可验证延迟函数（VDF）

什么是可验证延迟函数（VDF）？

可验证延迟函数（VDF）是一种密码学函数：其计算需要可预测的连续时间，但任何人都可以快速验证结果。

在加密货币领域，VDF 可证明输出产生前确实经过了特定延迟。Boneh、Bonneau、Bünz 和 Fisch 的原始可验证延迟函数论文指出，VDF 需要执行指定数量的连续步骤才能求值，但会生成可高效公开验证的唯一输出。

这与普通哈希不同：普通哈希通常可由多台机器快速并行计算。VDF 的设计目标是，即使攻击者拥有大量计算机，也无法轻易跳过等待时间。其核心在于连续性：每一步都依赖前一步，因此增加机器数量不应显著加快计算。

对新手而言，VDF 可以理解为一种创建可公开验证等待期的加密工具。

为什么 VDF 对加密货币很重要

区块链通常需要公平计时、无偏随机性以及抗操纵排序，因此 VDF 很重要。区块链上的随机性较难实现，因为所有节点都必须对同一结果达成共识。

如果随机性可以被过早预测或影响，验证者、矿工、机器人或内部人士可能获得不公平优势。VDF 可将最终输出延后至参与者已提交操作之后，从而减少领导者选举、委员会选择、抽奖、NFT 铸造、游戏结果、公平排序和随机数信标中的操纵。

VDF 也与时空证明系统相关：此类系统需要证明在作出存储承诺后已经过时间。官方Chia 时间证明文档将 VDF 描述为：证明连续函数已执行指定次数的证明。

这说明 VDF 不仅是理论概念，也有实际区块链设计应用；不过其仍较复杂，尚未被所有网络广泛采用。

VDF 的工作原理

VDF 通常包含三个核心部分：

第一部分是设置，用于定义公开参数和延迟目标。第二部分是求值，即接收输入并执行无法有效并行化的一系列操作。第三部分是验证，即无需重复完整的缓慢计算便可检查输出是否正确。

缓慢求值与快速验证之间的差异是 VDF 的核心价值。证明者花时间计算结果，验证者则高效验证结果。在区块链系统中，这意味着许多节点可验证证明，而无需全部耗费相同时间。

实用的 VDF 应足够慢以形成真实延迟，同时验证成本也应低到可大规模使用。若验证成本过高，VDF 将不适用于区块链。

VDF 的核心属性

安全的 VDF 应具有连续计算特性，即目前已知最快计算方式仍需逐步完成工作；应具备高效验证性，使任何人都能远快于从头计算的速度验证结果；还应产生唯一输出，即给定输入只能对应一个有效输出。

唯一性可防止证明者在多个可能输出中任意选择。安全的 VDF 还应抵抗并行加速，攻击者不能仅靠购买数千台机器便大幅提前完成计算。

实用 VDF 还需要明确参数。延迟过短时，攻击者可能借助更快硬件获得优势；延迟过长时，系统可能变慢且影响使用体验。

VDF 与 VRF 的区别

VDF 不同于可验证随机函数（VRF）。VRF 会根据私钥和输入生成伪随机输出及证明。官方Chainlink VRF 文档将 VRF 描述为可证明公平、可验证的随机数生成器，使智能合约能够访问随机值。

当系统需要来自已知密码学来源的可验证随机性时，VRF 很有用；当系统需要难以跳过的延迟时，VDF 很有用。VRF 侧重可验证随机性，VDF 侧重可验证时间延迟。

二者也可以结合使用。例如，协议可使用 VRF 或承诺-揭示机制生成输入，再将输入传入 VDF 以减少操纵。由于参与者在承诺时无法立即知道最终结果，这种组合可能使随机性更难被施加偏向。

VDF 与工作量证明的区别

VDF 也不同于工作量证明（PoW）。工作量证明通常可以并行化，因为许多矿工能够同时尝试不同哈希；因此 PoW 挖矿会奖励在众多并行尝试中最先找到有效解的人。

VDF 则旨在保持连续性，增加硬件不应以同等幅度缩短延迟。PoW 证明已投入计算工作量；VDF 证明已经过一定的连续延迟。PoW 常用于共识和区块生产，VDF 常被提议用于随机性、计时和公平性。二者都使用计算，但解决的问题不同。

