附录

A 术语 B 操作与公开 C 票据与消息 D 参数 E 奖励资格 F 线上索引 G 共同地址 H 链上与自主 I 逐章说明 J 隐私名字 K 常见问题

这里是查的时候用的细节，第一次读可以跳过。下面的说法以已存档的线上产品和客户端为准，写着“公开 v1”的数，指公开代码仓库里 v1 版本的数。

A　术语

每个词后面写了它由谁生成、存在哪里：私钥和票据明文在金库里，不上链；写进信封的在比特币区块里，谁都读得到；索引器记的账谁都能从区块重算。

B　每种操作查什么、会公开什么

隐私边界：每一步留下什么

SHORD 藏的是“哪件归谁”和票据之间的联系，不藏比特币交易本身。编号是贯穿始终的公开标识：#N 什么时候被哪个地址买走、什么时候以什么价挂出，都看得到；SHORD 不能证明现在的卖家就是上次的买家，也不能证明不是，因为中间的私密转账在链上没有编号。

这样做更私密

• 收款选“隐私地址”，每个挂单一个新地址。选“我已连接的钱包”，或手输的地址反复用，付到它的挂单都能归为同一个人。
• 发信封走中继。自己付矿工费广播，付费钱包就和这封信绑在一起。
• 买入用和身份无关的 BTC 付款。买入、铸造亮出付款地址和编号，再卖时编号又和收款地址一起亮出来，两头都和身份无关才接不上。
• 卖出所得先留在金库的比特币页，提到和身份无关的地址，别直接打回实名平台的充值地址。
• 只领基础奖励。领加成要亮编号，领到的钱袋也一直和这件绑在一起。

留意这三处

• 投票：公开标签让计票人人可核；票据日后花掉时，这一票对得上那次花费（第 06 章）。
• 别人私密转来的作品：转出方知道作品秘密 s。到 s 换新之前（成交，或链上挂单后取回），他能拿你日后的花费去试对，猜得到你转去的地址才对得上（附录 I01）。
• 自己铭刻隐私名字：付费钱包会和名字连在一起；交给官网代刻，用的是中继一枚无关的币。

C　票据、证明和链上消息

票据写成 (assetId, tickets, ownerPk, rho, s)。这里的 tickets 是这张票据带着的中继额度，和“票据”是两码事。花费电路里的几个关系：

ownerPk = Poseidon(sk)
inner   = Poseidon(ownerPk, rho, s)
cm      = Poseidon(assetId, tickets, inner)
nf      = Poseidon(sk, rho, 7)

普通转账保留 assetId 和作品秘密 s，新的随机数是 rhoOut = Poseidon(nf, 11)，新承诺 cmOut 由转出方的金库算好写进信封。铸造、购买和取回时，收的人的金库只公开 inner 和密文，索引器用公开的编号和额度补算承诺。额度按 ticketsOut = ticketsIn - spend + buy 算。收款地址（隐私地址）里是持有人公钥 Poseidon(sk) 和查看公钥，普通密文是 88 字节。

电路的公开输入有 root、nf、hbody、cmOut、spend、buy、mode、assetIdPub、ticketsPub。mode 是 0 表示转账，是 1 表示公开挂单。hbody 把证明和消息正文绑在一起。root 和 hbody 是索引器根据消息和自己的状态拿到或者算出来的，并不是原样写在信封里的两个字段。

公开 v1 的信封头由 SHORD 标记、版本、类型和 cid 组成，一共 15 字节。转账和挂单带一份 256 字节的证明，BUY 和 CLAIM 有各自的验收、锁和返回签名规则。官网现在的客户端还多了几种类型：奖励是 7 到 10，LIST3 是 11，SPLIT 是 12。只看公开版的六种，线上的情况说不全。

D　参数和容易弄混的地方

• 转账和挂单的证明引用的树根，公开 v1 要在最近 100 块里，还要早于当前这一块。链下挂单 LIST3 的挂单最长有效 4,032 块。过期的是这一次操作的证明，票据自己不会过期。
• 编号只有 3,333 个，但承诺里还混着持有人公钥、随机数 ρ 和作品秘密 s，挨个哈希编号猜不出私密转账后的承诺。
• 记录树深 20 层，最多 1,048,576 片叶子。每次铸造、私密转账、购买、取回都加一片叶子，挂单不加，所以容量跟交易次数有关，和用户数、作品数没关系。
• 旧式挂单的超时取回用的是 1,008 块的相对时间锁，大约 7 天。NAKA 线上的挂单锁都是 330 sats，不过旧 LIST 验收时主要看的是锁脚本。
• NAKA 的基础费用是铸造 15,000 sats、铭刻 3,000 sats。成交平台费 2%，最少 1,000 sats，买家在标价之外另付，没有转售版税。官网铸造时默认每件捆 3 个中继额度（7,500 sats），矿工费另算。
• 大的 OP_RETURN 有少数节点或矿池不转发（项目方在公开语音里提过）；Bitcoin Core 30 起默认放宽了这条限制，官方中继代发的几千笔信封都照常上了链。
• 公开协议支持合集选用 2-of-3 多签；NAKA 现在用平台单签（附录 H）。
• 检查点把引擎、规则和密钥绑在一起，恢复的时候更稳妥；末尾的 SHA-256 校验值用来发现文件损坏或改动。
• 可信设置：Groth16 的证明密钥要用一批一次性随机数生成，用完即弃。NAKA 现在用的这份由官方单方生成：spend.zkey 里记着一次第二阶段贡献，名字是 “proto”，holder.zkey 的叫 “local dev (pre-ceremony)”。官方状态文档写明了它的影响范围：留着这批随机数的人能多造一张已有编号的票据，但拿不走任何人金库里的作品，真票据照常能花。公开代码已经备好多方仪式脚本，官方计划在下一个合集使用，参与者里只要有一人销毁自己的随机数，结果就安全；新验证密钥的哈希会写进那个合集的父铭文。NAKA 的验证密钥固定在索引器代码里。创始人说下个版本拿掉的“我们的钥匙”是平台的签名密钥，和这批随机数无关（附录 K）。

