基于公开真随机种子的智能合约彩票抽奖适用PRNG算法选型咨询

首先排除你提到的Xorshift、MT（梅森旋转）两类算法：这两类都是非密码学安全的PRNG，只要攻击者获取到连续3-4个输出值，就能反推出算法内部的完整状态，进而预测后续所有输出。哪怕你用真随机数作为初始种子，只要公开过任意一个派生种子，后续的整个序列都可以被完全预判，完全不符合你的需求。

最优适配算法：ChaCha20 密码学安全伪随机数生成器（CSPRNG） #

ChaCha20是目前最适配链上抽奖场景的CSPRNG，完全匹配你的全部诉求：

• 满足密码学安全特性：只要初始根种子没有提前泄露，哪怕攻击者拿到之前任意数量的派生种子输出，都无法预测后续输出值、也无法反推之前未公开的输出值，完全杜绝提前预判中奖票号的可能。
• 链上执行成本极低：核心运算仅包含异或、移位、加法三类基础操作，在EVM等主流智能合约执行环境中的Gas消耗远低于AES-CTR等其他CSPRNG，适合链上部署运行。
• 可验证性强：所有抽奖参与者都可以通过公开的根种子、固定参数复现完整的派生种子序列，不存在暗箱操作空间，符合公开彩票的公平性要求。
• 使用方式简单：将公开的真随机根种子作为ChaCha20的密钥，将抽奖轮次作为固定nonce，生成的连续输出流就是你需要的派生种子序列，按需求截取固定数量即可。

轻量场景替代方案：HKDF 密钥派生函数 #

如果你只需要生成少量固定数量的派生种子，不需要长序列输出，可以选择HKDF作为更轻量的替代方案：

• 直接基于链上原生的SHA256/SHA3哈希函数实现，不需要引入完整的CSPRNG逻辑，合约开发成本更低。
• 你可以为每个派生位置设置独立的info参数（比如info = "round_1_seed_3"对应第一轮抽奖的第3个派生种子），基于公开根种子生成的各个派生种子之间无关联，同样不可预测。

关键注意事项：初始真随机根种子必须在所有用户购票完成后再公开上链，避免攻击者提前计算中奖序列操纵购票行为。如果需要提前做种子承诺，可以先上链根种子的哈希值，等购票结束后再公开真实根种子，任何人都可以通过哈希校验确认种子未被篡改。

内容的提问来源于stack exchange，提问作者Quantum Spaghetti