FIG:详解 zk 在扩容和隐私保护赛道的投资机会 ( 二 )_Galaxy Fight Club

作者：

时间：

目前来看，区块链所有设计的出发点，本质都是围绕区块。交易构成区块数据，共识机制决定区块生成、验证和顺序。按照交易的角度思考，交易经过用户私钥签名发起，经由网络广播，进入全网交易内存池，区块构造者/MEV搜索者/定序器挑选交易，提交交易列表给区块构造者，区块构造者/区块生产者向网络提交区块，区块验证者验证区块合法有效以后确认上链。按照区块的角度思考，区块要完成构造、提交上链和上链确认三个步骤。去中心化的设计机制，会为交易或区块的每个环节增加全网成本和安全性，以此实现机器信任。合法的最长区块链，我们称之为主链/一层网络/基层链/Layer1。

不同种类的Rollup，设有特别的网络参与者，ORU有提出欺诈证明的挑战者，ZKR有进行计算和聚合零知识证明的计算证明者和聚合者。Layer2通过将二层网络的交易批量处理（Rollup）以后，提交到一层网络特定的智能合约，由此获得一层网络的安全性和数据可用性。此时，一层网络的去中心化程度、区块验证机制都会成为二层网络交易有效性的背书。

在Layer2网络技术方案和架构，相比于采用博弈模型的ORU，采用零知识证明，能进行数学验证的ZKR将更有技术优势，只是后者发展相对缓慢，需要更多的时间，因此也有大量的项目在这个领域进行前瞻式的探索。接下来，我们将探讨多个ZKR相关项目。

Starkware：基于自研STARK协议，发明Cairo电路编程语言及其zkVM的技术服务商。产品线有专用型的StarkEx和通用型的StarkNet。StarkEx定位是服务特定应用需求的二层网络扩容引擎，已经服务不少客户，例如Sorare、Immutable、dYdX（V3）、DeversiFi（rhino.fi）、Celer等，现在也有超过6亿美金的TVL、2亿多的交易量等业务数据。

Figure1: StarkNet Intro

Figure2: StarkNet Messaging Mechanism L2->L1

StarkNet官方网关StarkGate已经发布上线，会不定期开放限制额度的存取款体验，现在桥接的资产总数大概为775个ETH。Cairo语言风格偏向Golang和Python之间，新增电路编程语言的原生类型：Field Element（felt），开发通用库偏少，主要是官方提供。不支持zkEVM，也即不支持Solidity代码的直接编译部署，需要先通过Warp转译器转成Cairo代码再做部署，Solidity部分特性明确不支持，其中影响比较大的是SHA256。StarkNet的生态项目涵盖钱包、DEX、DAO等多个赛道，以原生项目为主，和以太坊dApp项目重合度较低，具体可以参考官方生态网站。从区块浏览器可以看到，目前没有频繁的交易数量，每个Block的平均交易数是115笔左右。

马克·扎克伯格和公司领导层将面临人口贩卖和剥削的指控:金色财经报道，Meta Platforms(FB.O)CEO马克·扎克伯格和Meta Platforms(META.O)公司领导层将面临人口贩卖和剥削的指控。[2023/3/22 13:18:02]

StarkNet发布了多次Alpha版、当前处于Constellations阶段，正在研究和实现去中心化的StarkNet OS和StarkNet Prover。

Figure3: StarkNet Decentralization Roadmap

Figure4: zkSync 2.0 100 Days to Mainnet

Figure5: Scroll Architecture

Figure6: Scroll Workflow

Polygon(MATIC)：最开始提出的时候是以太坊的侧链，在转变策略后，Polygon并购了多个L2解决方案，开始进行大范围的扩容探索，这里我们将对其中几个涉及zk的L2方案进行简单的介绍。

Figure7: Polygon Scaling Solutions

Figure8: Skeletal Overview of zkEVM

2. Secondary State Machines：将zkEVM的交易对应的状态流转进行拆分，用对应多个状态机去计算和验证交易的正确性。

3. STARK Proof Buidler：计算生成符合STARK多项式约束的证明（计算速度快）。

4. SNARK Proof Builder：计算STARK的SNARK证明（缩小证明的大小），PLONK/Groth 16暂定。

普京向马克龙重申俄军将在军事演习后撤离白俄罗斯:2月20日，法国官员称，俄罗斯总统普京向法国总统马克龙重申俄军将在军事演习后撤离白俄罗斯。[2022/2/21 10:04:28]

