Bitcoin L1 ganha transferência privada sem chain própria nem bridge

O grupo alloc init publicou em 24 de setembro um documento de 56 páginas que descreve transferências privadas de bitcoin direto na camada base. O desenho, batizado de Shielded Bitcoin, esconde valor, remetente e destinatário, e o consenso continua intocado. Não há chain própria, bridge, federação nem operador. A proposta grava envelopes cifrados na L1 e deixa a verificação com indexers fora do consenso.

Assinam o trabalho Clara Shikhelman, Mikhail Komarov e Aleksei Moskvin, os três da empresa de criptografia alloc init. A publicação não está no arXiv nem no ePrint do IACR e saiu só no site da empresa.

Como funciona o metaprotocolo de notas protegidas

O mecanismo funciona como um metaprotocolo de notas protegidas. O valor fica em notas cifradas, e cada gasto é marcado por um nullifier público que impede o uso duplo. A validade de cada transferência depende de uma prova de conhecimento zero, com Groth16 como sistema padrão e cerca de 192 bytes por prova. O estado combina uma árvore de notas, um conjunto de nullifiers e um histórico de raízes por bloco.

Esse estado não vive em nenhuma cadeia paralela. Ele é recomposto pela reexecução determinística dos envelopes públicos gravados na L1, na ordem canônica das transações de bitcoin.

O envelope publicado na L1 é um par formado pelo corpo da transferência e pela prova. No perfil atual, o envelope binário inteiro viaja dentro de um único OP_RETURN. Uma transferência de duas entradas e duas saídas pesa 610 bytes, com custo de quatro unidades de peso por byte, o que totaliza 625 vB. O carrier via witness ocupa 438 vB em duas transações. Publicar em OP_RETURN é premissa de relay, não garantia do consenso.

O que segue oculto e o que continua visível

Ficam ocultos o valor, o remetente, o destinatário e qual nota foi gasta. O montante não aparece em nenhum ponto da cadeia.

Continua visível o horário, a aridade de entradas e saídas, o agrupamento dos outputs, as taxas, os metadados da transação carrier, o tamanho do envelope e a idade do anchor. A ocorrência da transferência nunca é escondida.

O ponto central é o que o desenho não exige. Nenhuma regra de consenso confere a prova que acompanha o envelope. A rede apenas publica e ordena os envelopes, sem interpretá-los. Quem valida a consistência do estado são os indexers, cada um mantendo sua cópia fora do consenso. É isso que dispensa soft fork, bridge, cadeia separada, federação, operador e BitVM.

Não existe blockchain própria, pegging nem terceiro guardando fundos. O usuário mantém a palavra final sobre os gastos, porque as chaves seguem sob seu controle.

Os autores deixam claro que a entrada e a saída de valores ficaram fora do escopo do artigo. Nada no texto sustenta que esses movimentos sejam trustless, privados ou livres de vínculo. O passo dependeria do Bitcoin PIPEs v2.

Há mais restrições declaradas. A carteira que paga as taxas pode ser vinculada ao usuário na camada transparente, porque esconder o destino de um envio não esconde quem o publicou. A sincronização de light clients segue em aberto, e divergências de parâmetro entre implementações geram estados incompatíveis.

Custo computacional e criptoanálise do próprio esquema

A criptografia que sustenta o desenho impõe um custo pesado. O mecanismo de witness encryption que sustentaria os limites do sistema, o AADP-WE, produz ciphertext estimado em 338 terabytes por execução de covenant. O grupo calculou algo na casa de US$ 100 a 200 por execução, com 48 máquinas de 256 núcleos e 7 terabytes cada, em cerca de 10 minutos. A meta é reduzir o ciphertext para perto de 100 gigabytes.

A criptoanálise do mesmo grupo piora o quadro. O ePrint 2026/1594, aprovado em 6 de agosto, quebra a construção ADP de 2020 e a extensão AADP de 2026 com comutadores de baixo rank. O próprio esquema de witness encryption não é seguro e fica inutilizável para circuitos esparsos, com correção só na característica 2.

Não há repositório dedicado na organização do grupo. É especificação teórica, sem protótipo, testnet ou implantação.