第一章 2009年的神秘礼物：比特币与区块链的诞生 / Chapter 1: The Mysterious Gift of 2009: The Birth of Bitcoin and Blockchain

2008年11月的赫尔辛基已经飘起了细碎的雪，26岁的芬兰留学生中本聪（Satoshi Nakamoto）坐在出租屋的电脑前，刚给密码学邮件组（Cryptography Mailing List）发完那篇不足10页的白皮书，就关掉了聊天窗口。他或许没想到，这份被当时大多数人当成“又一个电子现金骗局”的文件，会在十几年后搅动全球金融、科技、社会治理的每一个角落，而那个被他命名为“比特币”的系统，会催生出后来被称为“区块链”的全新技术范式。

要读懂这份2009年才落地的“神秘礼物”，得先回到它诞生的前夜——2008年全球金融危机的至暗时刻。那一年9月15日，拥有158年历史的华尔街投行雷曼兄弟（Lehman Brothers）宣布破产，其持有的超过6000亿美元的有毒资产（Toxic Assets）瞬间在全球金融市场引爆海啸。美国政府随后推出的7000亿美元不良资产救助计划（TARP），本质上是拿普通纳税人的钱，去填华尔街金融精英们捅出的篓子。而就在雷曼破产前一周，高盛、摩根士丹利等投行的高管们刚刚领到了超过180亿美元的年终奖金——那些后来被证明是“用未来几代人的债务换来的”真金白银。那段时间，美国的失业率从2007年的5%飙升至2009年的10%，超过800万家庭失去房屋赎回权，街头到处都是止赎（Foreclosure）的牌子；而在地球另一端的中国，很多人的父母辈突然发现，存在银行里的存款购买力一年缩水了快10%，股市从6124点的高峰跌到1664点，蒸发了超过20万亿市值。那时候全球普通人的共同感受是：我们信任的中心化金融机构，根本靠不住。

其实早在1992年，一群密码学家、黑客、自由主义者在旧金山成立“密码朋克（Cypherpunk）”邮件组时，就已经开始探讨“用技术对抗中心化权力对隐私和财富的侵蚀”的可能性。他们提出过一个核心主张：如果一件事不能公开，就不能信任；如果一件事不能由个人掌控，就不属于你。在随后的20年里，密码朋克社区尝试过几乎所有你能想到的电子现金方案：密码学之父大卫·乔姆（David Chaum）在1990年推出的DigiCash，用盲签名技术保护交易隐私，但因为必须依赖中心化的银行做清算，最终在1998年破产；亚当·贝克（Adam Back）在1997年提出的哈希现金（Hashcash），用工作量证明（Proof of Work, PoW）机制对抗垃圾邮件，但没被用到支付场景；密码朋克元老哈尔·芬尼（Hal Finney）在2004年推出的可重复工作量证明系统（Reusable Proof of Work, RPOW），已经接近比特币的核心逻辑，但还是需要中心化的服务器做交易验证。这些尝试的失败都有一个共同的原因：它们始终离不开一个中心化的中介机构，而只要中介存在，就永远会有作恶、被攻击、垄断的可能。

2008年10月31日，中本聪将一篇题为《比特币：一种点对点的电子现金系统》（*Bitcoin: A Peer-to-Peer Electronic Cash System*）的白皮书，发到了密码学邮件组的收件箱里。这篇白皮书的开头只有一句直白的英文：“A purely peer-to-peer version of electronic cash would allow online payments to be sent directly from one party to another without going through a financial institution.”（纯粹的端对端电子现金系统，可以让在线支付直接从一方发送到另一方，而无需经过金融机构。）当时的邮件组里已经有太多类似的“电子现金乌托邦”提案，大多数人只是扫了一眼标题就划走了，只有少数几个人读完了全文，然后意识到：这次好像真的不一样。