VDF 与时间锁谜题的区别

VDF 与时间锁谜题相关，但并不完全相同。时间锁谜题旨在使秘密或消息只能在完成一定计算量后揭示；VDF 则为延迟输出增加高效的公开验证能力。

这种验证属性对区块链尤为重要，因为大量节点需要快速检查结果。较早的时间锁概念启发了许多 VDF 构造。现代 VDF 研究常采用未知阶群中的重复平方、指数证明或相关数学工具。斯坦福关于 Pietrzak 和 Wesolowski VDF 的综述指出，这些实用 VDF 基于指数证明技术。

简单来说，时间锁谜题创造延迟，而 VDF 创造延迟加高效公开验证。

VDF 与区块链随机性

随机性是 VDF 最重要的区块链应用场景之一。区块链需要随机性来进行验证者选择、委员会分配、领导者选举、NFT 揭示、游戏、抽奖和协议抽样。

但是，如果参与者在看到影响后还能决定披露或隐瞒信息，区块链随机性可能受到攻击，这被称为偏向或最后揭示者操纵。VDF 可通过延迟最终随机输出来缓解该问题。参与者提交种子后，VDF 会在最终随机性公布前创建延迟，从而降低攻击者最后时刻选择有利结果的能力。

以太坊基金会曾研究 VDF 用于随机性，其生态系统支持更新将 VDF 描述为以太坊研究中实现无偏随机性的基础。这并不意味着如今所有地方都会自动使用 VDF，而是说明它是实现更抗操纵随机性的研究路径之一。

VDF 与 Ethereum

Ethereum 曾研究将 VDF 用于随机性，尤其是在早期权益证明和信标链研究中。目前 Ethereum 的验证者选择随机性使用 RANDAO，而非已部署的基于 VDF 的随机数信标。

官方Ethereum 区块提议文档说明，Ethereum 使用 RANDAO 实现验证者选择随机性：它将区块提议者的哈希与每个区块更新的种子混合。

这一区别很重要，因为部分较早的 Ethereum 研究文档讨论了 RANDAO 加 VDF 的设计。这些想法仍有价值，但用户不应认为每个经过研究的 VDF 提案都已在 Ethereum 主网上线。VDF 与 Ethereum 仍相关，因为随机性质量会影响验证者选择、提议者可预测性、MEV 机会、委员会抽样和未来协议设计。

不过，Ethereum 协议变更需要研究、工程实施、审计、客户端实现、测试和社会共识。VDF 概念不等同于已排期的升级。

VDF 与 Chia 时间证明

Chia 是生产环境中使用类似 VDF 时间证明概念的典型区块链之一。Chia 将空间证明与时间证明结合：农民提供存储证明，而 Timelord 则使用 VDF 生成时间证明。

官方Chia Timelord 文档说明，Timelord 会使用 VDF 广播时间证明，以证明自上一次挑战以来已有时间流逝。这种设计将 VDF 用于共识计时，而不仅是外部随机性工具。

其核心理念是：存储证明资源承诺，VDF 证明经过的连续时间。这有助于阻止参与者无需等待便立即生成大量替代历史。VDF 因此常被称为时间证明；它们并非仅通过时钟测量时间，而是证明已执行所需的连续计算。

VDF、Filecoin 与随机数信标

Filecoin 和 Ethereum 基金会也曾合作开展 VDF 研究。官方Filecoin VDF 合作文章介绍了双方围绕 VDF 及其实际挑战开展的联合研究。

Filecoin 尤其相关，因为去中心化存储网络需要难以操纵的随机性、证明和激励机制。不过，Filecoin 当前的公开随机性生态也与 drand 密切相关。官方Filecoin drand 文档说明，drand 被用作 Filecoin 领导者选举的随机数信标。

drand 并不等同于 VDF。Drand 使用分布式门限密码学，按固定间隔生成公开随机性；VDF 则通过连续计算施加延迟并提供可验证输出。二者都可支持随机性设计，但采用不同的安全模型。

随机数信标是在固定间隔输出公开随机值的服务或协议。区块链可将其用于领导者选举、委员会选择、游戏、抽奖、空投、抽样和密码学协议。基于 VDF 的随机数信标可接收种子并延迟最终输出，使任何参与者都无法立即得知或选择结果。

