间是如何建立连接的呢？

锁链一环套一环，环与环之间建立了连接；对于纸质账本，纸张通过胶水一张一张的相连，纸与纸之间建立了连接，这种连接是看得见摸得着的具体连接。而你作为子女身体中带有父母的 DNA，而你的子女身体中也带有你的 DNA，你与你的父母、你的子女之间也建立了连接，这种连接看不见也摸不着但实际存在的抽象连接。本质上具有连接关系的个体之间处于你中有我，我中有你的状态。

区块与区块的连接也是类似的，每一个区块的头部包含了前一个区块的散列值，该散列值是将前一区块作为哈希函数的输入算出来的，这样每一个区块都包含了前一个区块的信息，如同孩子和父母的身体中都有共同的信息一样 (DNA)。

那些负责记录交易的人通常被称作节点 (Node)，所有节点组成一张网，也就是区块链网络。某节点获得记账权后会将交易打包进一个区块发送给附近的节点，如果两个节点（A 和 B）同时找到了题目的答案，也就是那串数字，他俩将同时获得记账权。由于网络传输的限制，部分节点可能收到 A 的区块 N_A ，另一部分节点可能收到 B 的区块 N_B 。这会导致区块链网络中存在两份内容的不同的账本，该现象被称为区块链的分叉。分叉从本质上表明区块链里记录的内容还没有在所有节点中达成一致。

注：图中表示网络中存在的两种账本，虚线框圈起来的账本内容相同，虚线框外表示同时产生的两个区块，这个两个区块同时加入到网络中，导致区块链分叉。

虽然整个比特币网络中有两种账本，但是每个矿工手中只有一种账本：要么是账本一，要么是账本二。因此，当节点 C 获得记账权打包了一个新区块 N+1 后，他会将该区块并入他手中的账本，假设他手中的是账本一，则此时整个网络中的区块链如下图所示。

这样看上去当前网络中依旧有两种账本，节点们依旧没有对账本的内容达成一致，那么当节点 D 打包区块 N+2 时，他应该将新区块接在 N+1 后面还是 N_B 后面呢？

区块链分叉后，如何让所有节点手中的账本的内容达成一致呢？

由于节点记账都是自发的，没有一个超级管理者告诉他们应该将新区块连接到哪一个旧区块后面，那么理论上来说，节点有权力将区块连接到任何地方，别说连接到 N+1 后面，连到 N-1 后面都可以。

但如果节点真这么做，网络中所有节点手中的账本内容很难达成一致，而不达成一致就无法实现交易转账的功能，也就是无法实现货币的功能。

生活中对某一件事情出现分歧时，常用的一个方法是“少数服从多数”，区块链里也类似。

可以规定包含的区块数量最多的链才是合法链，而记录在其他链上的交易都不被认可，因为每一个区块的产生都消耗了一定的工作量，而区块数量越大，消耗的工作量越多，所以这个规定又叫做最长合法链原则。

在这样的规则下，节点会自发地将区块连接到最长的链后面，另外一条链则被废弃，称为孤链。回到上面的问题，矿工 D 会将区块 N+2 接在 N+1 后面。

通过工作量证明的方式决定了谁有资格往区块链里记录交易添加区块，然后通过最长合法链的原则决定了区块以何种方式链接，最终区块链里的内容在这两种机制下达成共识。

通过公开账本、公钥私钥体系和工作量证明共识机制，我们建立了一种去中心化的货币结算系统，而去中心化的货币体系除了包括结算系统去中心化，还包括货币发行的去中心化，接下来将对其进行讲解。

我们虽然设计了一套人人可参与的公开的去中心化的记账方法，也就是货币的结算系统，但是节点为什么要维护这个账本？资本都是逐利的，为爱发电在现实社会不会广泛存在，那是什么激励节点做事呢？更具体一点说，节点为什么要付出大量的算力去反复的试算只为获得一次记账的权力？节点获得记账权后为什么又迫不及待的要把区块发送给周边的节点，他们为什么这么着急？为什么规定了要在最长的链后连接新区块节点就非常听话的做了？这些问题涉及到本节的主要内容：货币的发行。

因为还有一个规定：拥有记账权并将区块连接到最长链后面的节点可以获得奖励，这笔奖励又被叫做区块奖励 (Block Reward)。对于比特币网络来说，区块奖励就是一定数量的比特币，现在一次成功记账可以获得 6.25 BTC，当前一枚 BTC 价格约为$28000。