白皮书里只提出了5个核心创新点，却刚好击中了之前所有电子现金方案的死穴：第一，用点对点（Peer-to-Peer, P2P）网络替代中心化服务器，所有节点共同维护账本，没有单点故障；第二，用时间戳服务器给每一笔交易打上不可篡改的时间标记，避免双花问题（Double-Spending Problem）；第三，用工作量证明机制分配记账权，让作恶的成本远高于收益；第四，最长链原则：全网只承认最长的那条区块链为有效账本，避免分叉后的混乱；第五，交易不需要第三方中介，只要用密码学签名就能完成，隐私性由非对称加密保证。

这里要先给初学者解释一个之前所有电子现金都绕不开的“死穴”——双花问题。想象你有一张10美元的纸币，你把它付给便利店的老板买了水，这10美元就归老板了，你不可能同时把它再付给另一个人买烟，这就是“现金不会双花”。但电子现金不一样：它本质上是一串数字，你发给A的同时，手里还留着一模一样的副本，再发给B，A和B都收到了，那这笔钱到底算谁的？之前的中心化方案是靠一个“大账本”，比如支付宝，所有交易都记在支付宝的服务器里，你转给A之后，支付宝把你的余额扣了，你就不能再转给B了——但问题是，这个“大账本”完全由支付宝控制，如果支付宝被黑客攻击（比如2014年支付宝被曝出漏洞，可盗刷用户余额），或者支付宝自己作恶（比如2022年河南村镇银行事件中，部分银行通过虚构存款项目侵吞用户资金），你的钱随时可能消失。更极端的例子是2011年上线的比特币交易所Mt.Gox，它曾经占据了全球70%的比特币交易量，但因为把所有用户的比特币都存在自己的中心化服务器里，2014年突然宣布被盗85万比特币，最终破产，无数用户的血汗钱一夜之间化为乌有。而比特币要解决的，就是“在没有中心化中介的情况下，怎么保证一笔钱不会被花两次”。

中本聪的解决方案其实 elegant（优雅）得惊人：他设计了一个所有人都可以加入的P2P网络，每个加入网络的节点都会下载一份完整的区块链副本，每一笔交易都会广播给全网所有节点，大家一起记账。如果有人想同时把同一笔钱花给两个人，全网节点会立刻发现这个矛盾，两笔交易都不会被承认，自然就避免了双花。而为了让所有人都愿意诚实地记账，而不是作恶改账，中本聪引入了工作量证明机制：想要获得记账权，矿工必须投入算力解决一道数学题，第一个解出题的矿工可以把最近10分钟内的所有交易打包成一个“区块”，广播给全网，其他节点验证没问题之后，就会把这个区块加到自己的区块链末尾，然后开始解下一个区块的题。作为奖励，第一个挖出区块的矿工可以获得一定数量的新比特币，这就是比特币的发行机制。

这里可以用个通俗的比喻帮你理解工作量证明：想象全班50个同学一起记零食账，每一页账就是一个区块，每10分钟大家就一起扔一次骰子，谁先扔出连续10个“6”，谁就有权把这一页账写好，抄完给大家传阅，大家确认没问题之后，就把这一页贴在自己的笔记本上，然后开始扔下一轮的骰子。扔的次数越多（算力越高），中奖的概率就越高，而作为奖励，老师会给中奖的同学发几块糖（比特币区块奖励）。如果有人想改自己笔记本里的账，比如把自己欠的3包辣条改成0，那他得偷偷把全班50个人的笔记本都改了，而且还要改他后面所有页的记录，不然别人一比对最后一笔的内容，就知道他改了。而全班50个人里，有超过25个人会立刻发现他的笔记本和其他人的不一样，直接把他改过的页撕掉，换成和大家一致的内容。而且改账的成本极高：你得比全班一半以上的人扔骰子的速度还快，还要把后面所有的页都重新扔一遍，花的时间和精力远超过你改账能得到的收益，所以根本没人会这么做。