官方drand 文档将 drand 描述为分布式随机数信标，可按固定间隔生成可公开验证、无偏且不可预测的随机值。公开随机性不仅用于游戏，还可能影响谁提议区块、谁获得奖励或 NFT、谁被选入委员会，以及谁能够利用 MEV。因此，随机性设计既是安全问题，也不只是便利功能。

VDF 与 MEV、公平排序

MEV 指最大可提取价值（Maximal Extractable Value），即通过排序、纳入、排除或重新排序交易可获得的价值。可预测的随机性和排序可能让复杂参与者获益；若验证者或搜索者能比其他人更早得知未来随机性，可能据此获利。

VDF 可通过强制所有人等待最终输出，减少某些形式的早期信息优势，但其本身无法消除 MEV。MEV 还取决于交易排序、区块构建、私有内存池、延迟、流动性、预言机更新和协议规则。VDF 只是减少依赖随机性系统中操纵的一种工具，并非完整 MEV 解决方案。

公平排序是指以减少不公平排序优势的方式安排交易或操作。在去中心化交易所、NFT 铸造、拍卖和游戏中，排序可能显著影响结果。若某方能看到待处理操作并抢先行动，用户可能遭遇抢跑或操纵。

VDF 可通过在承诺锁定后再揭示特定信息，支持更公平的设计。例如，用户可先提交承诺，之后由 VDF 输出确定排序或揭示结果。这会使参与者更难在看到其他用户操作后立即调整策略。

不过，公平排序是广泛问题，可能还需要加密内存池、门限加密、承诺-揭示方案、批量拍卖、提议者-构建者分离及治理规则。VDF 可帮助解决计时问题，但无法单独解决所有排序问题。

VDF 与 NFT 揭示、链上游戏及时间锁加密

当 NFT 系列希望在铸造后公平分配特征时，VDF 很有用。若揭示随机性可被创作者、矿工、验证者或最后一名参与者影响，稀有 NFT 可能被不公平分配。VDF 可延迟最终随机性，使任何人在铸造时都无法立即知道揭示结果；若与良好的承诺-揭示流程结合，可能支持更公平的特征分配。

但 VDF 不是万能的公平工具。NFT 合约仍需正确代码、透明的元数据处理、固定供应规则和可信揭示逻辑。若 VDF 输出后元数据仍可更改，公平性优势可能消失；若项目团队可手动修改特征，VDF 可能只会制造虚假的安全感。

链上游戏通常需要用于战斗、战利品掉落、地图生成、匹配、抽卡及奖励的随机性。VDF 可帮助游戏获得玩家无法提前知晓的延迟随机性，例如玩家先提交操作，再由延迟随机值决定结果。不过，游戏还要考虑速度和体验，对验证者选择可接受的 VDF 延迟，可能对快节奏游戏过慢。设计者必须平衡公平性、延迟、成本和玩家体验；在很多情况下，也可能使用 VRF、承诺-揭示系统或链下游戏服务器。

时间锁加密可让数据保持加密状态，直至未来某个时间或事件。VDF 可支持该思路，因为它使得在延迟结束前难以计算与解密相关的值。它可用于密封竞价拍卖、延迟治理揭示、公平发行、私密承诺和分阶段披露。

Drand 也通过不同设计支持时间锁加密。官方drand 时间锁加密文档说明，其方案使用未来轮次的随机值加密数据。并非每个时间锁系统都使用 VDF：部分依赖分布式随机性网络，其他则依赖连续计算；共同目标都是延迟信息访问。

VDF 构造方法、硬件与经济安全

许多实用 VDF 设计采用未知阶群中的重复平方。这意味着求值者会在数学群中反复对一个值进行平方，而没有任何一方知道基于群阶的捷径。Pietrzak 和 Wesolowski VDF 是两种重要的、基于指数证明的方法。Wesolowski 高效 VDF 论文构造了一种 VDF：求值需要给定数量的连续步骤，但结果可被高效验证。

其他研究还涉及类群、RSA 群、可信设置问题、证明大小、验证成本和硬件加速。这些细节虽具技术性，但区块链系统同时需要安全性和实用性。理论上优雅的 VDF 仍可能成本过高、速度过慢，或难以安全设置参数。