• 加密和证明是两件事，最容易混。加密让收件人发现并读出写给自己的票据；证明让别人不看秘密也能判断这次转移合法。证明不管密文：电路不检查私密转账的密文（官方状态文档），密文由转出方的金库按规则生成，用官网金库转账不会写错。

理论来源。SHORD 用的组件都有公开的论文或标准，下表列出对应关系。它说明 SHORD 建立在哪些成熟的密码学组件上；SHORD 自己的电路和实现目前没有公开的第三方审计报告。

E　奖励和持有资格

链上的计划是这样的：起算高度 971,700，第一周是 971,701 到 972,708。每周名义上发 266,640 枚，一共 78 周，领取截止到第 1,102,740 块。分母算的是目录里全部 3,333 个编号，权重每个区块都在变。个人能不能领、累计怎么算、已经领了多少、最后流通了多少，得分开统计。

78 周的奖池加上开头固定的 3 个钱袋（每个 80 枚），一共是 20,798,160 枚。挂着的和还没铸的作品也占份额，这部分没人领得到，也就从不发行，官网写着“从未领取的部分永不发行”（挖矿原理）。

公开的 holder 电路证明的是：某张票据在记录树里，并按活动去重。用它时要知道两点。一是它不检查票据花没花掉：记录树只增不删，作品卖掉以后旧叶子还在，原持有人拿最新的树根照样能证明；协议文档用“验证方只认最近 6 个区块的树根”限制证明的时效，限的是树根的新旧，旧叶子仍在新树根里。二是去重按作品算：去重标记 ctxNf = Poseidon(s, context, 13) 由作品秘密 s 算出，私密转账保留 s，转出方和接收方只有一个能用上；成交会换新 s，卖家和买家各能证明一次。线上投票用的不是这条电路，而是花费电路，见附录 B。

context 里带上不同的申领账号，同一份证明复制过去就用不了；相应地，去重也分到了不同的 context 里，所以它不等于整场活动每件只能用一次。

F　线上索引怎么保持一致

先把网络、合集、规则版本、验证密钥、生效高度和区块哈希对齐，再去比状态。索引器按链上的顺序验收消息，不同类型的消息验法不同：转账和挂单查引用的树根、作废码和证明，购买查是否花了那把锁、钱付得对不对，取回查卖家的签名。承诺、已花费标记、挂单和奖励记录各记各的。读到同一个高度只是对账的起点，比摘要时要知道它覆盖了什么：公开版 v1 的摘要不含密文、收款脚本和挂单锁，摘要一致只说明它覆盖的那几部分一致。线上接口另有一个奖励摘要。官网状态接口只给高度和摘要，不给区块哈希；Ord Dropz 托管的公开接口两样都给。2026 年 11 月 3 日两边在 974,394 块的摘要相同，但都是 Ord Dropz 自己运行的，这不算独立核验。

索引器存在本机的是：记录树的全部叶子、每个区块之后的树根和叶子数、见过的作废码、铸造记录、挂单和锁的位置，以及每封信封验收或拒收的记录。证明不另存，原文在区块里。它不知道私密转账后的票据是哪件作品，也不知道票据属于谁。检查点存的是验证过的中间状态，重启以后从那里接着读。碰上链重组，就退回到共同的那段历史，再往下重放。增量同步从上次读到的位置接着读，钱包在本机扫描，认出自己的密文。naka-sigil 公开的资料里能看到它怎么读官方 API、怎么前后核对高度、怎么校验奖励表、碰上重组怎么作废旧数据。

线上的规则比公开仓库新。本指南按线上的合集资料、状态、客户端和链上记录来讲。想完整地独立重放，得有对应的规则和参数，拿旧版本跑出来的数字差异，评判不了线上机制。

G　共同地址和依据

bc1prykz5vxt6lgr2tu56np35slhvlc77s7hlajr3qucsrkqwhvp48mq5grvgr

这个地址上有 NAKA 已铭刻的子作品和蚀刻时给到这里的 2,100 万枚 SHNAKAS，Trollbox 等其他 SHORD 合集的作品也在这里。父铭文不在这儿，这个地址也不是哪个用户隐私票据的余额地址。

怎么核对的：重算 NUMS 的构造。NAKA 全部 26 笔子铭文创建交易，每一笔打到这个地址的输出数，都等于这笔交易里的铭文数，加起来 3,327 件。SHNAKAS 的蚀刻交易里，Runestone 的预挖（Premine）2,100 万枚指向输出 1，2026 年 10 月 28 日读的时候还没花。这是按输出个数核对的，没有一个 sat 一个 sat 地做 Ordinals 重放。

签名那一章说的，只是官网那段固定解锁文字的派生方式，套不到任意签名上，也套不到单独生成的金库密钥上。原始响应、哈希和完整的核对范围见资料与复核。

H　链上留了什么，自己能做多少

资产和账本有多少在链上、不经官网的服务器自己能做到哪一步，常有人问。下面的结论依据公开代码 3cdbdfdf 和 2026 年 10 月 28 日保存的官网客户端。