哈希函数是支撑这个机制的核心密码学工具，它是一种单向加密函数，输入任意长度的内容，输出的哈希值长度固定，比如SHA-256算法输出的哈希值永远是256位二进制，对应64位十六进制字符。你可以把哈希函数理解成一个“数字粉碎机”：进去任何内容，出来的都是一串固定长度的唯一指纹，而且你不可能从指纹反推出原来的内容是什么，也不可能找到两个不同的内容能生成相同的哈希值（碰撞概率极低，SHA-256的碰撞概率约为$2^{-128}$，比中头奖彩票的概率还低）。每个区块的区块头里就包含了前一个区块的哈希值，只要前一个区块的内容改了一点点，它的哈希值就会完全变化，后面的区块因为包含了前一个区块的哈希值，也会全部失效，所以篡改的成本会随着区块的增加呈指数级上升。

2009年1月3日，中本聪在芬兰赫尔辛基的一台普通Intel酷睿2双核台式机上，挖出了比特币的第一个区块——创世块（Genesis Block）。这个区块的区块高度是0，里面只有一笔特殊的“硬币base交易（Coinbase Transaction）”：中本聪给自己转了50个比特币的区块奖励，除此之外，还有一行被他特意嵌入区块头的铭文（Inscription）：“The Times 03/Jan/2009 Chancellor on brink of second bailout for banks”（《泰晤士报》2009年1月3日 财政大臣正处于实施第二轮银行救助的边缘）。这行字不是随便写进去的，它是中本聪写给全世界的一封公开信：就在这个区块诞生的同一天，《泰晤士报》头版头条

就在这个区块诞生的同一天，《泰晤士报》头版头条的标题正是中本聪嵌入的那句“Chancellor on brink of second bailout for banks”（财政大臣正处于实施第二轮银行救助的边缘）——这行只有40个字符的铭文，既是中本聪给当时全球金融混乱状况盖下的时间戳，也是他给所有质疑者递出的第一张名片：这个系统不是凭空想象出来的乌托邦，它的诞生本身就是对2008年金融危机最直接的技术回应。而真正让这个系统从代码变成现实的，是9天之后的那笔转账。

2009年1月12日，比特币网络运行的第9天，中本聪向当时著名的密码学家、密码朋克元老哈尔·芬尼（Hal Finney）发送了10个比特币，这是比特币历史上第一笔点对点转账交易。这笔交易的哈希值为`a1075db55d416d3ca199f55b6084e2115b9345e16c5cf302fc80e9d5fbf5d48d`，至今仍可以在任何区块链浏览器上查到完整细节：发送地址是中本聪的地址，接收地址是芬尼的RPOW（可重复工作量证明）系统地址，交易被包含在第2个区块中，确认数超过60万，从未被篡改。芬尼在收到转账后，第一时间在密码朋克邮件组里发帖：“收到了中本聪的10个比特币，正在测试转账功能，目前看起来运行良好。”当时他可能不会想到，这10个比特币在2024年的价值已经超过60万美元，而更让人唏嘘的是，这位比特币最早的布道者、除了中本聪之外第一个运行比特币客户端的人，在2014年因渐冻症（ALS）去世，他生前从未卖出过任何比特币，始终相信这个系统会改变世界。

要理解比特币和区块链到底解决了什么问题，我们得先回到那个所有早期电子现金都绕不开的死穴——双花问题（Double-Spending Problem）。我们可以用一个最简单的例子说明：假设你有一张100美元的纸币，你把它付给便利店老板买了水，这张纸币就归老板了，你不可能同时把它再付给另一个人买烟，这就是现金的“不可双花”属性。但电子现金的本质是一串数字，你转给A的同时，自己手里还留着一模一样的副本，再转给B，A和B都收到了，这笔钱到底算谁的？