硬件对 VDF 非常重要，因为延迟取决于最佳可用机器计算连续函数的速度。若攻击者拥有远快于其他人的硬件，便可能提前完成 VDF 并获得优势。因此，参数选择很困难：对普通硬件而言看似安全的延迟，面对专用硬件可能并不安全。部分研究已探索定制硬件和 ASIC 设计。官方VDF Research 网站汇集了有关 VDF、硬件设计及相关密码学工作的研究。

硬件不确定性是高价值区块链系统中部署 VDF 困难的原因之一。若奖励足够高，协议必须假设攻击者可能投资更快设备。这不仅是密码学问题，也是经济安全问题。安全 VDF 必须在数学上和经济上都难以被绕过。

经济安全意味着 VDF 延迟必须能抵御愿意花钱获取优势的攻击者。攻击者可能因 MEV、验证者选择、NFT 特征操纵、拍卖结果、抽奖奖励或治理时机而购买专用硬件。有关基于 VDF 的随机数信标经济安全的近期论文认为，VDF 延迟参数应考虑理性攻击者、硬件加速、运营成本和奖励激增。

VDF 在密码学上可以是连续的，但若抢先完成延迟的奖励过高，其经济安全性仍可能很弱。协议不应仅以平均硬件性能选择参数，还应考虑攻击者更快完成计算能获得多少收益。加密货币安全必须同时考虑激励和数学。

VDF 的优势

VDF 的第一项优势是可验证延迟：任何人都能确认输出有效，而无需重新计算完整延迟。第二项优势是抵抗并行捷径；设计良好的 VDF 不应仅因攻击者使用多台机器就大幅加速。第三项优势是提升随机性公平性，可减少承诺-揭示或信标系统中的最后行动者偏向。

其他优势包括公开验证，区块链节点、智能合约或用户可验证证明而非信任单一方；基于计时的安全性，即部分协议需要证明在下一步之前已发生特定类似时间的计算；以及对去中心化应用的支持，例如抽奖、游戏、拍卖、NFT 揭示、验证者选择和公平排序。

VDF 的风险与局限

VDF 的主要风险包括实现复杂性、硬件优势、不当参数选择、可信设置、验证成本、虚假营销和威胁覆盖不完整。VDF 是需要谨慎工程实践的高级密码学工具；拥有更快专用硬件的攻击者可能缩短实际延迟；过短的延迟可能无法保护协议，过长则会影响可用性。

某些 VDF 设计需要谨慎处理设置假设。验证成本过高的证明可能不适合链上使用。项目也可能声称使用 VDF，却不说明其实现是否安全、经过审计或是否真正相关。

VDF 可减少计时操纵，但无法修复糟糕的代币经济学、预言机风险、钱包被盗、智能合约漏洞或治理被控制等问题。

关于 VDF 的常见误解

一个常见误解是 VDF 本身会生成随机性。VDF 会延迟并验证计算，但输入种子仍然重要；糟糕的输入随机性仍会导致较弱的输出随机性。

另一个误解是更多计算机总能更快计算 VDF。安全的 VDF 旨在使并行计算无法提供大幅捷径。还有人认为 VDF 等同于 VRF；实际上 VRF 提供可验证伪随机性，而 VDF 提供可验证延迟。

VDF 也不会自动阻止所有 MEV。它们可减少部分围绕延迟随机性的操纵，却无法解决每一种排序或价值提取问题。并且，所有 VDF 提案都不一定已准备好用于生产环境；许多构想仍高度依赖研究，在保护高价值系统前需要谨慎测试。

如何评估使用 VDF 的加密项目

首先检查项目为何需要 VDF。VDF 应解决真实的计时、公平性或随机性问题。接着检查项目是否解释输入来源：只有输入难以被攻击者控制时，延迟函数才有意义。

还应检查 VDF 构造是否已知且经过同行评审，验证是在链上、链下还是通过可信服务完成，验证成本是否对用户和验证者具有可行性，延迟参数是否针对专用硬件有充分依据，以及实现是否经过审计。

