工作量证明：挖矿与难度调整

工作量证明（PoW）要求区块生产者执行计算成本高昂的任务才能添加区块。这可以遏制垃圾信息，并提高重写区块链的成本。验证证明的成本很低，只需计算一次哈希。完成工作则需要进行大量哈希计算。

比特币 PoW：找到一个随机数，使 SHA256d(block_header) < target。target 是一个 256 位数字。target 越小，哈希输出中所需的前导零就越多，因此有效随机数越少，也越难找到。

import hashlib def mine(data, difficulty): target = "0"*difficulty nonce = 0 while True: h = hashlib.sha256(f"{data}{nonce}".encode()).hexdigest() if h.startswith(target): return nonce, h nonce += 1 nonce, h = mine("block data", 4) print(nonce, h) # hash starts with "0000"

比特币区块头包含一个 bits 字段，用于编码当前 target。Target = coefficient * 256^(exponent-3)。示例：bits=0x1703a30c → target = 0x03a30c * 2^(8*(0x17-3)) = 一个需要约 72 个前导零比特的 256 位数字。

比特币每 2016 个区块（约 2 周）调整一次难度。Target 调整公式：new_target = old_target * (actual_time / 2016 * 10 minutes)。如果区块生成速度快于平均 10 分钟，target 就会降低（难度增加）；如果速度较慢，target 就会升高（难度降低）。这样可以维持约 10 分钟的区块生成时间。

网络哈希率（H/s）衡量总挖矿能力。哈希率越高，在单位时间内随机找到有效随机数的概率就越小。要重写 k 个区块，攻击者需要持续拥有超过网络总哈希率 50% 的算力，持续时间与 k*10 minutes 成正比。

拥有超过 50% 的哈希率时，攻击者可以：(1) 挖掘一条秘密分叉链，(2) 包含或排除交易，(3) 在一笔支付确认后发布更长的链来进行双重支付。攻击者不能：窃取他人的代币、凭空创造代币，或撤销链中已经很深的交易。

比特币的 SHA256d 挖矿由 ASIC（专用集成电路）主导——这类芯片针对单一哈希函数进行了优化。ASIC 的效率比 CPU 高 10^6 倍。这会使挖矿集中到大型数据中心，引发对中心化的担忧。

Ethereum 曾使用 Ethash（现已弃用）——一种需要大型 DAG 数据集的内存硬型 PoW。内存硬性可以抵抗 ASIC（内存带宽很难以低成本进行优化）。Monero 使用 RandomX（针对 CPU 优化、抗 ASIC）。Zcash 使用 Equihash（内存硬型）。

自私挖矿策略：隐藏已经找到的区块，继续挖掘第二个区块，然后同时发布两个区块。如果时机掌握得当，诚实矿工会在最终成为孤块的区块上浪费工作量。要在平均意义上获利，只需要约 33% 的哈希率，而不是 51%。

权益证明（PoS，Ethereum 在合并升级后采用）用质押的加密货币取代哈希计算工作。验证者会按照其质押量的比例被选中来提出区块。PoS 的能耗比 PoW 低 99.95%。代价是需要采用不同的信任假设和攻击经济模型。

PoW 要求找到一个随机数，使 SHA256d(header) < target。难度每 2016 个区块调整一次。拥有 51% 的哈希率即可发起双重支付攻击。ASIC 主导着比特币挖矿；内存硬型函数可以抵抗 ASIC。下一节：比特币脚本与 UTXO 签名。