Figure9: A Simplified zkProver Diagram

Figure10: Simplified Data Flow in the zkProver

Figure11: Polygon zkEVM Open Source

Polygon Zero：基于Plonk协议和FRI技术的自研Plonky2，zkEVM兼容的L2。Polygon花费4亿美元收购的Mir项目更名而来。Zero的资料主要是在Mir的官网和Polygon的博客查看。Zero宣称的特点是支持递归、高效快速、证明大小很小。项目代码仓一直在更新，且其中包含evm的模块。由于资料较少且时间久远，暂时不清楚Zero未来的路线，目前来看，Plonky2的架构可能更偏向于技术服务型的框架，近期宣布开源Plonky2。

Figure12: Polygon Zero Processing A Block

Figure13: Polygon Miden Intro

Polygon Nightfall：主打隐私的、混合了Optimistic和ZK两种Rollup方式的企业级L2。本质依然是ORU的L2，但是结合了ZKP的技术加强隐私保护。Nightfall是由安永公司创建，与Polygon合作是为了在企业级区块链方面进行更多的探索。主网计划在2022年发布。

Figure14: Polygon Nightfall Intro

马克·库班：建议用DAI支付以太坊Gas费:亿万富翁、达拉斯独行侠队老板马克·库班通过推特表达自己对于去杠杆市场崩盘的看法。他认为应该有一个EIP改变单一速度和Gas费设置，用DAI支付Gas费用。“将Gas费的定价和支付机制与ETH（或任何代币）升值的目标分离，这将提升稳定性和成本可预测性。”[2021/5/20 22:24:10]

如果说Web3代表着个体主权的觉醒，那么，隐私将是Web3不可或缺的一环。随着行业的发展，DeFi的可组合性和NFT给社交带来的变化，都让我们越发感受到了资产所有权相对于中心化托管的安全和便利，而链上完全透明的信息则进一步激发了我们对隐私保护的需求。但面对各个国家不断升级的监管政策，隐私保护怎么做，做到什么程度，则是一个值得讨论的问题。

近期，美国财政部出台政策直接对以太坊生态的隐私支付平台Tornado Cash进行制裁，进而导致与Tornado Cash交互过的地址被USDC发行商Circle拉入黑名单，以及Tornado网站页面、代码仓Github、官方电报、官方Discord等一并关停。我们认为，人人都有保护自己隐私的诉求和权力，隐私产品的滥用并不意味着它们自身带有原罪，隐私产品的设计初衷是在于保护用户常规的转账支付隐私。不可否认，不法分子/黑客对其的使用的确带来很多问题，但关键并不是取缔隐私产品，而是努力寻找办法兼顾隐私和合法合规，例如ZCash对于全球AML/CFT反标准的兼容尝试以及Tornado Cash提供的资产合规证明工具。

现在加密行业里涉及的隐私实现方案，因为各自的使用场景不同（隐私支付、隐私交易和隐私通用计算），选用的方案也有不少差异，主要涉及到的有以下6类：

1，混币CoinJoin/混币器Mixer：主要是用于隐匿支付，基于UTXO模型，本质是创作多笔相同的输入和输出的代币转账来达到隐匿支付。可以在一定程度实现隐匿支付。不过，如果真要地址分析和控制，大不了是控制全部输出的取款地址即可。为了克服混币方案的问题，达世币是提出隐私支付层的概念，让隐私支付层参与存款地址的混合，以及减少存取地址之间的关联。Tornado则是结合ZKP切断存取地址之间的关联。

2，环签名：多个地址组成环，环内某个地址的签名可以不依赖其他地址即触发环签名，以及实现环内地址签名的隐私性。门罗币最早的方案。

4，安全多方计算（MPC）：在没有可信第三方参与的前提下，让多个参与方可以安全不泄露地进行计算。万向区块链董事长肖风博士发起的PlatON在这方面有比较长时间的研究使用。

5，TEE（Trusted Execution Environment）：可信执行环境，类似于黑盒子的概念，将输入传入TEE，然后TEE执行出结果以后，加密输出。现有使用该项技术的主要是Oasis和Secret Network。