因此，节点们投入财力去购买设备、租赁场地、支付电费和日常维护费，在获得记账权后立刻将区块发送出去，只为赶快拿到奖励。因此，节点获得区块奖励的过程就像矿工获得黄金，因此节点也被形象地称作矿工。

区块奖励除了对节点有激励作用外，还有另一个非常天才的功能——发行货币。

区块奖励的来源是比特币网络发行的货币，是新创造出的货币，会增加整个系统的货币供应量。更关键的是，货币的发行不依赖于某一个中心化的机构，更具体的说是不依赖中央银行。

前面提到，法定货币体系的缺陷是货币结算系统的中心化和货币发行的中心化，最终导致货币容易超发贬值和过度审查。而比特币系统的货币结算系统是所有节点共同维护的公开的账本，是去中心化的；货币的发行是通过区块奖励产生的，由协议控制，无法改变，也是去中心化的。

最终，实现了货币系统的去中心化。

商品货币都具备一定的实用性，黄金和白银可以作为原材料生产商品，可以作为装饰物提供审美价值，如果从这方面考虑，比特币确实没有实用性，因为比特币是记录在区块链上的交易记录，无法制造商品也无法放在家里展示。

但是比特币具其他类型货币都不具备的功能：你可以自己保管(Self-Custody)比特币

或许你会疑惑，自己保管这个属性为什么是比特币的特色，古代人手中的金票和当代人手中的美元现金不都是自己保管的吗？不是，你保存的只是债务凭证、是欠条，没有真的保管货币。

无论是金本位时的货币还是当前的法定货币，你从未真正的拥有和掌管你自己的货币。

前面提到，由于可分割性较差，质量很小的一块黄金都非常贵重，不便于日常购买商品和服务，如果是大额交易，运输黄金也不方便。所以人们将黄金存放到金融机构，金融机构给你一些票据作为凭证，以机构的信用做担保，保证你未来某个时候拿这些票据可以赎回对应的黄金，所以这些票据本质上是机构给你欠条，是债务凭证。

这些票据可以对应赎回等价的黄金，且携带票据也比运输黄金更方便。于是人们从直接使用黄金进行交易，变为使用以黄金做背书的票据进行交易，解决了黄金作为交易媒介的不足。

所以，你如果不自己保管黄金，而是拿着票据，那么你必须要信任发行这些票据的金融机构会让你赎回黄金，如果机构破产了呢？或者说如果机构因为某些政治原因不允许你赎回呢？

再说回法定货币，法定货币本质上也是央行的负债，但是你拿着法定货币去央行却无法赎回任何东西，法定货币是金本位的延续，在基于金本位的布雷顿森林体系失败后，美国终止了其他国家用美元这种法定货币赎回黄金，而利用美国强大政治、经济和军事地位稳住了美元作为世界货币的地位，而后世界诸国仿照美元体系建立本国的法定货币体系。

由于美元是世界货币，国际间的贸易和债务结算都要用到美元，比如只能使用美元购买中东的石油，这导致美元有很强的网络效应，各国的外汇储备中美元占很大部分，这些美元是国家的财富，是购买物质，包括粮食、能源、技术的资本。

美元是世界货币也是美国的法定货币，由美联储发行，运行于美国政府实际控制的货币结算系统中，美国政府有权对使用这个结算系统的国家进行审查，包括禁止其他国家使用，或者冻结其他国家的资产，这给了美国政府很大的地缘政治影响力。

比如俄乌战争爆发后，美国对俄罗斯的制裁中涉及货币的包括：

俄罗斯不是第一个被制裁的，在此之前还有 伊朗、朝鲜、叙利亚、古巴、委内瑞拉和中国等。

美国政府是美元体系的唯一中心，作为不得不参与到这个体系中的人来说，美国政府有巨大的权力影响其他国家。

美元是中心化的，处在其中的诸国受美国政府的影响，但你不要认为这是国家与国家的大事，个人就不受中心化货币体系的影响。

世界上所有国家都依照美元的模式发行自己的法定货币，身处这个货币体系中的个人就如同身处在美元体系中的诸国一样，受到发行货币的政府的制约。

政府可以冻结你的资产，限制你使用银行的转账，你可能会说那些只有那些反对政府的人才会受到这种制裁。你会这么想，可能因为你生活在一个政治稳定、经济发展和颇为民主自由的国家，但如果想想现在的朝鲜、曾经的纳粹和解体时的苏联，或许你会有新感受。

