本文针对央行数字货币（CBDC）银行间结算系统在分布式账本技术（DLT）上运行时所面临的根本性权衡：区块链透明性虽能实现无需信任的验证，却会将商业敏感的双方交易流暴露给所有网络参与者。为化解这一矛盾，作者提出了一种面向许可型以太坊兼容网络的机密银行间结算协议，采用一种宽松的发送方匿名模型，以适配监管机构的反洗钱/反恐融资（AML/CFT）要求。在该模型下，发起机构仍可在链上公开标识以支持问责与合规，而接收机构、转账金额及业务载荷则通过密码学手段隐藏。协议在Hyperledger Besu上基于QBFT共识实现，结合了BN254曲线上的Groth16零知识证明、增量Merkle树中的Poseidon哈希承诺、多接收者ECIES载荷加密，以及一个链上NoteRegistry合约——该合约将加密票据以仅追加账本日志的形式存储，从而免除了对可信链下托管服务器的依赖。协议支持shield、confidential transfer和unshield三种状态转换。实验在五节点网络（三家商业银行、一家央行运营方、一家证券存管机构）中进行，结果表明端到端结算耗时8–16秒，通过EVM预编译实现的证明验证开销约1毫秒（约22万gas），客户端在商用ARM硬件上生成证明需4–12秒。尽管接收方机密性已在协议层面确立，当前概念验证版的NoteRegistry使用了按所有者索引的事件，这一折衷可通过生产环境中的统一事件广播加以解决。该研究主要面向CBDC系统设计者、区块链底层开发者及关注隐私保护的监管科技研究人员。