要保管的是钱包，或者 24 个词。网页金库靠钱包：官网请钱包用 ECDSA 方式签那段固定文字，界面写着 “The same wallet always opens the same vault.”。前提是钱包每次签出同样的签名：比特币钱包常用的签名库按 RFC 6979 做确定性签名，签名一样，种子才一样。所以要保管好钱包自己的助记词，并记住当时连接的付款地址。手机 App 是那 24 个词，它们就是金库的种子，网页金库也能导进 App 抄下来。

数据放在链上也有取舍。每笔交易更大，少数矿池不打包超过 83 字节的 OP_RETURN，要等别的矿池。密文一直在链上，所以查看密钥和花费密钥一样要保管好：它能看到写给你的票据，但动不了它们。

I　逐章技术说明

这是各章图下“技术说明”的完整版，回答“为什么这样设计、出了岔子协议怎么处理”。

00　导读｜SHORD 是什么，你持有的是什么

比特币不认识 SHORD。信封对它来说只是一段数据（公开 v1 放在 OP_RETURN 里，现在的客户端也能放进 tapscript），矿工照常打包，不看里面写了什么。哪一封有效、记录树长成什么样，全靠索引器按 SHORD 的规则一封封验。所以同一笔交易，比特币确认了，SHORD 仍可能拒收。

信封里的东西都公开，但没有票据的明文。私密转账只有指纹、作废码、密文和证明。铸造、购买和挂单还会公开编号、价格、收款脚本这些交易本身要公开的内容。索引器那一列全是从区块算出来的，用不着信任哪一台。要自己核验，得有配套的规则、参数和完整的区块数据，最好接自己的比特币节点。

承诺由谁算，分两种情况。私密转账时，转出方的金库算好写进信封，证明保证它和旧票据是同一件作品。铸造、购买、取回时，新票据由收的人自己生成，信封里只放 inner 和密文，索引器用公开的编号和额度补算承诺。

证明用的是 Groth16，验证参数在公开代码里固定，索引器验证时只用这份公开参数和信封里的数据，碰不到任何人的私钥。这份参数的可信设置见附录 D。

01　金库｜持有靠什么，钥匙从哪来

官网请钱包用 ECDSA 方式签那段固定文字：UniSat 用 signMessage 的 ecdsa 模式，Xverse 用 ECDSA 协议，签名的都是连接时的付款地址。种子 = SHA-256("shord/seed/v1" ‖ 签名)。文字原文在官网引擎的 VAULT_KEY_MESSAGE 里，共四句：“Ord Dropz shielded vault key v1”“Signing this unlocks your Shielded Ordinals vault on Ord Dropz.”“ONLY sign this on ord dropz. Anyone with this signature can move your shielded pieces.”“It does not move any bitcoin.”。最后一句指的是你连接的钱包；金库自己的 BTC 地址也从种子算出，拿到签名的人一样能取走。

种子派生出花费密钥和查看密钥。每次挂单的取回密钥和卖出所得地址，由种子加这次挂单的作废码算出。金库自己的 BTC 地址按序号排开，链下挂单用的币、领加成另有几把钥匙。这些全是确定的算法，只要签名一样，换设备重签就能全部重算出来（官网写着同一个钱包总是打开同一个金库），卖出所得的地址也能对着成交记录找回。

查看密钥和花费密钥是分开的：只有查看密钥，能看到写给你的票据，动不了。网页金库的签名两样都给，所以它等于整个金库。

隐私地址 shord1… 是种子给出的另一样东西：shord1 后面是 128 个十六进制字符，解码后 64 字节，前 32 字节是持有人公钥 ownerPk = Poseidon(sk)，后 32 字节是查看公钥（x25519）。它只在别人替你生成票据时用到：私密转账或转一个 SHNAKAS 钱袋时，转出方把 ownerPk 写进新票据的内层指纹 inner = Poseidon(ownerPk, ρ′, s)，算出承诺，以后只有握着对应 sk 的人能证明“这是我的”；再用你的查看公钥加一把一次性密钥加密密文，你的金库才读得到。铸造、购买、取回、领奖励的新票据是你自己的金库生成的，直接用自己的钥匙，用不到地址。持有人公钥是花费密钥的单向哈希，公开了也算不出 sk；查看公钥和花费密钥分开，所以交出查看密钥只能读不能花。地址本身是公开的，名字（附录 J）指向的也是它。隐私不靠藏地址：每张票据的承诺都混了新的随机数，同一个地址收到几件，链上的承诺彼此毫无关系；密文每次换一次性公钥，外人对不上是写给哪个查看公钥的。转出方是例外：私密转账沿用作品秘密 s。你下次花这张票据时，作废码会公开写进信封，下一张的随机数 ρ = Poseidon(作废码, 11) 就由它算出（电路规定）。转出方用不着算出你的作废码：他拿链上每封信公开的作废码和新承诺，套上 s、编号和猜到的地址算一遍，对上就认出来了。所以你领基础奖励、再私密转给他认得的地址，他都对得上，直到作品成交、或链上挂单后取回，换了新的 s（附录 K）。

手机 App 的 24 个词，就是 32 字节的金库种子加一字节校验。网页金库可以导进 App，抄下它的 24 个词。

官网另卖的预付中继（附录 A）不从种子算出：秘密由浏览器自己生成、官网盲签，所以它只在买它的浏览器里，手机上的同一个金库没有它。

02　发行｜规则写在父铭文，铸造的钱分给谁

规则是父铭文内容里的一段 JSON（p = shord，v = 1 或 2）：供应量、文件树根 artRoot 和内容类型、铸造价、平台铸造费、铭刻费、成交费、中继额度价、三个收款脚本、许可钥匙 gateKey 和挂单锁钥匙 lockKey，可选的 2-of-3 多签和证明参数哈希。索引器只盯一枚父铭文，从它的揭示交易里读规则；信封头里的合集编号 cid 是父铭文编号哈希的前 8 字节，别的合集的信封不看。

