本文介绍了一种在高度去中心化的匿名加密货币门罗币（Monero）中隐藏交易金额的方法。与比特币类似，门罗币也是一种通过工作量证明（PoW）机制进行分发的加密货币。最初的门罗币协议基于CryptoNote，该协议使用环签名和一次性密钥来隐藏交易的来源和目的地。最近，比特币核心开发者Gregory Maxwell讨论并实现了使用承诺方案来隐藏交易金额的技术。本文描述了一种新型的环签名——多层可链接自发匿名组签名（Multi-layered Linkable Spontaneous Anonymous Group signature），它能够以合理的效率隐藏交易的金额、来源和目的地，并实现可验证的、无需信任的代币生成。本文还提供了一些协议扩展，例如聚合Schnorr范围证明（Aggregate Schnorr Range Proofs）和环多重签名（Ring Multisignature）。作者指出，本文的早期草稿已在门罗币社区和比特币研究IRC频道上公开。 [14] 中提供了区块链哈希草案，表明这项工作始于 2015 年夏季，并于 2015 年 10 月初完成。电子版也可在 http://eprint.iacr.org/2015/1098 获取。

我们识别出几种可用于降低 CryptoNote 2.0 协议不可追踪性的区块链分析攻击。我们分析了可能的解决方案，讨论了这些方案的优缺点，并建议对门罗币协议进行改进，以期长期增强该加密货币抵御区块链分析的能力。我们建议的门罗币改进措施包括：在协议层面，制定全网最小混入策略，即每个环签名至少包含 n = 2 个外部输出；两年后，在协议层面将该值提高到 n = 4；在此期间，钱包层面的默认值也设置为 n = 4。我们还建议采用类似种子传输的方式发送门罗币输出。此外，我们还讨论了一种非均匀的、与时间相关的混入选择方法，以缓解本文中识别出的其他形式的区块链分析，但由于种种原因，我们并未就其具体实现提出正式建议。本文还详细讨论了这些改进措施可能带来的影响。本研究简报未经同行评审，仅反映了内部调查的结果。

2014年9月4日，门罗币（Monero）加密货币网络遭受了一次非同寻常的新型攻击。此次攻击将网络分割成两个互不承认对方合法性的子集。这造成了诸多影响，其中一些影响尚未完全显现。例如，攻击者可以利用短暂的时间窗口进行伪造操作。本研究简报描述了CryptoNote参考代码中导致此次攻击的缺陷，阐述了Tigusoft.pl的Rafal Freeman最初提出的解决方案以及CryptoNote团队随后提出的解决方案，介绍了门罗币代码库中当前的修复方案，并详细阐述了攻击区块对网络的具体影响。本研究简报未经同行评审，仅反映了内部调查结果。

本研究简报描述了一种针对基于环签名的匿名系统的潜在攻击。我们以加密货币协议 CryptoNote 2.0 为例，该协议据称由 Nicolas van Saberhagen 于 2012 年发布。此前已有研究表明，用于掩盖一次性密钥对的不可追踪性取决于构成该环签名的所有密钥的不可追踪性。这使得环签名之间可能出现可追踪性的链式反应，如果参数选择不当，且攻击者控制了足够比例的网络，则可能导致整个网络的不可追踪性严重下降。然而，这些签名仍然是一次性的，任何此类攻击也未必会破坏用户的匿名性。但是，这种攻击可能会削弱 CryptoNote 对区块链分析的抵抗力。本研究简报未经同行评审，仅反映了内部调查的结果。

本文并非旨在提供财务建议；它是数学家在深入研究代码之前对白皮书所做的解读。