零知识证明的工作原理及其对隐私的重要性

您可以证明自己已满18岁，而无需透露您的生日。您可以证明自己有足够的资金进行交易，而无需透露您的余额。您可以证明某项计算是正确的，而无需透露输入。零知识证明使这一切成为可能，并且它们正在悄然成为区块链中最重要的密码学原语，仅次于哈希函数。

摘要

大多数关于零知识证明的介绍都以阿里巴巴洞穴的类比开始，其中某人通过始终从验证者请求的侧面退出来证明他们知道打开门的秘密词，而无需透露这个词。这个类比很迷人，但对于理解零知识证明在实践中的重要性完全无用。它告诉您这样的证明是可能的，但并没有告诉您为什么在区块链上需要这样的证明。

实际的出发点更简单。每个区块链都面临着同样的紧张关系：透明性促进信任，但透明性也破坏隐私。比特币的账本是公开的。每一笔交易、每一个余额、每一个地址对任何人都是可见的。以太坊也是如此。这种透明性使系统可审计且值得信赖，但这也意味着任何了解您地址的人都可以看到您曾经进行的每一笔交易、您持有的每一个代币以及您互动过的每一个协议。

零知识证明解决了这种紧张关系。它们让您可以证明有关您数据的事实，而无需透露数据本身。您可以证明您的账户余额超过某个阈值，而无需透露确切的余额。您可以证明一笔交易是有效的，而无需透露发送者、接收者或金额。您可以证明自己不在制裁名单上，而无需透露您的身份。

这背后的数学是深奥的。应用是直接的。

每个零知识证明必须具备的三个属性

每个零知识证明系统必须满足三个属性，理解它们对于评估任何基于零知识的协议至关重要。

完整性。 如果声明为真，并且证明者和验证者都遵循协议，验证者将始终信服。有效的证明永远不会验证失败。如果您确实知道秘密，证明将始终有效。

健壮性。 如果声明为假，没有任何作弊的证明者可以说服验证者相信它是真的，除了微不足道的概率。一个不诚实的证明者无法伪造有效的证明。虚假证明通过验证的概率非常小（通常小于1/2^128），因此实际上是不可能的。

零知识。 验证者除了声明为真的事实外，什么也不会知道。证明不会泄露任何关于秘密本身的信息、任何中间计算或生成证明所使用的任何数据。验证者在看到证明后的知识与有人简单告诉他们声明为真时的知识是完全相同的。

第三个属性使得零知识证明有用，而不仅仅是正确。标准数字签名证明消息是由特定密钥签署的，但它们会泄露消息内容。标准哈希承诺证明某个值已被承诺，但在打开时会泄露该值。零知识证明证明秘密值之间的关系成立，而在任何时候都不会泄露这些值。

zk-SNARKs和zk-STARKs的区别

区块链中两种主流的零知识证明系统是zk-SNARKs和zk-STARKs。它们以不同的权衡解决相同的问题。

zk-SNARKs（零知识简洁非交互式知识证明）生成小型证明，验证速度快。一个典型的zk-SNARK证明大小约为200到300字节，在以太坊上验证大约需要200,000到300,000的gas。无论被证明的计算复杂度如何，验证时间都是恒定的。验证单个交易的证明所需时间与验证一万笔交易的证明所需时间相同。

这种简洁性的代价是需要一个可信的设置。大多数zk-SNARK系统需要一次性仪式，在该仪式中生成随机参数，并在之后销毁这些随机性。如果这一仪式中的随机性没有被妥善销毁，攻击者可能会伪造证明。Zcash进行过一次加密历史上最复杂的可信设置仪式（“Powers of Tau”仪式），涉及全球数百名参与者，其安全假设是至少有一名参与者诚实地销毁了他们的随机性。

像PLONK和Halo 2这样的新型SNARK系统已经减少或消除了可信设置的要求，但这种看法依然存在。一些项目专门避免使用SNARK，正是因为对可信设置的担忧，即使他们所使用的实现并不需要可信设置。

zk-STARKs（零知识可扩展透明知识证明）完全消除了可信设置。它们的安全性来自哈希函数，而不是椭圆曲线假设，这使得它们透明（没有秘密参数）并在理论上对量子计算机具有抗性（基于哈希的密码学被认为对量子计算机是安全的，而椭圆曲线密码学则不是）。