铸造的验收：编号在供应量内、没铸过；付款先按收款脚本把金额加起来，每个脚本收到的不少于规则要求的数；交易花掉一枚 P2TR(gateKey) 的许可币。许可币只有平台能签，所以铸造离不开平台；批量铸造 MINTN 公开 v1 一次最多 20 件，铸过的编号跳过，钱不退。新票据由铸造的人自己生成，信封里只放 inner 和密文，索引器用公开的编号和额度补算承诺。

作品文件：父铭文不放图，只放 artRoot。铸出来之后平台把文件铭刻成父铭文的子铭文（ord 的规则：铭刻交易花掉父铭文，带上父标签），元数据里写着第几件，同一编号以最早的子铭文为准。核对一件文件是不是第 N 件，要有它到 artRoot 的默克尔路径，路径由全部作品的哈希清单算出，清单还没公布；#0 的子铭文没写编号，公开代码里写死了它的路径。父铭文要等最后一件铭刻完才停进 NUMS，2026 年 10 月 28 日它还不在 NUMS 地址上（附录 G）。

分钱：NAKA 规则里 mintPrice 15,000 付艺术家脚本，mintFee 0，inscribeFee 3,000 和 ticketPrice 2,500 付中继脚本，saleFeeBps 200、saleFeeMin 1,000 付平台脚本，没有 royalty。艺术家脚本和平台脚本是同一段脚本（存档的 collection.json）。v2 规则多一项转售版税，付给艺术家脚本，比例参数最高 10%，另有最低额，低价成交时实际比例更高；只认 v1 规则的旧索引器读不了 v2 父铭文。NAKA 的父铭文是 v1，不会追加版税。顺带说明，这里的“规则 v1、v2”是父铭文里的版本号，和公开代码的 src/v1 目录、信封版本号、持有证明电路的第二版不是一回事。

03　存放｜作品在哪，你买到的是什么

承诺分两层算：ownerPk = Poseidon(sk)，inner = Poseidon(ownerPk, ρ, s)，cm = Poseidon(编号, 额度, inner)。分两层是为了铸造、购买和取回：编号和额度这时本来就公开，收的人只交出 inner，索引器自己补算 cm，不用另做证明。

铸造、购买和取回时，ρ 和 s 都是新的随机值。私密转账时，新的 ρ′ 由旧票据的作废码算出（见第 04 章），s 保持不变。每换一次手，持有人公钥或 ρ 就变了，承诺也就完全不同。s 叫作品秘密，成交、铸造、取回时换新，持有证明靠它去重（附录 E）。

记录树深 20 层，最多 1,048,576 片叶子。索引器记下每个区块之后的树根。花票据时，证明引用最近 100 块里的一个树根，说明“我的票据在这棵树上”，不说是哪一片叶子。

中继额度也算在承诺里，平时外人看不到你还剩几次。但铸造和购买时买了几次是公开的，挂单时票据上剩几次也会一起公开。每花一次票据，电路都检查新额度等于旧额度减去用掉的、加上新买的，而且不能小于零。

04　转让｜私下转给别人，链上看见什么

为什么不直接把旧票据标成已花？链上的票据只是树上的一片叶子。要是花的时候公开是哪一片，外人就能把这次花费和生成这片叶子的那笔交易连起来，谁买的、转给了谁，一路追下去。

作废码是同一张票据的另一个指纹：nf = Poseidon(sk, ρ, 7)。一张票据只算得出一个作废码，同一个码第二次出现就拒收，重花就防住了。外人对不上它是哪片叶子，证明负责说明“这个作废码属于树上某张归我的票据”。

为什么要用花费密钥来算？私密转账的新票据，随机数 ρ′ = Poseidon(nf, 11) 由旧票据公开的作废码算出，谁都算得到，写这张新票据的转出方更不用说。作废码要是只由 ρ 算，任何人都能先算好新票据的作废码，等它在链上出现，一路把这件作品的转手串起来。加上只有持有人有的花费密钥，别人就算不出来（电路注释：“only the owner can compute it”）。式子里的 7 和 11 只是区分用途的常数。ρ′ 由旧票据唯一确定，转出方也没法故意造出两张作废码相同的票据。

作废码会不会被抢用？信封在内存池里谁都看得到，作废码和证明也在里面。但作废码不是钥匙，只是一个公开的标记：证明的公开输入里有它、新承诺，还有正文哈希 hbody（密文、额度这些都算在里面），改任何一样证明就不通过，要重做证明得有花费密钥。别人能做的只有把这封信原样放进自己付更高手续费的交易，抢先上链，结果和原来一样：旧票据作废，新票据归收件人，后到的那封因作废码重复被拒。挂单信封也一样，价格、收款脚本和取回公钥都在 hbody 里，抢先照发只会替卖家挂出同一张单，还得自己出锁里的 BTC。购买信封没有证明，但它所在的交易必须花掉挂单锁，平台只在核对过的那笔购买上签名。