对于世界上大部分国家，能够自己保管自己的财富/货币，是非常有价值的，这些人民受到政府过多的管制，财富有很大可能性被政府以各种理由没收，或者限制人民使用货币。

中心化的货币体系会受到中心化政府的限制，政府可以通过权力限制你手中的货币实现交易媒介的功能。

可以将中心化政府的限制措施拆分两类：

而比特币网络是一种去中心化的货币体系，可以让你保管自己的货币，并且让你有权在任何时候使用这个货币体系。

你的钱记录在比特币网络这个公开的账本中，该网络由所有网络中的节点，也就是矿工维护运转，没有哪一个机构或个人有权力冻结你的比特币，也无法限制你使用比特币交易。只要你掌握自己的私钥，你就能掌管自己的比特币并使用比特币结算系统。

这涉及到非常非常重要的一点，私人财产不受侵犯。

比特币赋予人们“自己保管货币”的这种能力最大的作用是“抗审查支付 censorship-resistant”——你如果想用比特币交易任何东西，只要有网络，几乎没有任何人能够阻挡你，包括世界上最强大的政府。

正是比特币自我保管属性带来的抗审查支付功能，对交易媒介这个货币基本功能进行了质的提升，解决了法定货币永远也无法解决也不愿解决的缺陷。这成了比特币的价值源泉和起点，当越来越多的人使用比特币，考虑到其有限的数量，也有越来越多的人将其看作是价值存储的工具，至此，比特币在成为货币的路上迈出了坚实的一步。

前面从商品货币推导出了货币的通用价值模型，现在用该模型分析比特币。信任层决定了货币属性是否可持续，货币属性决定了能否更好的实现货币具备的三大功能。

黄金战胜其他商品货币，是因为在具备可分割、易携带、耐用、同质化、防伪这些属性的同时可以保持稀缺属性，现有科技无法大量开采黄金也无法低成本合成黄金，这导致了黄金具备较高的库存流量比。其他商品要么因为生产过多导致去存流量比很低，要么因为消耗的太快导致库存流量比很低。

比特币的稀缺是由协议的设计保证的，规定总量为 2100 万个那就只有 2100 万个，所以比特币与商品货币不同，它的短板不在于稀缺而在于安全性，体现在货币属性里就对应了防伪属性。

类似于黄金这样的商品货币，天生就具备防伪性，而比特币的防伪性恰恰是整个支付系统最薄弱的环节。比特币的防伪性本质上涉及两个问题：如何防止他人伪造交易以及如何防止他人篡改账本。这些都可以使比特币失去防伪性，让别人用你的钱，或者通过篡改账本，把原本支付给你的钱再拿走，这其实和给了你伪钞，让你损失一笔钱没有区别。通过前面的分析，比特币已经很好的解决了这两个问题，所以比特币的防伪性较好。

至于其他属性，比特币最小单位是聪，1 BTC 可分割为 1 亿聪，所以可分割性非常好；无论你拥有多少比特币，都只需要一个私钥即可保存，可以陪你去任何地方，只要有网络就可以发起交易，所以易携带；比特币是记录在区块链里的数据，不会腐烂、生锈或者破碎，所以耐用性好；每一枚比特币之间没有任何区别，同质化属性好；比特币具有抗审查支付的功能，这是法定货币和黄金不具备的优点，这是比特币实用性的最佳体现。

因此，对于货币的七大属性比特币都具备且评分都较高，更关键的是我们可以相信这些属性可以持续存在，这些属性最终决定了比特币能够比其他类型的货币更好的实现货币的三大功能。

要想让比特币价值崩溃，最直接的办法是让其无法提供现在可以提供的价值：抗审查支付。如何让其失去支付功能和抗审查功能呢？

保持稀缺属性不是问题，问题在于能否持续保持防伪性：如何防止他人伪造交易以及如何防止他人篡改账本？

为了防止他人伪造交易，即以你的名义发起一笔交易，将你的钱转移到他的头上，引入了数字签名的技术，通过随机生成的 256 位的私钥给交易签名，签名后将公钥公布出去，其他节点用公钥验证签名，如果验证通过则代表这笔交易确实由你发起。这里有一个关键点要注意，这个关键点正是比特币系统安全性可能发生问题的地方之一：公钥是公开的，由私钥生成。

私钥通过一种叫做椭圆曲线数字签名算法 ECDSA (Elliptic Curve Digital Signature Algorithm)生成公钥，传统计算机无法通过公钥反推出私钥，因此实现了在不对外暴露私钥的情况下，让其他节点用公钥验证交易的有效性。