在比特币出现之前，所有电子现金方案都只能靠“中心化中介”解决这个问题：比如你用支付宝转账，支付宝的服务器里存着所有人的余额记录，你转给A之后，支付宝把你的余额扣掉，你就不能再转给B了。但中心化中介的问题显而易见：第一，它存在单点故障，一旦服务器被黑客攻击，所有用户的资金都可能被盗，2014年全球最大的比特币交易所Mt.Gox被盗85万比特币、最终破产的案例就是典型——它当时占据了全球70%的比特币交易量，但所有用户的比特币都存在自己的中心化服务器里，被黑客攻击后一夜蒸发，无数用户的血汗钱化为乌有；第二，中介本身可能作恶，比如2022年河南村镇银行事件中，部分银行通过虚构存款项目侵吞用户资金，超过40万储户的400多亿存款无法取出；第三，中介可能被权力干预，

比如2022年俄乌冲突爆发后，美国联合欧盟将俄罗斯多家主要银行从SWIFT（环球银行金融电信协会）系统中剔除，直接导致俄罗斯的跨境支付体系陷入瘫痪：普通俄罗斯人哪怕账户里有美元、欧元，也没法转到海外支付学费、买药、付房租，甚至连国际信用卡都无法使用。这种中心化支付系统被政治权力随意干预的案例，把之前所有理论上的“中心化风险”直接摆到了全球普通人面前：你的财富从来不属于你，属于控制系统的权力方。而比特币的P2P网络从设计之初就没有中心化的管理者，没有服务器可以被关闭，没有账户可以被冻结——只要你能连上互联网，不管你在哪个国家、持有什么立场，都能自由收发比特币，没人能剥夺你的这个权利。这种“抗审查、抗干预”的属性，正是比特币在诞生之初就吸引大量自由主义者和技术爱好者的核心原因。

解决了双花问题、绕过了中心化中介之后，中本聪的比特币系统本质上就是一个所有人共同维护的公共账本（Public Ledger）。我们可以用更贴近生活的类比来理解它：假设你们小区的业主们不想再让物业公司管公共收益账（比如电梯广告费、公共场地租金），怕物业做假账、吞钱，于是大家商量出一个办法：每赚一笔钱，就广播给所有业主，每个业主都在自己的笔记本上记下来，每个月大家把各自的笔记本拿出来比对，只要超过一半的业主的记录一致，就认定是有效账本。如果有人偷偷改自己的笔记本，把“物业吞了10万广告费”改成“物业没吞钱”，其他业主一比对就会发现他的记录和大家不一样，直接把他改过的页撕掉，换成和大家一致的内容。而且改账的人要改所有人的笔记本，还要改后面所有的记录，成本高到根本划不来，最后大家都会选择诚实地记账。这个所有人都有一模一样副本、共同维护、改账成本极高的账本，就是区块链最核心的本质。

而“区块”和“链”的组合，就是这个公共账本的装订方式：每10分钟，大家把最近这段时间的所有交易打包成一页纸，这就是一个“区块（Block）”；每一页纸的最开头都印着上一页纸的唯一指纹（前一个区块的哈希值），一页扣着一页，装订成一本永远撕不烂、改不了的账本，这就是“区块链（Blockchain）”。你可以把区块链理解成一个“分布式的、不可篡改的、所有人共同维护的数据库”，它的核心价值不是“存数据”，而是“在没有中心化权威的情况下，让所有互不信任的人对数据的内容达成共识”。

创世块：写在区块链上的第一行字

2009年1月3日，中本聪在芬兰赫尔辛基的一台普通Intel酷睿2双核台式机上，运行着他自己编写的比特币客户端，挖出了比特币网络的第一个区块——创世块（Genesis Block）。这个区块的区块高度为0，是整个比特币区块链的起点，它的具体参数至今仍被所有比特币节点保存着：