马克·库班：比特币不是一种货币，而是价值存储工具:亿万富豪、NBA独行侠队老板马克·库班在The Defiant的对话中表示，他坚持认为比特币不是一种货币，而是一种价值储存工具。

“到目前为止，我还不相信比特币将成为一种货币，”他宣称。 “真正的变化是，人们开始意识到比特币只是价值的存储。”。[2021/2/15 19:46:13]

讲完基本的实现方案，我们挑选一些涉及到零知识证明的项目展开学习和分析。

Tornado Cash：我们经常看到的介绍是，用户向Tornado存款，取得存款凭证，然后在取款的时候，任意用户（地址）使用存款凭证即可取出资金，如此实现的隐私支付交易。这样的说明是从使用体验角度出发的，但是，并没有深入到Tornado的内核。Tornado实现隐私的技术有两点：混淆资金进出的整存整取资金池，切断存取地址关联的ZKP。

混币池相对容易理解，所以，我们将分析重心放在ZKP。由于现在Tornado的前端网站和代码仓都关停，难以找到官方的资料，所以，我们直接从链上交易和合约代码进行分析，用户实际与Tornado要做的操作只有两种：存款和取款。这都是通过Tornado Cash的路由合约进行，路由合约会调用具体存取金额（1ETH/10ETH等）的合约。存款操作Tornado返回用户Note，向链上提交Commitment。取款操作向链上提交Proof、Root、NullifierHash。这几个参数，它们由Tornado的中心化代码构造生成，是理解ZKP使用的关键。

我们将Tornado类比为一个负责存取款的银行，以太坊类比为公开的金库，即可较为容易地理解用户在Tornado 的操作步骤：

1，存款：用户填写存款单据，银行使用单一专门的保险箱（Commitment）保管存款单据，并且根据随机编号生成两个密码，一个密码用于给保险箱上锁，一个密码用于记录资金的存取状态，然后，将上锁的、具有资金存取状态的保险箱放入公开金库的某个秘密随机位置。银行将保险箱、随机编号和保险箱存放位置信息返回用户；（Note）

2，取款：用户把随机编号和保险箱存放位置告诉银行，银行可以通过计算得知：保险箱的秘密随机位置（Root），资金的存取状态（NullifierHash），以及保险箱的开锁密码（Proof）。一切检查验证无误的情况下，完成取款以及更新资金存取状态；

通过Mixer混币器和零知识证明，Tornado在以太坊主网上实现了隐私支付的功能，且在发行代币后，TVL达到了10亿美金的体量，可见其巨大的影响力和用户需求。

声音 | deVere创始人Nigel Green：BTC价格在未来几个月可能达到7000美元:据Today's Gazette消息，独立金融咨询机构deVere集团创始人兼首席执行官Nigel Green表示，“现在人们普遍认为，加密货币是货币不可避免的趋势，因此，我相信我们可以真正看到比特币的价格在未来几个月达到7000美元。[2019/4/8]

Figure15: Tornado Cash TVL and MarketCap

zkAsset：隐私资产，于EIP1724提出，用于将以太坊公开透明的资产转为隐私资产，通过零知识证明确认资产转入Note注册表以后会铸造对应的zkAsset，类似于Secret的Shield资产（类似于Tornado Cash的存款过程，不过，Aztec在链上进行增加了隐私资产的概念）。

各种Validator（Join Split、Bilateral Swap Validator......）：验证者工具（类似于SDK），可以让开发者集成做隐私资产的互操作。例如：Join Split可以拆分合并Note。

Figure16: Aztec 1.0 Architecture

Figure17: The Future of Zero Knowledge with Aleo

Espresso：对于Aleo和Aztec各自的特点都有所研究和改进，基于ZK Rollup的L2和可配置资产隐私的L1双层网络。可配置隐私资产允许资产创建者设置资产的收发地址、收发数量、持有数量等的隐私查看规则和资产冻结规则。对于ZEXE的概念提出自己的VERI-ZEXE，对于Aztec的TurboPlonk和UltraPlonk提出自己优化版的PLONK，并将Rust实现版代码命名为Jellyfish和开源。当前，Espresso的L1网络正在研发。可配置资产隐私在以太坊测试网内测，或者可以通过官网安装包进行本地体验。

