（此截图来自于一款 教学游戏：《图灵完备》 ，其中最核心的内容，就是用逻辑门电路尤其是与非门，搭建出完整的CPU处理器）

有人曾将BitVM的思路比作：在《我的世界》里，用红石电路做一个M1处理器。或者说，相当于用积木撘出来纽约帝国大厦。

（据说，这是有人花了一年时间，在《我的世界》里搭出来的“处理器”）

 2. 那么，为什么非要用Bitcoin Script模拟EVM或WASM？这样不是很麻烦吗？这是因为大多数比特币Layer2往往选择支持Solidity或Move等高级语言，而目前可以直接在比特币链上运行的，是Bitcoin Script这种简陋的、由一堆独特操作码组成的、非图灵完备的编程语言。

（一段Bitcoin Script代码示例） 

如果比特币Layer2打算像Arbitrum等以太坊Layer2一样，在Layer1上验证欺诈证明，极大程度继承BTC安全性，需要在BTC链上直接验证“某笔有争议的交易”或“某个有争议的操作码”。如此一来，就要把Layer2采用的Solidity语言 / EVM对应的操作码，放在比特币链上重新跑一遍。问题归结为：

用Bitcoin Script这种比特币native的简陋编程语言，实现出EVM或其他虚拟机的效果。

所以，从编译原理的角度去理解BitVM方案，它是把EVM / WASM / Javascript操作码，转译为Bitcoin Script的操作码，逻辑门电路作为“ EVM 操作码 ——> Bitcoin Script操作码”两者之间的一种中间形态（IR）。

而MAST树，就是把AST树Merkle化，以支持Merkle Proof。Merkle树有一个好处，就是它可以实现高效率的“数据压缩”。比如，你想在必要时，将Merkle树上的某段数据发布到BTC链上，但又要让外界确信，这个数据片段确实存在于Merkle树上，而不是你“随手拈来”的，怎么办？

你只要事先将Merkle树的Root记录在链上，在未来出示Merkle Proof，证明某段数据，存在于Root对应的Merkle树上，就行。

（Merkle Proof/Branch与Root之间的关系）

所以，无需将完整的MAST树存放在BTC链上，只需要提前披露其Root充当Commitment，在必要时出示 数据片段 + Merkle Proof /Branch即可。这种可以极大程度压缩on chain的数据量，且能保证on chain数据真的存在于MAST树上。而且，仅在BTC链上公开小部分数据片段+Merkle Proof，而不是公开所有数据，能起到很好的隐私保护效果。

BitVM的方案，尝试把所有的逻辑门电路用比特币脚本表达出来，再组织成一个巨大的MAST树，这棵树最底下的叶子leaf（图中的Content），就对应着用比特币脚本实现的逻辑门电路。

Layer2的Proposer，会频繁的在BTC链上发布MAST树的root，每棵MAST树，都关联着一笔交易，涉及其所有的 输入参数 / 操作码  / 逻辑门电路。某种程度上，这类似于Arbitrum的Proposer在以太坊链上发布Rollup Block。

当争议发生时，挑战者在BTC链上声明，自己要挑战Proposer发布的哪个Root，然后要求Proposer揭示Root对应的某段数据。之后，Proposer出示默克尔证明，反复在链上披露MAST树的小部分数据片段，直到和挑战者共同定位到有争议的逻辑门电路。之后就可以执行Slash。

（图源：https://medium.com/crypto-garage/deep-dive-into-bitvm-computing-paradigm-to-express-turing-complete-bitcoin-contracts-1c6cb05edfca）

5. 到这里，BitVM整个方案最重要的部分基本讲完，虽然其中某些细节还是有点晦涩，但相信读者已经可以get到BitVM的精华与要旨。至于其白皮书里提到的bit value commitment，是为了防止Proposer在被挑战并被迫在链上验证逻辑门电路时，给该逻辑门的输入值“既赋值0，又赋值1”，产生二义性混乱。

总结：BitVM的方案，先用比特币脚本表达逻辑门电路，再用逻辑门电路表达EVM/其他VM的操作码，再用操作码表达任意一条交易指令的处理流程，最后组织成merkle tree/MAST树。

这样的一棵树，如果表达的交易处理流程很复杂，很容易破1亿个leaf，所以要尽量缩减Commitment占用的区块空间，以及欺诈证明波及的范围。

虽然单步欺诈证明，只需要onchain极小的一段数据和逻辑门脚本，但完整的Merkle Tree要长期存储在链下，以备有人挑战时，可以随时onchain树上的数据。

Layer2每笔发生的交易，都会产生一个大号Merkle Tree，节点的计算和存储压力可想而知，大多数人可能不愿意去运行节点（但这些历史数据可以被过期淘汰，而B^2 network专门引入类似Filecoin的zk存储证明，激励存储节点长期保存历史数据）

不过，基于欺诈证明的乐观Rollup，本身也不需要有太多节点，因为其信任模型是1/N，只要N个节点中有1个是诚实的，能够在关键时刻发起欺诈证明，Layer2网络就是安全的。

但是，基于BitVM的Layer2方案设计中，还存在许多挑战，比如：

1）理论上说，为了进一步压缩数据，不必直接在Layer1验证操作码，可以将操作码的处理流程再度压缩为zk proof，让挑战者对zk proof的验证步骤进行挑战。这样可以大幅度压缩on chain的数据量。但具体的开发细节会很复杂。

2）Proposer和Challenger要在链下反复产生交互，协议该如何设计，Commitment和挑战过程，该如何在处理流程上进一步优化，需要消耗很多脑细胞。

参考文献：

1.BitVM白皮书

https://bitvm.org/bitvm.pdf

2.Deep dive into BitVM -Computing paradigm to express Turing-complete Bitcoin contracts-

https://medium.com/crypto-garage/deep-dive-into-bitvm-computing-paradigm-to-express-turing-complete-bitcoin-contracts-1c6cb05edfca

3.Merkelized Abstract Syntax Trees

https://hashingit.com/elements/research-resources/2014-12-11-merkelized-abstract-syntax-trees.pdf

4.数据扣留与欺诈证明：Plasma不支持智能合约的原因https://mp.weixin.qq.com/s/oOPZqIoi2p6sCxBdfUP4eA

5.前Arbitrum技术大使解读Arbitrum的组件结构（上）

https://mp.weixin.qq.com/s/BgpHI4oXQYYVpB5v6x8cAg