没有中继也能转：信封里“用掉的额度”写 0，自己付矿工费广播。代价是付费的那笔 BTC 公开，外人看得出是哪个钱包发了这笔 SHORD 交易，看不出是哪张票据、转给了谁。用一笔和自己身份无关的 BTC 付费，能少掉这层关联。官网的“自己发送”用的是你连接的钱包。中继的好处是替你付费，还把一段时间里收到的几封信随机排序、合进一笔交易发出去。官方中继的状态接口报的窗口是 5 分钟（batchWindowMs = 300000）；公开中继代码的默认是 10 分钟，每批在窗口的 0.5 到 1.5 倍之间随机发出，官方中继是不是同样的随机法没有公开。代发的交易由中继自己的钱包出钱，它收进的额度费就变成替人付的矿工费和挂单锁（10 月 29 日起换了新钱包，见本附录 08）。官方 10 月在 X 上的长帖有一节叫 “CREDITS GONE”，原文：“Same update kills relay credits. No more buying tickets to do private actions. Your vault's own bitcoin pays the network fee, same as any wallet. Old credits still work if you have them, nobody loses anything. Prepaid relays stay as an option for people who want the extra privacy. The platform never pays for anything, which is what keeps it honest.” 取消的是按件卖中继额度，中继和预付中继都保留，默认改由金库里的 BTC 付网络费。到 10 月 28 日的存档，NAKA 的配置里 creditsOff 仍是 false，额度还开着；11 月 3 日官网配置照旧，市场上每件挂单都标着带几个额度，SHNAKAS 钱袋每个也带 1 个。改用金库的 BTC 付网络费，付费的输入会出现在这封信封的交易里；金库的 BTC 多半来自挂单收款，收款地址又写在挂单里，所以想更私密，就走中继或预付中继。

写进票据的中继额度，是预付给官方中继的服务费。它跟着作品走，转手、卖出时随票据到下家，卖家没用完的额度归了买家。买额度的 BTC 当时就付给了中继，票据里记的是代发次数，由官方中继兑现。公开的中继程序谁都能跑，替别人代发要它自己付矿工费。预付中继见附录 A。

05　交易｜挂单公开什么，平台能做什么

挂单锁是一个 P2TR 输出，有两条花法。平台的 lockKey 走密钥路径，随时能花。卖家的取回公钥走脚本路径，要等锁确认满 1,008 块。取回密钥由种子和这次挂单的作废码派生，只有卖家算得出。

索引器每读一个区块，都看每笔交易花掉了哪些币，不管这笔交易带不带 SHORD 信封。只要有挂单锁被花掉，就看同一笔交易里有没有有效的购买：付款对、花的正是这把锁，就算成交，新票据归买家。没有，挂单就变成“已关闭”，这时作品没有票据，只有卖家取得回来。

所以锁在一笔没有有效购买的交易里被花掉，挂单就关闭，作品等卖家用取回密钥签一笔 CLAIM，换成卖家的新票据；这个签名只有卖家签得出。官方中继建的锁都是 330 sats。货款也不经过平台，购买时直接付到卖家的收款地址。

锁里没有作废码：它是一个 P2TR 输出，内部公钥是平台的 lockKey，脚本叶子是“1,008 块相对时间锁 + 卖家取回公钥”。挂单记录以挂单的作废码为编号，记着编号、额度、价格、收款脚本、取回公钥和锁的位置。取回信封带上卖家新票据的内层指纹和密文，用取回密钥对整封正文签名；索引器核对签名，再用挂单记录里公开的编号和额度补算承诺。取回密钥由种子和这次挂单的作废码算出，平台算不出来。

平台签名绑住什么：公开代码的多签模块签挂单锁时用 SIGHASH_DEFAULT，签名绑住整笔交易的每个输入和输出，签之前先用自己的索引器模拟验收，并记住已经签过的单，不给同一件再签第二笔。NAKA 用平台单签，签名在平台服务器上做；不论用哪种签名类型，同一把锁在比特币上只能花一次，只有一笔购买能成立。

平台签名只用在两处：成交时签购买，撤单时花锁。作品不会因此到平台手里：锁被花掉却没成交，挂单关闭，卖家签 CLAIM 取回；平台没签撤单，卖家等锁满 1,008 块，自己花锁，在同一笔里取回。正常撤单时，平台花锁和卖家取回放在同一笔交易里，挂单直接变成“已取回”。

购买不引用树根，也不带证明，在内存池里不会过期。撤单就是花掉那把锁。

收款地址不限类型。官网挂单的“其他地址”把你输入的地址交给比特币节点接口（validate-address）换成输出脚本，节点认的地址都行；公开协议文档给挂单信封算长度时，举的例子就是 P2WPKH（bc1q）381 字节和 P2TR（bc1p）393 字节。信封格式只规定卖家脚本 1 到 80 字节，索引器验收只多一条：标价不低于这类脚本的粉尘限额（P2TR 330；bc1q 这类 v0 脚本 294，P2WSH 也算；其它 546 sats），成交时按脚本把金额加起来，付够就算。到 2026 年 10 月 29 日（高度 973,703），官网状态里 5,233 个挂单：bc1p 4,622 个，3 开头的 P2SH 311 个，bc1q 300 个，没有 P2WSH 和 1 开头的旧地址，三类都有成交记录。手输的地址和“连接的钱包”一样，会把挂单和那个地址绑在一起，同一个地址用在多个挂单上，官网会提醒别人能把它们归为同一个卖家；“隐私地址”是种子和这次挂单的作废码派生出的新 P2TR 地址，只有金库算得出。