权衡在于大小。STARK证明的大小显著大于SNARK证明，通常为数十到数百千字节，而SNARK证明则为数百字节。在数据存储成本以gas计费的区块链上，较大的证明意味着更高的验证成本。STARK技术的主要开发者StarkWare通过使用递归证明组合来解决这个问题：证明一个证明是有效的，然后证明这个证明的证明是有效的，从而压缩最终的链上占用空间。

在实践中，这种区别的重要性已经不如五年前那么大。现代证明系统越来越多地融合了两种类型的技术，工程重点已从使用哪种证明系统转向证明生成的速度和验证者检查的成本。

ZK证明在区块链扩展中的应用

ZK证明的扩展应用概念上是直接的。一个rollup在链外执行一批交易，生成一份证明，证明该批交易已正确执行，并将证明发布到以太坊。以太坊验证合约在单次操作中检查证明并接受新状态。

这种强大的地方在于证明和验证之间的非对称性。为一批10,000笔交易生成证明可能需要强大的机器几分钟，而验证证明只需几分之一秒，并且无论批次中有多少交易，所需的gas都是固定的。这种非对称性使得ZK rollups能够将数千笔交易压缩成一次以太坊验证。

主要的ZK rollups各自采取不同的方法来实现这一架构。

zkSync Era使用一个自定义虚拟机（zkEVM），在语言层面与Solidity兼容，但编译为针对ZK证明生成优化的不同指令集。现有的以太坊合约可以在最小更改的情况下重新编译为zkSync。

StarkNet使用Cairo编程语言和STARK证明。Cairo是一种专门为可证明计算设计的语言，具有性能优势，但要求开发者学习一种新语言和范式。

Polygon zkEVM 旨在实现EVM等效，这意味着它可以执行与以太坊相同的字节码而无需重新编译。这最大限度地提高了兼容性，但在使每个EVM操作码可证明方面引入了工程复杂性。

Scroll 也以实现完全EVM等效为目标，并采用社区驱动的方法进行其zkEVM的实现，旨在成为最兼容以太坊的ZK Rollup。

这两种方法之间的竞争最终是兼容性与性能之间的竞争。ZK Rollup与现有以太坊工具的兼容性越高，开发者迁移的难度就越小。Rollup越是优化其指令集以实现可证明性，其证明的速度和成本就越低。
你可能还喜欢：什么是代币化以及它是如何工作的

ZK证明与隐私

隐私应用是ZK证明变得最重要和最具争议的地方。

标准的以太坊交易会公开发送者地址、接收者地址、转账金额和调用的智能合约。这些信息是永久公开的。链分析公司如Chainalysis和Elliptic已经建立了整个业务，通过透明的账本追踪交易流，将地址与真实身份通过交易所KYC数据、已知实体标签和行为模式联系起来。

ZK隐私协议打破了这种可见性链。在基于ZK的私人交易中，用户生成一个证明，证明他们的交易是有效的（发送者有足够的资金，没有双重支付，金额平衡），而无需透露是谁发送的、谁接收的或转账了多少。证明被发布在链上并由网络验证，但底层交易细节仍然是加密的。

Zcash是这一概念的第一个重大实现，2016年推出了使用zk-SNARKs的保护交易。Zcash用户可以选择透明交易（与比特币的公共账本相同）和保护交易（发送者、接收者和金额在ZK证明后隐藏）。实际上，Zcash上保护交易的采用率低于支持者的预期，大多数Zcash交易仍使用透明池。

更新的协议正在构建可编程隐私，不仅代币转移，而且任意智能合约逻辑都可以私下执行。Aztec Network正在以太坊上构建一个隐私优先的二层网络，所有交易默认都是私密的。Aleo正在构建一个具有原生ZK支持的第一层区块链，用于私人智能合约。两者都使用ZK证明来验证状态转换，而不透露涉及的计算或数据。

隐私的潜力超越了单个交易。ZK证明可以实现私人投票（证明你投票了而不透露你的选择）、私人身份验证（证明你是特定国家的公民而不透露你的护照号码）和私人DeFi（向池提供流动性而不透露你的地址或头寸大小）。

监管碰撞

加密中的隐私占据了一个仍在定义中的有争议的法律空间。

2022年8月，美国财政部外国资产控制办公室（OFAC）制裁了Tornado Cash，这是一个基于以太坊的混合器，使用ZK证明打破存款和取款地址之间的联系。制裁开源智能合约代码，而不是个人或公司，这是前所未有的，并在加密隐私社区引起了震动。

