核心用法
ceaser-send 是一个完全自动化的隐私 ETH 转账技能，基于 Base L2 的 Ceaser Protocol 实现。该技能通过以下流程完成私密转账：
1. 预检阶段：验证 Ceaser 服务状态、用户请求金额是否符合固定面值（0.001/0.01/0.1/1/10/100 ETH）、计算 0.25% 协议费用、验证收款地址格式
2. 钱包生成：创建临时 BIP-39 热钱包，向用户一次性展示 12 词助记词（用于紧急恢复）
3. 资金监控：轮询等待用户向热钱包注资，支持取消/超时自动退款
4. 自动 Shield：生成 Noir/UltraHonk 零知识证明，自动签名并广播存款交易
5. leafIndex 提取：从链上事件解析 Merkle 树索引，手动更新 notes.json
6. Unshield：调用 facilitator 完成无 gas 提款到目标地址
7. 自动退款：将剩余 ETH 退回用户指定地址
全程仅需用户执行一次手动操作：向生成的热钱包地址发送 ETH。
显著优点
- 极致自动化：对比
/ceaser技能的手动 MetaMask 签名，本技能实现全自动化，大幅降低用户操作门槛 - 零知识隐私：采用 Noir 电路编译为 UltraHonk 证明，无需可信设置，链上仅暴露 commitment 和 nullifier hash
- 固定面值池：标准化面值（0.001-100 ETH）提供 k-anonymity 隐私集合
- BIP-39 恢复机制：即使会话中断，用户可通过保存的助记词在 MetaMask 中恢复热钱包资金
- 无 gas Unshield：facilitator 承担提款 gas 成本
- 完善的错误处理：资金不足、证明失败、交易回滚等场景均有自动退款或恢复路径
潜在缺点与局限性
- 隐私降级：自动化模式创建可观测的链上关联（注资链接、退款链接、时间相关性、热钱包指纹模式），对比手动签名模式隐私性更弱
- 临时热钱包风险：助记词在会话日志中可见，需用户立即离线保存
- 单点依赖：高度依赖 ceaser.org facilitator 的可用性（预检 circuitBreaker 和 indexer 状态）
- 面值刚性：仅支持 6 个固定面值，无法自定义金额
- 并发限制：notes.json 文件共享写入，不支持并行执行多个转账
- 成本：往返 0.5% 总费用（Shield + Unshield 各 0.25%）
- Base L2 限定：仅支持 chain ID 8453
适合人群
- 追求操作便捷性优先于极致隐私的用户
- 无法或不愿使用 MetaMask 等钱包 UI 进行手动签名的场景
- 需要快速完成隐私转账且接受固定面值的普通用户
- 理解链上隐私权衡、能安全保管助记词和 backup string 的技术用户
常规风险
| 风险类型 | 说明 | 缓解措施 |
|---------|------|---------|
| 隐私泄露 | 自动化模式产生链上关联模式 | 明确告知用户，推荐手动模式 `/ceaser` 用于高隐私需求 |
| 资金锁定 | 会话中断后热钱包资金无法自动取回 | 强制展示助记词，用户可导入 MetaMask 恢复 |
| ZK 密钥丢失 | backup string 丢失导致无法 Unshield | 强制一次性展示，提示离线保存 |
| Facilitator 故障 | 服务宕机或 circuit breaker 触发 | 预检阶段验证状态，失败则中止 |
| 智能合约风险 | Ceaser Protocol 合约漏洞 | 依赖 protocol 审计，用户自行评估 |
| 助记词泄露 | 会话日志或截屏导致助记词暴露 | 提示立即保存后清除聊天历史 |