交易隱私是零知識證明的一個應用方向。除了通過公鏈或者側鏈實現交易的發送方 接收方以及金額隱藏外，Mixer，江湖人稱混幣，是在已有公鏈上
交易隱私是零知識證明的一個應用方向。除了通過公鏈或者側鏈實現交易的發送方/接收方以及金額隱藏外，Mixer，江湖人稱“混幣”，是在已有公鏈上實現交易的發送方的隱藏(匿名)。Mixer，就是將一些賬戶的資金“混”在一起，由公開的第三方代替發送方發起轉賬。這個第三方，被稱為Mixer或者Relayer。本文分析以太坊上的三個Mixer項目的設計和性能。
1. MicroMix
MicroMix的源代碼Github地址：https://github.com/weijiekoh/mixer。核心邏輯實現在contracts/solidity/Mixer.sol文件中。
MicroMix在Semaphore項目之上，提供混幣服務，整個框架如下：
整個MicroMix生態存在三種角色：發送方，接收方以及Relayer。使用MicroMix，需要兩個步驟：1)Deposit(存錢)2)Mix(提錢)。
1.1 Deposit
在使用Mixer服務之前，發送方需要Deposit(存入)固定數量的代幣(ETH或者ERC20代幣)。Deposit同時要求發送方生成Semaphore對應的Identity。也就是說，每“混”一筆交易，發送方需要創建一個Identity。
1.2 Mix
Mix接口實現”提錢“的功能。Mix接口由“Relayer”(中繼)調用，而不是由發送方調用。因為每個Identity在external nullfier不變的情況下，能且只能發送一次Signal，從而保證每筆存入的代幣都能Mix。每個需要“提錢”的賬戶，提供Identity的證明給Relayer，同時在Signal中指定Relayer，接收方以及費用，從而Relayer可以發起交易，調用Mix接口轉賬給接收方。
也就是說，可以存在多個Relayer，Relayer通過提供mix的服務，“代替”發送方，向接收方發起轉賬，同時賺取服務費。每筆mix服務的服務費可以由發送方指定。
1.3 性能
MicroMix使用Semaphore構建了20層的Identity的Merkle樹。Deposit大約消耗110w的GAS，Mix大約消耗77w的GAS費用(主要是zkSNARK的驗證)。
2. Tornado Mixer
Tornado Mixer的源代碼地址：https://github.com/peppersec/tornado-mixer。Tornado Mixer的核心邏輯在contracts/Mixer.sol文件中：一個是deposit函數，一個是withdraw函數。Tonado Mixer的框架如下圖：
大體邏輯和MicroMix類似，發送方(Sender)首先向智能合約轉賬(固定金額)，并在智能合約上創建commitment。接下來，發送方(Sender)將零知識證明發送給Mixer，Mixer確認證明后，通過withdraw函數向接收方轉賬。
2.1 Commitment Merkle樹
所有的Commitment在智能合約中組織成一個Merkle樹：
葉子節點的計算采用Pedersen Hash算法，中間節點采用MiMC Hash算法。整個樹高為16。也就是說，Tornado Mixer一個智能合約，支持2^16次轉賬。
2.2 性能
Commitment Merkle樹高為16。Deposit函數大約消耗88.8w的GAS，Withdraw函數大約消耗69.2w的GAS。證明電路的Contraint為22617。生成一次證明的時間大約為6.1秒。
3. Hopper
Hopper的源代碼地址：https://github.com/argentlabs/hopper。Hopper的核心邏輯在solidity/contracts/Mixer.sol中：一個是commit函數，一個是withdraw函數。大體思路和Tornado Mixer一致，不再詳細描述。相比較其他兩個項目，Hopper有個明顯的特色，實現了手機端的Mixer的功能。
3.1 Commitment Merkle樹
從安全性角度考慮，葉子節點仍然采用sha256的計算。但是，為了降低證明電路的大小，中間節點采用MiMC Hash算法。Commitment Merkle樹高為15。也就是說，Hopper一個智能合約，支持2^15=32768次轉賬。
3.2 性能
Commitment Merkle樹高為15。GAS消耗和生成證明的時間沒有實測。從理論上計算，GAS消耗會比Tornado Mixer略低一些，生成時間會比Tornado Mixer高。
總結：Mixer，混幣，是零知識證明的一種應用，隱藏轉賬的發送方。目前，在以太坊上的Mixer實現的思路大體一致：發送方，首先轉賬固定金額給智能合約，同時提交的Commitment構造上一棵Merkle樹。需要轉賬時，發送方鏈下將零知識證明的信息發送給Mixer或者Relayer。Mixer或者Relayer，將證明相關信息提交到智能合約。智能合約驗證后轉賬給接收方。Mixer或者Relayer賺取一定的服務費。（Star Li）