2024年5月，Tornado Cash的开发者之一Alexey Pertsev在荷兰法院被判定为协助洗钱。该判决确立了一个法律先例，即编写保护隐私的代码可能会承担刑事责任，如果该工具被用于非法目的，无论开发者是否亲自协助了非法活动。

这些行动塑造了ZK隐私发展的方向。目前这一代隐私协议是在监管约束下构建的，而不是忽视这些约束。

选择性披露允许用户证明其身份或交易历史的特定事实，而无需透露所有信息。用户可以证明他们通过了持牌交易所的KYC，证明他们不在OFAC制裁名单上，或者证明他们的资金不是来自受制裁地址，所有这些都使用ZK证明，除了被验证的特定声明外不透露任何信息。

隐私池是由Vitalik Buterin等人正式提出的概念，允许用户证明他们从隐私集合中提取的资金属于一个干净的存款子集。协议维护排除已知非法地址的关联集，而不是无差别地将所有存款混合在一起。用户在不透露他们提取的具体存款的情况下证明自己是干净集合的成员。

这些妥协是否能让监管者满意还有待观察。隐私与监视在架构上是不可兼容的这一根本矛盾，单靠技术无法解决。ZK证明为政策制定者提供了一种他们从未拥有过的工具：在不要求披露的情况下验证合规性。是否选择使用这一工具是一个政治问题，而非密码学问题。

证明成本对哪些应用首先采用ZK技术有具体影响。在高价值金融交易中，生成证明的成本相对于交易规模是微不足道的，这些交易是最早的采用者。机构跨链转账、大型DeFi头寸和企业结算系统可以承受每笔交易几美元的证明成本，而不会影响其经济性。消费者应用中，单笔交易可能仅值几美元，需要证明成本再降低一个数量级，ZK隐私才能在日常使用中变得实用。专门为ZK构建ASIC的公司的硬件加速努力正是针对这一成本障碍。

扩展和隐私应用的融合可能是ZK技术中最被低估的方面。一个私密处理交易的ZK汇总将结合链下执行的吞吐量优势和加密状态转换的保密优势。用户将获得快速、便宜且对链分析不可见的交易。包括Aztec和Polygon Miden在内的多个项目正在构建这种组合，尽管将这两种能力合并到生产系统中的工程复杂性仍然相当大。

这篇文章未涵盖的内容

这篇文章未涵盖多项式承诺、椭圆曲线配对或Fiat-Shamir变换的数学基础，这些是ZK证明系统的基础。理解这些需要研究生水平的抽象代数，并不是评估ZK基础协议作为用户或投资者所必需的。

这篇文章未涵盖ZK机器学习（zkML），这是一个新兴领域，利用ZK证明验证机器学习模型产生特定输出，而不透露模型的权重或训练数据。该应用仍处于实验阶段，其实际影响仍在研究中。

这篇文章未讨论ZK证明生成的硬件加速竞赛。像Cysic、Ingonyama和Fabric Cryptography这样的公司正在专门为ZK证明构建定制ASIC和FPGA，这可能将证明成本降低几个数量级。硬件领域的发展速度太快，无法进行静态分析。

使用ZK基础协议前的实用检查

验证证明系统的审计状态。 ZK证明系统在数学上复杂，实施错误可能导致灾难性后果。电路中的一个漏洞（被证明的计算的数学表示）可能允许攻击者伪造证明并铸造代币或窃取资金。检查证明系统及其电路是否经过专门从事ZK密码学的公司审计，而不仅仅是一般的智能合约审计员。

了解什么是实际私密的。 并非所有基于ZK的协议提供相同级别的隐私。有些隐藏交易金额但暴露地址。有些隐藏地址但暴露金额。有些则隐藏所有信息。阅读协议文档以准确了解哪些信息被隐藏，哪些信息仍然可见。元数据如交易时间、燃气模式和交互频率即使在核心交易数据被隐藏的情况下，也常常能够去匿名化用户。

检查可信设置状态。 如果协议使用zk-SNARKs，确定是否需要可信设置以及该设置是如何进行的。参与者众多的多方计算仪式比只有少数已知实体的小型仪式更值得信赖。使用STARKs、PLONK（具有通用设置）或Halo 2的协议根本不需要可信设置。