Figure18: Espresso Systems Configurable Asset Privacy for Ethereum

Zecrey：双层网络，支持多链ZKR的L2、以及具有跨链功能和隐私保护的L1，但是不支持zkEVM/zkVM。L1的隐私是基于BulletProofs协议改良版（LNCS）/ Sigma协议的混淆资金池，直接在公链层面向用户提供隐私转账和隐私交易的功能。L2的ZKR使用的是PLONK协议。参考官方白皮书的架构图，有一大部分是L1/L2进行ZKR的设计，我们拿出来分析学习。

Layer-2 Commiter：收集交易和构造L2区块。

Block Monitor：L2区块状态更新者。

Prover Network：L2交易Rollup之后，进行ZKP证明的计算网络。

L2到L1进行ZKR的时序设计基本一致，部分角色命名和分工略有不同：

Zecrey现在处于测试网研发阶段，已经集成Ethereum、Polygon、NEAR、Avalanche和BSC五个公链测试。从官网路线图看，2022年Q3将会发布主网。

Figure19: Zecrey System Architecture

Figure20: Manta Architecture (Implemented as a Parachain)

基于以上项目的信息，我们可以看到，在隐私保护的领域，零知识证明主要应用在隐私支付和隐私网络的场景中，且大多并非单独使用，而是结合了Mixer，TEE，MPC等其他隐私保护的技术。

Figure22: Web3 Privacy Ecosystem

在前面的章节，我们花了较多的篇幅整理和学习了零知识证明在扩容和隐私方向的项目，零知识证明相关的扩容和隐私项目在一级市场也获得了资本的青睐，我们对这两个赛道项目的公开融资数据进行整理，分别如下两图：

Figure23: Zero Knowledge Investments In Scaling

Figure24: Zero Knowledge Investments in Privacy Protection

在面对使用零知识证明的扩容和隐私项目时，我们提炼了一些简单的思考列表，汇总如下，用于和项目沟通交流学习。

1，不同的零知识证明协议有各自的优缺点，出于什么考虑进行选择？

2，假设是zkVM型项目，要怎么高效、安全地设计开发者友好的电路编程语言？

3，假设是zkVM型项目，如何搭建一套开发者生态的工具链产品？

4，假设是zkEVM项目，是否支持EVM链的智能合约无缝迁移，对于跨合约之间的调用是否有限制（可组合性）？

5，ZK计算Proof的时候，怎样可以采用FPGA/GPU等硬件进行加速？

6，项目之中，Prover和Verifier都承担什么作用，是否中心化控制，未来是否有去中心化的设计变化？

7，…共识机制，代币经济设计，合规性设计等其他问题

零知识证明作为亟需沉淀的高新技术，非一日之功，资本的迅速入场并不能带来基础技术的迅速发展。因此，项目标的的选择上面，我们会倾向于寻找当下成熟ZK项目的生态项目或者实力强劲的学术型研究组织。比特币是点对点的电子现金支付系统，以太坊是智能合约的世界计算机，彷佛一切都那么相似，ZKP起源于支付领域的探索，正逐步朝着通用计算的领域发展。作为加密行业的用户和参与者，我们期待看到更多优秀的ZKP项目涌现，如果你有任何好的想法，也欢迎随时跟我们沟通联系。

https://mirror.xyz/0x8C4d5E90196325FB22Fff37C97D7984a37e51D11/dhOEzNXqotPftpjf2gh7Hz7qZwu3lQRWYmlE_sSe7is全景式解读Web3隐私赛道现状、演变逻辑与典型玩家 |链捕手

https://docs.starknet.io/docs/intro

https://v2-docs.zksync.io/dev/

https://scroll.mirror.xyz/nDAbJbSIJdQIWqp9kn8J0MVS4s6pYBwHmK7keidQs-k

https://docs.hermez.io/zkEVM/Overview/Overview/

https://mirprotocol.org/blog/Scalability-on-Mir

https://aztec-protocol.gitbook.io/zkproofs-proposal/

https://eprint.iacr.org/2021/743.pdf MANTA: a Plug and Play Private DeFi Stack

https://betterprogramming.pub/understanding-zero-knowledge-proofs-through-the-source-code-of-tornado-cash-41d335c5475f

金色早8点

Bress

财经法学