06　证明｜证明持有，各要交出什么

官网投票（存档的客户端）用的是花费电路，不是持有证明电路：按这一轮的快照高度挑出合格票据，快照时持有、之后花掉的也算；证明的 hbody 绑定 “ordz-vote-v1、合集、主题、轮次、选项”；选项和证明的公开输入提交给投票服务，公开输入里有这张票据的作废码。11 月 3 日的官网脚本照旧这样做，只多了一个标签：tag = Poseidon(作废码, SHA-256("ordz-vote-tag-v1" ‖ 主题 ‖ 轮次))，每张票据每轮一个，服务按它去重，还在“公开标签记录”里列出每票的标签、选项和时间。投票页写着服务“只看到每个 Naka 每轮一个一次性标签，看不到是哪件、哪个金库”：投票时确实如此，作废码在票据花掉以前和链上任何东西都对不上。公开标签让计票人人可核，对应的取舍是：票据日后花掉，作废码写进链上的信封，拿它算出标签，就知道这张票据投了什么；挂单的作废码和编号写在一起，连是哪件也对得上。11 月 3 日拿官网账本（高度 974,323）核过：第 1 轮公开记录 1,463 票，888 票能用账本里已公开的作废码算出，其中 38 票的作废码来自挂单，编号公开；第 2 轮 774 票里能算出 82 票，8 票带编号（只数条数，不记是哪件，脚本 tools/vote_tag_check.mjs）。核资格、去重、计票的代码在投票服务的服务器上，公开记录可以这样核：第 2 轮公开标签记录里 774 票，按选项数出来和主题公布的总数一致，标签没有重复；能对上作废码的 82 票，票据都在快照块 973,899 之后才花掉，符合资格；其余 692 票的作废码还没上链，证明也不公开，这部分按设计核不到（脚本 tools/vote_round_check.mjs，11 月 3 日的存档）。

投票页叫 Naka Council（Naka 议会），现在投的是下一个上线的合集，分组淘汰，各组胜者进决赛。快照块上持有的每件 NAKA 一票，不管现在在谁手里；快照之后买的，下一轮再投。NAKA 票也能投反对，候选里还有“暂时都不要”。

11 月 2 日起也能用 Snickets 投票（附录 I07），能投反对，没有 NAKA 也能投。这种不用证明：金库用 Snickets 钥匙签一份请求，写着主题、轮次、选项、赞成或反对、票数和票价，交给平台，票价由平台报，投票页写的是“一票 = 一件基础 NAKA 一周挖出的量”，随时在变；投出去的 Snickets 就花掉了，不退。Snickets 投票也有公开记录，列出票数、方向和票价，不写钥匙；Snickets 按钥匙记在平台账上，同一个金库的销毁、名额和投票记在同一个账户下。

领奖励（存档客户端的 buildReward）也用花费电路，输入是这一周的资格树根和原票据，生成的奖励信封（类型 REWARD）写进比特币交易：带原票据的作废码、新承诺、证明，以及钱袋的密文。它花掉原票据，给自己换出一张新的 NAKA 票据，再加一张奖励票据；索引器把这张新票据补进当周的资格树，第 07 章说的当周照算就是这么来的。批量领取（REWARD2）一次最多 200 份，换出的新票据没有自己的密文，由上一张推出。加成（BONUS、BONUS2）明文写编号，用签名不用证明。同一个作废码领过就不能再领；卖出以后还能补领卖出前完整持有的周。

公开代码里的 Holder 电路：公开输入是树根 root、活动标识 context 和去重标记 ctxNf = Poseidon(s, context, 13)；电路只查叶子在树上、算出 ctxNf，不查作废码。记录树只增不删，所以卖掉的票据仍能证明，和附录 E 说的一样。协议文档用“只认最近 6 块的树根”限制证明的时效；它限的是树根的新旧，旧叶子仍在新树根里，所以不代替“票据没花掉”的检查。去重只在同一个 context 里有效，换个用途或申领人，同一张票据又能证明一次。v1 版公开作废码，票据日后挂单时能被认出来，v2 改成不公开，隐私更好；这个“v2”是电路的第二版，和父铭文规则的 v2 无关。

每种用途各要交出什么，对照如下：

07　挖矿｜拿着 NAKA 就在挖 SHNAKAS，转手为什么断

第 w 周是第 S_w + 1 到 S_w + 1,008 块，起点 S_1 = 971,700，每周 1,008 块。一张票据在某一周算数，要满足两条：创建它的区块不晚于周起点，花掉它的区块晚于周终点，还没花也算。

转手和自己转给自己，是花掉旧票据、生成新票据；挂单花掉旧票据，撤单（取回）才生成新票据。哪一种都一样：旧的没撑到周末，新的不是从周初开始，这一周两边都不算。正常领奖励换出的新票据例外：索引器把它补进当周的资格树（官网状态里每周的 carry），所以当周照算。加成信封只签名、发钱袋，不花票据，也不生成票据。

权重的规则写在链上的 SHNAKAS 规则铭文里：基准 100%，属性地板价达到合集地板价的 1.25、1.5、2、3 倍分别加 25%、50%、75%、100%；编号 0–9、10–99、100–999 分别加 200%、100%、50%，取最高一档；封顶 400%。算地板价只认 546 sats 以上、五种收款脚本的挂单。没人挂单的属性，作品不少于 20 件的直接加 100%，不足 20 件的改看成交记录（10 月 27 日的快照里分别有 62 个和 106 个属性这样算）。输入全是账本里的挂单和成交，任何索引器按区块都能算出同样的权重；官网把算好的权重表发给客户端，只是省得各自重算。项目方 10 月 27 日说其他合集改成即时挂单、NAKA 保持原样，NAKA 的挂单还在链上，这套算法照旧谁都能算（11 月 3 日官网配置里 NAKA 的链下挂单仍是关着的）。官网市场和质押页写的“Shielded #”是全局编号，NAKA 从 0 排起，和作品编号一样，所以“Shielded 编号小于 1K、100、10”的加成就是这里的编号加成。