评估监管风险。 隐私协议在法律环境不确定的情况下运作。考虑协议是否具有合规机制（选择性披露、隐私池、选择性合规证明），以及该机制是否经过实际监管审查的测试。使用一个后来被制裁的隐私协议可能会使您转移或出售资产的能力变得复杂。

测试证明时间。 生成ZK证明计算密集。在移动设备上，证明一个简单的交易可能需要30秒到两分钟。在桌面上，可能只需几秒钟。如果证明时间对您的用例来说太长，则该协议可能不适合频繁交易。一些协议将证明工作卸载到专用服务器上，这样更快，但引入了一个信任假设，即服务器不会获取您的私密数据。
阅读更多：区块链汇总是什么，它们如何扩展以太坊
1.

零知识证明简单来说是什么？ {#faq-0}

零知识证明是一种证明某事为真的方法，而不透露其为何为真的原因。在区块链中，这意味着您可以证明交易是有效的，您拥有足够的资金，或者计算是正确的，而无需透露实际的交易细节、您的余额或计算中使用的数据。验证者相信该声明是真的，但不会了解其他信息。 {#faq-0} 2.

zk-SNARKs和zk-STARKs之间有什么区别？ {#faq-1}

zk-SNARKs生成非常小的证明（数百字节），验证成本低，但历史上需要可信设置仪式来生成初始系统参数。zk-STARKs生成较大的证明（数十到数百千字节），但不需要可信设置，并且在理论上对量子计算攻击具有抵抗力。在实践中，现代证明系统正在趋同，大小、速度和信任假设之间的权衡变得不那么明显。 {#faq-1} 3.

ZK证明如何帮助区块链扩展？ {#faq-2}

ZK汇总在链外执行数千笔交易，并生成一个证明，证明所有交易都已正确执行。该证明在以太坊上以单一操作进行验证，无论批次中有多少交易，成本都是固定的。生成证明的成本（高，但由汇总操作员承担）与验证成本（低，并且为整个批次支付一次）之间的不对称性创造了扩展效果。 {#faq-2} 4.

基于ZK的隐私币合法吗？ {#faq-3}

ZK技术基础的隐私币如Zcash在大多数法域内并不本质上是非法的。然而，监管方式差异显著。一些交易所为了遵守反洗钱法规已将隐私币下架。2022年的Tornado Cash制裁表明，保护隐私的协议可能会面临监管行动。其合法性取决于您的法域以及您如何使用该技术，而不是技术本身。

什么是可信设置，为什么它重要？

可信设置是某些zk-SNARK系统所需的一次性仪式，用于生成加密参数。在仪式期间，会创建随机值，并且必须在之后销毁。如果任何参与者保留这些随机值，他们理论上可以伪造证明。多方仪式通过要求潜在数百名参与者中只有一名诚实地销毁其随机值来降低这一风险。像PLONK和Halo 2这样的新型证明系统已消除了或最小化了可信设置的要求。

ZK证明能否使所有区块链交易保持私密？

从技术上讲，可以。像Aztec Network和Aleo这样的协议正在构建系统，使所有智能合约交互默认保持私密，而不仅仅是代币转移。然而，所有交易的完全隐私会带来监管挑战，增加计算成本（ZK证明生成成本高），并改变用户体验（证明需要时间）。是否实现完全链上隐私的标准化，既取决于监管决策，也取决于技术能力。

隐私池是如何工作的？

隐私池允许用户将资金存入共享池，并从不同地址提取，从而打破两个地址之间的链上链接。与简单的混合器不同，隐私池使用ZK证明结合关联集，让用户证明他们的提取属于排除已知非法地址的存款子集。这为用户提供了隐私，同时提供了合规机制。用户证明他们在干净集内，而无需透露他们提取的具体存款。

使用基于ZK的协议的主要风险是什么？

主要风险包括ZK电路中的实现漏洞（可能导致伪造证明）、旧SNARK系统中的可信设置漏洞、针对隐私功能的监管行动、消费者硬件上证明生成的高计算要求，以及与标准智能合约开发相比，ZK工具的相对不成熟。此外，元数据泄露（交易时间、燃气模式、交互频率）有时会在核心交易数据私密的情况下使用户去匿名化。

免责声明：本文仅供信息和教育用途，并不构成财务、投资或法律建议。加密货币市场波动性大，风险显著。在做出投资决策之前，请务必进行自己的研究。