一种名为 Shor 的算法大大减少了破解 256 位 ECDSA 算法的计算量，但是这个级别的计算量依旧是传统计算机无法企及的。

不过，量子计算机出现了。2019 年，Google 建立了 53 量子比特的量子计算机。2021 年，IBM 建立了 127 量子比特 (Qubits)的量子计算机，并计划在 2022 年和 2023 年分别建立 433 量子比特和 1121 量子比特的量子计算机。而 2022 的一篇论文结果表明，最新研究表明，要想在一天内破解 256 位 ECDSA 算法需要 13\times{10^{16}} 量子比特。

当前的量子计算机的水平看上去远不足以破解 ECDSA，但不要忘了 2022 年的 Apple M1 Max 上有 550 亿个晶体管，而 1965 年的逻辑电路模组上只有 3 个晶体管，57 年内增加了 200 亿倍，所以量子计算机的技术可能也是爆炸式发展的。

不过，抗量子计算的数字签名算法也在发展，在比特币和区块链世界另一大项目以太坊中都可以看到，比如使用基于哈希的签名算法 Lamport 和 XMSS。

世界是波动前行的，做为一个乐观主义者，我相信抗量子算法会抵御住量子计算机的威胁，更不用说即便使用当前的签名算法也能抵御好几十年。

在[[02-货币价值模型，黄金、法定货币、比特币#问题3：如何防止他人篡改账本？|前文]]中提到，为了防止他人篡改公开的账本，需要任何人都有资格参与记账并通过共识机制（工作量证明+最长合法链）来账本内容达成一致，而共识机制就是区块链安全性可能发生的另一个问题之一：一旦有人掌握的算力超过全网算力的 51%，那么他将比网络中其他人有更大概率获得记账权，进而发起双花攻击和审查交易。

假设李四是黑帮头目，张三是军火商，李四想从张三处买了一辆坦克，坦克售价 100 BTC。李四的钱包地址中有且仅有 100 BTC，于是他向张三的比特币地址支付 100 BTC，买下坦克并开走，这笔交易被称作 T1。随后，李四立刻向自己的另一个钱包地址转账 100 BTC，这笔交易被称作 T2。

由于拥有比特币网络中 51% 算力，所以他开始篡改区块链上的交易记录，准备拿回刚才支付给张三的 100 BTC。交易 T1 被其他矿工打包到编号为 N 的区块中，交易 T2 被李四打包到另一条链里编号为 N 的区块中，此时区块链出现分叉。

由于李四具备绝对的算力优势，他持续获得记账权，迅速的打包了 N+1、N+2、N+3、N+4 等区块，组成最长合法链，为了获得更区块奖励，其他矿工也会在该链上打包区块，因为只有最长合法链上的区块奖励才会被其他矿工认可。

由于李四从张三处购买坦克的那笔交易没有包含在合法的区块链中，所以李四相当于没有花钱就买了坦克，而李四的 100 BTC 还可以再次被花掉去买其他东西。这种让一笔钱花两次及以上的攻击方式叫做双花攻击（Double Spending）。

发起双花攻击的必要条件是掌握超过全网 51%以上的算力，所以全网算力越大，攻击者需要的算力也越多，所以成本也越高，攻击难度也越大。

而购买算力等价于购买专用矿机、租用场地、支付电费和维护费用，比特币从 2009 年诞生到现在 14 年的时间没有受到过双花攻击，不是别人尊敬这位先行者不攻击他，而是目前比特币的全网算力，即便以一国之力也几乎很难发起 51%攻击。但比特币的竞争者，比如 BSV 和 ETC，都因为网络中的算力太低，遭受过 51%攻击。

接收比特币的商家为了应对可能发起的双花攻击，可以在交易加入区块链后继续等待，直到当前区块后面生产了六个区块 以后再将货物交给买方，一方面可以避免区块链分叉导致你的交易没有进入最长合法链，另一方面也能极大的提高发起双花攻击的成本，因为这个意味着攻击者一个人需要至少连续六次获得记账权才能逆转交易，这是极大的成本，此时发起攻击得不偿失。

当某人掌握超过 51%算力后，他获得记账权的概率比其他所有人加起来更高，那么他有能力不允许他人交易比特币。假设这个人是李四，在知道张三的比特币地址的情况下，他可以不允许张三接收和发送比特币。这包含两种情况：