每周 266,640 枚，按权重分给目录里全部 3,333 个编号（已铭刻 3,327 件）。挂单期间和没铸的编号，那几周的份额没人领得到，挂单前已经拿满的整周照样能领。领基础份额不用亮编号，证明你在资格树上有一张整周持有的票据就行。领加成要公开编号和持有关系。官网金库里这一页叫 Staking（中文界面“质押”）：不用锁定、不用签名，收到或买到的作品从下一周算起；一次领取把到现在为止的周一起结清，矿工费按次付，不按周付，不扣中继额度。亮编号的确认框写得很清楚：编号永久上链，谁都看得到这件领过、领了多少，领到的 SHNAKAS 一直和这件绑在一起，卖掉以后也是；还看得出它从领的第一周起没挂单、没卖、没转出；付矿工费的钱包也在交易上，这件要是当初用你的主钱包铸造或买入、之后没私密转过，这几次领取就能和那个钱包连上；几件挨着亮，也像是同一个人的。

奖励发的是 SHORD 账本里的钱袋，不是直接打到钱包的符文。钱袋怎么生成、没人领的份额为什么不算销毁、总量怎么算，见挖矿原理页。

领到的 SHNAKAS 在金库里是一个个钱袋，钱袋的编号和数量公开，持有人不公开。钱袋能整袋私密发送，也能拆成 2 到 16 个小钱袋，拆分要用自己的比特币付矿工费。协议允许拆的同时把其中几个直接写给别人，但官网金库的“拆分”只拆给自己，想给别人得再发送一次；一步做完的只有烧成 Snickets 和存进 Naka Lounge 两处。项目方说 11 月 6 日开放钱袋市场，挂单、购买，一次最多扫 10 个。还能烧成 Snickets，一枚换一个，两个区块后到账，用来换新合集的 GTD 名额、投票（附录 I06）。烧进去的 SHNAKAS 谁也花不出来，Snickets 由平台记账，链上没有。

按 11 月 3 日的官网文案和 SHNAKAS 配置，钱袋的拆分、私密转出和烧成 Snickets 对所有人开放，挂单和购买先给少数持访问码的测试者，11 月 6 日正式开。钱袋挂单走即时挂单（配置里 listings3 开着）：成交前链上什么都没有，改价、撤单都马上生效；金库第一次挂单时，从金库的 BTC 里做一枚 330 sats 的挂单币。买的人按“每枚多少”比价，买到的是整个钱袋，平台费 2%，最低 330 sats。烧 Snickets 只能烧整枚，一次从一个钱袋里烧，矿工费从金库的 BTC 里付，不走中继。GTD 名额是“一个名额、一个码、铸一次”：码的样子是 GTD-XXXX-XXXX-XXXX-XXXX，任何钱包都能用，谁拿到码谁就能用。名额拿了就算数，确认框写着“到时没铸，Snickets 不退”，“我的 GTD 码”下面又写着“阶段结束没用的码会把 Snickets 退回”，两处文案说法不同，以官方届时的说明为准。

Naka Lounge（play.ord-dropz.xyz）是官方限时开的德州扑克，筹码就是 SHNAKAS。游戏自己就是一个金库，和你的金库分开：存进去的 SHNAKAS 转到它的隐私地址，由它保管（页面叫“箱子”），提现也由它发回。你的金库连上去当玩家账户，游戏拿到的是一个由金库算出的玩家账号，加上你金库的隐私地址和 BTC 地址；按金库的说明，提现只回这个隐私地址，游戏动不了金库里的东西。存入是一笔拆分：从一个钱袋拆出要存的数，发到游戏的隐私地址，同一笔从金库的 BTC 里另付一点给游戏的收费地址，其中有以后提现要用的矿工费。这笔拆分在链上认得出来：钱袋编号和数量公开，付给游戏的那份到 11 月 3 日的 21 笔都是 3,330 sats，看得出是 Lounge 存入，看不出是谁。页面上公开“箱里有多少、欠玩家多少”。项目方的说明：每张牌在发牌前锁定，由你的设备核对；看到翻牌的牌局抽 5%，最多 2 个大盲，抽到的 SHNAKAS 攒起来烧掉。玩的时候 SHNAKAS 由游戏保管，提现时发回你的隐私地址。

烧成 Snickets，是把钱袋整袋私密转给一个销毁地址，或拆分时把其中一个发过去：shord1 后面先接 SHA-256("Shielded Ordinals SNICKETS burn v1" ‖ 0 ‖ Snickets 公钥)（首字节清零）当持有人公钥，再接你自己的查看公钥。正常的持有人公钥是 Poseidon(sk)，这个数不是从谁的 sk 算出来的，想花它，得找到一个 sk 让 Poseidon(sk) 正好等于这个数，这做不到，所以烧进去的钱袋花不出来。金库再用 Snickets 钥匙签一份请求交给平台，带着这封信的哈希和打开烧掉那份的数据（整袋烧是钱袋编号、额度和 s，拆出一份烧是那一份的 ρ 和 s），两个区块后记上 Snickets，核对和记账在平台服务器上做。Snickets 钥匙由种子算出（SHA-256("shord/snickets" ‖ 种子)），查余额、烧、换 GTD 码、投票都用它签名，同一个金库永远是同一把。

08　核验｜账是谁记的，能不能自己核

私密转账的验收顺序（公开代码 indexer.mjs）：先查引用的树根在最近 100 块里、早于当前这一块，再查作废码没见过，再验证明；都过了才记下作废码、收下新承诺和密文，有一项不过只记一条拒收，账本不动。每块读完记下这一块的树根和叶子数。