• 版本号（Version）：1，对应比特币最初的核心协议版本；
• 父区块哈希（Previous Block Hash）：全0，因为它是第一个区块，没有前一个区块；
• 默克尔根（Merkle Root）：`4a5e1e4baab89f3a32518a88c31bc87f618f76673e2cc77ab2127b7afdeda33b`，是这个区块内所有交易的哈希指纹汇总值，只要区块内任何一笔交易的内容发生变化，这个值就会完全不同；
• 时间戳（Timestamp）：`1231006505`，对应Unix时间戳格式的2009年1月3日18:15:05 GMT，证明这个区块是在这个时间点之前被生成；
• 难度目标（Bits）：`1d00ffff`，对应初始挖矿难度1，保证普通CPU也能挖到矿；
• 随机数（Nonce）：`2083236893`，是矿工为了找到符合难度目标的哈希值不断尝试的随机数，中本聪尝试了大概30亿次才找到这个有效的nonce。

创世块里只包含一笔特殊的“铸币交易（Coinbase Transaction）”：没有发送方，是中本聪作为第一个矿工获得的区块奖励，总共50个比特币。除此之外，中本聪还特意在这笔交易的脚本里嵌入了40个字符的铭文：“The Times 03/Jan/2009 Chancellor on brink of second bailout for banks”（《泰晤士报》2009年1月3日 财政大臣正处于实施第二轮银行救助的边缘）。这行字不是随意写进去的，它是中本聪给全世界的第一封公开信：就在创世块诞生的同一天，《泰晤士报》头版头条的标题正是这句话——这个系统的诞生，本身就是对2008年金融危机中中心化金融机构滥发救助、牺牲普通纳税人利益的最直接技术回应。这行铭文也成为了区块链上第一个永久保存的人类文字记录，至今仍被所有比特币节点完整保存，没有任何人能修改它。

> 📖 纸书注：创世块的完整参数可参考本书附录A《比特币核心参数对照表》，电子版读者可点击[此处](https://www.blockchain.com/explorer/blocks/btc/0)查看创世块的实时浏览器数据，验证所有参数的准确性。

第一笔转账：从代码到现实

创世块挖出后的第9天，2009年1月12日，比特币网络完成了历史上第一笔点对点转账交易：中本聪向当时著名的密码学家、密码朋克元老哈尔·芬尼（Hal Finney）发送了10个比特币。这笔交易的哈希值为`a1075db55d416d3ca199f55b6084e2115b9345e16c5cf302fc80e9d5fbf5d48d`，至今仍可以在任何区块链浏览器上查到完整细节：发送地址是中本聪的地址，接收地址是芬尼的可重复工作量证明（RPOW）系统地址，交易被包含在第2个区块中，确认数超过62万，从未被篡改。

芬尼在收到转账后，第一时间在密码朋克邮件组里发帖：“收到了中本聪的10个比特币，正在测试转账功能，目前看起来运行良好。”当时他可能不会想到，这10个比特币在2024年的价值已经超过600万美元，而更让人唏嘘的是，这位比特币最早的布道者、除了中本聪之外第一个运行比特币客户端的人，在2014年因渐冻症（ALS）去世，他生前从未卖出过任何比特币，始终相信这个系统会改变世界。至今仍有比特币社区的用户会在每年1月12日发起“芬尼日”活动，向彼此转账10比特币，纪念这位最早的比特币使用者。

这第一笔转账的意义远超交易本身：它证明了中本聪在白皮书里描述的所有功能都是真实可用的——点对点转账不需要中介，交易可以被全网验证，双花问题真的被解决了。比特币从一行行代码，变成了真正可以流通的数字资产。

区块链的三大核心特性：为什么它不可篡改、值得信任？

要理解区块链为什么能解决传统中心化系统解决不了的问题，我们需要搞懂它的三大核心特性，每一个特性都有对应的密码学和经济学支撑，不是空泛的技术概念：

1. 去中心化（Decentralization）：没有单点故障，没有单一控制者

比特币的P2P网络没有中心服务器，全球有超过1万个全节点（Full Node）运行着比特币客户端，每个节点都保存着一份完整的、一模一样的区块链副本。哪怕全球99%的节点同时被摧毁，只要剩下1个节点存着完整的区块链，整个网络就能正常运行，所有交易记录都不会丢失