限制某个地址转账比特币，本质上是该地址被审查了，由于掌握比特币 51%以上的算力很难，所以审查比特币的交易也很难，即比特币抗审查能力强。

现阶段比特币全网算力非常高，要掌握超过 51%的算力，需要支付高昂的费用，发起算力攻击的成本将非常之高，这一切都来源于矿工有利可图，即激励机制。

比特币矿工的收入由两部分组成：比特币网络提供的区块奖励和用户转账支付的手续费。

当比特币价格很高时，依靠比特币系统奖励给矿工的比特币（当前出块奖励为 6.25 BTC），足够让矿工获得较为丰厚的利润，所以他们对每一笔转账收取非常低廉的手续费。

根据每四年区块奖励减半的规定，如果区块奖励减少到可有可无的地步，那么矿工可以通过收取手续费赚到足够的收入来达到收支平衡甚至盈利吗？

如果无法盈利，矿工将离开网络，导致比特币算力下降，让掌握 51% 以上算力成为可以实现的事情。

我们以一个区块里的交易记录入手，试着推演一下事情可能的发展方向。

上图表示，第 749843 的区块中记录了 2703 笔交易，共转账 3660 BTC，区块奖励为 6.25 BTC，手续费为 0.0795 BTC，相当于每笔交易平均手续费为0.0000294 BTC，实际手续费率为0.00217%。手续费率之所以如此低，是因为出块奖励补贴了矿工，如果将出块奖励与手续费相加再除以总共转账的 3660 BTC，则转账的有效手续费率为 (6.25 + 0.0795) / 3660 = 0.171%。

也就是说，如果现在停止区块奖励，用户应付的手续费将增加为当前实际手续费的 78 倍（0.171/0.00217）。

矿工希望能够收取足够多的手续费，可能否收到取决于用户是否愿意支付。从增长幅度来看，78 倍的手续费增幅确实很多，但从绝对值来看，0.171%的手续费率真的很高吗？考虑到比特币的安全性和抗审查能力，进行大额转账的用户为其支付溢价的可能性也有很大的。

从另一方面考虑，比特币的采用还在逐渐发展，当越来越多的人意识到其价值后，借助类似于 Lightning 的扩容技术，越来越多的人愿意持有并使用它，尤其是那些面临严重通货膨胀的国家，那么完全依靠手续费并且在手续费合理的情况下，补贴矿工完全是可行的。

当然，这是建立在对未来乐观的预测之上的，但长期来看，这个世界不就是由乐观者建造的，不是吗？（谨慎乐观）

发起双花攻击和审查交易需要支付的成本是大规模购买矿机、租赁场地、支付电源，那攻击者会得到什么收益呢？

对于双花攻击，无非是让自己的比特币可以花好几次，本质上和吃霸王餐没啥区别。但是一旦发生双花攻击，人们对比特币网络和比特币的信心会受到严重打击，导致比特币价格爆跌。假设双花攻击前，攻击者手中持有 100 BTC，BTC 价格为 40,000 美元，他的总资产为 100 \times{40,000}=\$4,000,000 。双花攻击后，他将手中 10 枚 BTC 花两次，购买了价值 20 BTC 的商品（值 800,000 美元），但比特币价格爆跌为 20,000 美元一枚，此时他的总资产为 90 \times{20,000}+800,000=\$2,600,000 。

花了大量资本进行双花攻击，在不考虑成本的情况下，他现在的总资产包括价值 800,000 美元的商品和价值 2,600,000 美元的比特币，资产价值缩水了 (2,600,000+800,000-4,000,000)/4,000,000=-15\% 。要是考虑前期购买矿机的成本，会损失更多，所以单纯为了经济利益考虑，发起双花攻击是搬起石头砸自己的脚，收益和风险远不成正比。

而审查他人地址，限制他人交易比特币连一点直接的经济利益都没有，且要支出成本和承受比特币价格爆跌资产缩水带来的损失。

因此，对于个人，发起 51%攻击没有经济效益。

假如不为经济效益，出于政治利益呢？那确实可以。由于比特币具备挑战现有法定货币的能力，比如美元和人民币，而法定货币是一个政府用来养活自己的工具，动了强权政府的利益，政府可能完全在不考虑短期收益的情况下，不惜代价，发动 51%攻击，摧毁比特币。那比特币网络在这种情况下，会不会越战越勇呢，毕竟社区能够抵御一次世界最强力政府的进攻似乎也是一件可以不考虑利益的事情，如果比特币网络在这种情况下都取得了胜利，该是多么酷的一件事啊。