状态摘要 v1 是对一份固定格式的状态概要算 SHA-256：记录树根、叶子数、排好序的作废码、已铸的编号，以及每个挂单的作废码、状态、编号、额度和价格。不含密文、交易号、收款脚本和锁的位置，摘要一致只说明这几部分一致。

检查点：索引器隔一段把整份状态存成文件，写进规则和验证参数的哈希、最近 12 块的区块哈希，最后附一个 SHA-256 校验值。读回来时重建记录树，核对每块的树根和摘要，最近 12 块还在主链上才用。哪一项对不上，就退回更早的一份，或者从起点重放。

重组：最新的几块被换掉时，索引器退回到最近一份还在主链上的检查点，没有就从起点重放。追上最新区块之前，对外仍用旧的状态。

规则版本不同会怎样？公开版遇到不认识的消息类型直接拒收，那些票据进不了它的树。从那一块起，它的树根和官网的不一样，之后的转账和挂单证明只要引用的是分叉之后的树根，它都验不过。所以比摘要之前，先比规则版本。

核中继：10 月 29 日以前，官方中继的地址三处能对上。父铭文规则的 relayerPayoutScript 是 5120be2563233bb4feb149c3a6111f67a2ec5061991921d97406c78ca48614fefe43，换算成地址是 bc1phcjkxgemknltzjwr5cg37eaza3gxrxgey8vhgpk83jjgv987leps3t3cuy；官网状态接口的 relayer.address 也是它；链上这个地址发出的交易都是一个样子：输入是它自己的找零，一个以 SHORD 开头的 OP_RETURN（PUSHDATA2，两三百到四百多字节），挂单时多一个付给新地址的 330 sats 锁，余下找零回自己。到 2026 年 10 月 29 日它有 5,517 笔交易，余额约 0.018 BTC；累计收进的 1.27 BTC 里含它自己的找零，不是净收入。同一天（区块 973,769 到 973,777）它把余额分几笔全部转进 bc1pr5vsx…5hcp73（第一笔 fe200a20…，最后一笔 83409f79…），之后余额为 0、不再发信；状态接口的 relayer.address 改成了这个新钱包，它发出的交易还是原来的样子：自己的币作输入，一个 SHORD 开头的 OP_RETURN，挂单时多一个 330 sats 的锁。规则里的收款脚本写在父铭文里，改不了，仍是旧地址。

J　隐私名字

隐私名字把一个好记的名字（以 .naka 或 .shield 结尾）指向一个隐私地址（shord1…）。转账时填 bob.naka，钱包先按名字查出它指向的地址，再照常给这个地址写票据。协议不要求钱包把查到的地址显示给你，想自己核对，用下表里的查询方法。信封里写的仍是地址算出的东西，链上看不到名字。名字是协议之外的附加信息：索引器验收转账、挂单时完全不看它。下面依据公开代码 3cdbdfdf 的 src/v1/names.mjs、接口文档 docs/API.md 和官网接口。

K　常见问题

讨论和社区里问得最多的问题，按主题排。每条先给结论，细节在括号里标的章节和附录。

资产和金库

隐私

交易和挂单

这组明细怎么拿到：官网界面不显示 s，官网页面用到的接口里也没有替用户签名或导出证明的。能走通的办法要用到金库的种子：官网引擎（金库网页自己下载的那份脚本，谁都能下载）提供了由种子算出整套钥匙、把公开账本里写给自己的票据逐张解开的函数。卖家在自己的电脑上用金库的 24 个助记词得到钥匙，载入官网公开的账本（NAKA 是 /state，SHNAKAS 是 /rewards/rune/state），扫出自己的票据，已经花掉的也在里面；找到作废码等于那笔转账信封里作废码的那张旧票据，它的编号、额度和 s 就是要交的明细，额度按这笔转账用掉、新买的中继额度改一下。担保方用公开仓库里的 Poseidon 自己算一遍新承诺核对，用不着卖家的任何钥匙。

这一步要用到 24 个助记词，要格外小心：助记词就是整个金库，泄露一次，藏品和金库里的 BTC 都能被拿走，也换不掉，只能新建金库再一件件转过去。真要做：只在自己能控制的电脑上做，最好断网；助记词不输进任何网页、表格、聊天窗口或别人给的工具；不让担保方或任何人代劳，交出去的只有这组明细。网页金库的解锁签名同理：任何网页都能请求钱包签那段解锁文字，签了就等于交出金库，所以不要在官网以外的页面签。没有十足把握，就用下面说的担保方中转，或者只凭买家金库里出现了新票据。

要知道三点。一，这组明细核不到密文写没写对：电路不查密文，买家金库靠解开密文才认得出这张票据。官网客户端照规矩加密，不会写错；真碰上故意写坏的，买家拿着这组明细，数据上也够花这张票据，但官网金库只认能解开密文的票据，存档的页面里没有手动导入的入口，要另写工具。二，SHNAKAS 用“拆分时直接发给对方”转的，卖家的引擎不留那个钱袋的 ρ 和 s，事后拿不出明细；找担保时，先拆给自己凑出约定的数，再把那个钱袋整袋私密转给买家。三，交出 s 以后，担保方和卖家一样能跟着这件作品，直到 s 换新（上一问）。另一种做法是让担保方中转：卖家先转到担保方的隐私地址，担保方自己的金库看到了，收款后再转给买家；多一次转账，担保方同样知道 s。现在没有不交出 s 的零知识证明，要做得另写电路。官网的“证明”按钮证明的是持有这个合集的某一件，不说哪件，也不查是否已花，帮不上这件事。放款前等交易多确认几块，防重组（附录 I04）。

中继

挖矿和权重

隐私名字

安全边界

去中心化和核验

名词