还应确认 VDF 输出是否仍可能被管理员密钥、元数据更改、预言机控制或治理决策覆盖。VDF 只是安全协议设计的一部分，周边系统也必须安全。

简单理解 VDF

可验证延迟函数类似密码学计时器：它迫使某人花费真实的连续时间计算输出，输出产生后其他人都可快速检查。这在加密系统需要公平随机性或延迟信息时很有用。

VDF 可帮助防止某个参与者立即得知或选择最终结果，并可支持验证者选择、随机数信标、NFT 揭示、拍卖、游戏和时间证明系统。不过，它不是简单的即插即用功能，而是需要强密码学、正确实现、谨慎参数选择和经济安全分析。

对新手而言，核心原则很简单：VDF 可证明延迟已经发生，但整个协议仍必须安全设计。

FAQ

可验证延迟函数是什么意思？

可验证延迟函数是一种计算需要指定连续时间、但可快速验证的密码学函数。

VDF 代表什么？

VDF 是 Verifiable Delay Function 的缩写。

为什么 VDF 在加密货币中有用？

VDF 可用于延迟随机性、公平领导者选择、时间证明、NFT 揭示、拍卖、游戏和抗操纵协议设计。

VDF 会自行生成随机性吗？

不会。VDF 会延迟和验证计算，但通常需要来自其他随机性或承诺流程的输入种子。

VDF 的主要属性是什么？

其主要属性是计算必须连续且缓慢，而验证应当快速。

VDF 与 VRF 相同吗？

不同。VRF 提供可验证伪随机输出，VDF 提供可验证时间延迟。

VDF 与工作量证明相同吗？

不同。工作量证明可以大规模并行化，而 VDF 旨在抵抗并行加速。

VDF 如何帮助区块链随机性？

它们可延迟最终随机输出，使参与者在看到部分信息后更难对结果施加偏向或操纵。

Ethereum 目前使用 VDF 吗？

Ethereum 曾研究 VDF，但当前验证者选择随机性使用 RANDAO，而非已部署的基于 VDF 的随机数信标。

Chia 使用 VDF 吗？

是。Chia 将基于 VDF 的时间证明概念作为其共识设计的一部分。

VDF 能减少 MEV 吗？

它们可减少部分与随机性相关的操纵，但无法解决所有 MEV 或交易排序问题。

智能合约可以验证 VDF 吗？

部分 VDF 证明可由智能合约验证，但必须考虑验证成本和实现复杂性。

什么是 VDF 证明？

VDF 证明是延迟计算已被正确执行的证据。

为什么 VDF 硬件很重要？

更快的专用设备可能缩短现实中的延迟并造成不公平优势。

什么是 VDF 随机数信标？

它是使用 VDF 在经过可验证延迟后生成公开随机性的系统。

VDF 可用于 NFT 揭示吗？

可以。若与安全的承诺-揭示和元数据流程结合，它们可使 NFT 特征揭示更难被操纵。

VDF 是否已适用于所有区块链的生产环境？

不是。VDF 很强大但复杂，每种应用场景均需仔细审查密码学、经济学和工程因素。

VDF 最大的风险是什么？

最大的风险是认为 VDF 本身足以使协议公平，而输入来源、参数、实现和周边规则仍可能存在弱点。

结论

可验证延迟函数（VDF）是区块链计时、随机性和公平性领域的重要密码学思想。它创建难以跳过且易于验证的延迟，因此适用于协议需要防止参与者过早得知或操纵结果的场景。

VDF 可支持随机数信标、验证者选择、委员会抽样、NFT 揭示、链上游戏、拍卖、公平排序、时间锁系统和时间证明共识设计。区块链具有透明且确定性的特征，这使安全随机性更加困难，也使 VDF 尤其有价值。

不过，VDF 并非万能。它们无法从糟糕输入中创造优质随机性，不能消除所有 MEV 问题，也无法移除智能合约风险。若周边协议存在管理员控制、薄弱元数据规则、不良激励或糟糕实现，VDF 也无法保证公平。

安全的 VDF 系统需要可靠的密码学假设、高效验证、谨慎的延迟参数、了解硬件差异的设计以及经济安全分析。提及 VDF 的项目应明确说明 VDF 的使用方式、接收的输入、计算者和验证者，以及证明延迟或缺失时的处理方式。

对加密用户而言，VDF 可被视为公开的密码学时钟：它证明类似时间的连续工作已在接受下一个结果前完成。正确使用时，这种延迟可使去中心化系统更公平、更难操纵；使用不当时，则可能成为掩盖薄弱协议设计的技术流行语。