什麼是零知識證明？隱私與擴展性解釋

By: rootdata|2026/08/01 08:51:20

設為Google首選來源

RAM

ERA

零知識證明允許一方向另一方證明某個陳述是真實的，而不透露任何超出該陳述本身真實性的資訊。這是區塊鏈隱私、可擴展的滾動技術以及越來越多的身份驗證系統背後的加密技術。

摘要

零知識證明允許證明者說服驗證者某個計算是正確的，而不透露底層數據，從而在區塊鏈上實現隱私和可擴展性。
在區塊鏈中使用的兩大類零知識證明是 zk-SNARKs，這需要初始的可信設置儀式，以及 zk-STARKs，這不需要可信設置但會產生更大的證明。
以 zkSync、Scroll 和 Polygon zkEVM 為代表的以太坊第二層滾動技術使用零知識證明將數千筆交易壓縮成一個在主鏈上驗證的證明，減少 90% 或更多的燃料費用。
Vitalik Buterin 在 2025 年底介紹了 GKR 協議，旨在加速以太坊的零知識證明驗證，目標是使這項技術在日常使用中具備實用性。
零知識證明在數學上是可靠的，但並不是魔法。它們依賴於特定的加密假設，需要大量的計算資源來生成，並且在大規模生產中部署的時間不到三年。

零知識證明的標準解釋使用了洞穴類比。阿里巴巴知道打開圓形洞穴內部門的秘密詞。他可以通過從一側進入並從另一側退出來證明他知道這個詞，而不必大聲說出這個詞。在足夠多的成功演示之後，驗證者會在統計上確信阿里巴巴知道這個秘密。

這個類比是正確的，但不完整。它捕捉了直覺，但錯過了機制。在實踐中，零知識證明並不是關於洞穴或門的。它們關於多項式承諾、橢圓曲線配對，以及允許一方將計算編碼為一組約束而另一方在不學習滿足這些約束的值的情況下驗證這些約束的數學性質。

本文解釋了零知識證明的作用、兩個主要證明系統的工作原理、它們在生產中的部署情況以及它們無法做到的事情。如果你聽說過零知識證明解決了區塊鏈的所有隱私和可擴展性問題，現實情況則更具體且更有趣。

三個屬性

零知識證明必須滿足三個數學屬性。完整性意味著如果陳述是真實的，且證明者和驗證者都遵循協議，則驗證者將始終接受該證明。健全性意味著如果陳述是錯誤的，則沒有作弊的證明者可以說服驗證者接受它，除非以微不足道的概率。零知識意味著驗證者不會學到任何超出陳述是否為真的資訊。

第三個屬性是反直覺的。你怎麼能在不學習任何關於計算的情況下驗證它呢？答案在於證明系統的結構。證明者將計算編碼為多項式方程，使用加密承諾方案對該多項式進行承諾，然後對驗證者的隨機挑戰作出回應。驗證者檢查回應與承諾是否一致，而不必看到多項式本身。

在非交互式零知識證明中，這是區塊鏈中使用的類型，隨機挑戰被應用於承諾的哈希函數所取代。這被稱為 Fiat-Shamir 問題，允許證明者在沒有任何來回通信的情況下生成整個證明。最終的證明是一串緊湊的數據，任何人都可以獨立驗證。

數學基礎建立在某些計算問題的困難性上。對於 zk-SNARKs，安全性依賴於在橢圓曲線上計算離散對數的難度。對於 zk-STARKs，安全性則依賴於哈希函數的碰撞抵抗性，這被認為是一個較弱且更保守的假設。如果任一假設被證明是錯誤的，對應的證明系統將會崩潰。因此，選擇 zk-SNARKs 和 zk-STARKs 之間的權衡涉及的不僅僅是證明大小和驗證速度。

🚀 @VitalikButerin 介紹了 GKR 協議，驗證每秒 200 萬次計算，將證明工作從 100 倍減少到 10-15 倍，隨著以太坊啟動 47 成員隱私集群。#Ethereum #Privacyhttps://t.co/Z5kIh35LQ8 --- Cryptonews.com (@cryptonews) 2025 年 10 月 20 日

zk-SNARKs：可信設置，小型證明

zk-SNARK 代表零知識簡潔非互動知識論證。簡潔這個詞是關鍵的區別：zk-SNARK 證明極其小，通常只有幾百字節，無論基礎計算的複雜性如何，都可以在毫秒內驗證。

這種簡潔性的代價是可信設置。大多數 zk-SNARK 構造需要一個初始儀式，在該儀式中生成一組結構化的參考字符串。這些字符串被證明者和驗證者共同使用。如果用於生成它們的隨機值未被妥善銷毀，任何保留這些值的人都可以創建看似有效的假證明。這有時被稱為有毒廢物。

現代的可信設置儀式使用多方計算協議，數百或數千名參與者各自貢獻隨機性。安全保證是，只要至少有一名參與者誠實地銷毀他們的隨機貢獻，設置就是安全的。Zcash 首創了這種方法，並通過其 Tau 的力量儀式進行了推廣，隨後的項目對其進行了改進。

更新的 zk-SNARK 構造如 PLONK 及其變體使用通用且可更新的可信設置，這意味著相同的設置可以重複使用於不同的電路，並且隨著時間的推移，額外的參與者可以加強設置，而無需從頭開始。這減輕了可信設置的擔憂，但並未完全消除。根本的權衡仍然存在：較小、更快的證明以換取一次性信任假設。

zk-STARKs：無需可信設置，較大證明

zk-STARK 代表零知識可擴展透明知識論證。透明意味著不需要可信設置。參考字符串是從公開可驗證的隨機性生成的，這完全消除了有毒廢物問題。可擴展性指的是證明時間隨著計算大小的增長而呈準線性增長，使 STARKs 適合非常大的計算。

權衡是證明大小。zk-STARK 證明通常為幾十到幾百千字節，而 zk-SNARK 則只有幾百字節。在數據存儲昂貴的區塊鏈上，這一差異是重要的。STARKs 的驗證時間也稍長，但仍然足夠快以供實際使用。

StarkWare，Starknet 背後的公司，一直是 zk-STARKs 的主要商業倡導者。他們的論點是，透明性特性，加上僅依賴於哈希函數而非橢圓曲線的量子抵抗性，使得 STARKs 成為更好的長期選擇，即使這意味著較大的證明。量子計算機是否會在相關時間範圍內實際威脅橢圓曲線密碼學仍然存在爭議，但保守的安全姿態對於長期穩健性更為重要的應用具有吸引力。
你可能還會喜歡：零知識證明：隱私聚焦的第 1 層區塊鏈完整指南

-- 價格

ZK rollups：擴展應用

當前零知識證明在區塊鏈中最重要的實際應用是ZK rollups。Rollup在鏈外執行交易，將其批量處理，生成一個零知識證明以證明所有交易都是有效的，然後僅將證明和壓縮的交易數據發佈到主鏈上。主鏈驗證該證明，這樣的驗證成本比單獨執行每筆交易便宜數個量級。

這種架構使以太坊第二層網絡能夠以單次證明驗證的成本處理數千筆交易。實際上，基於以太坊基礎設施的ZK rollups相比於直接在主網上執行相同的交易，能將燃料費用降低90%或更多。

截至2026年中，主要的ZK rollup項目包括zkSync Era、Scroll、Polygon zkEVM、Linea和Taiko。每個項目使用不同的證明系統，並在EVM兼容性、證明速度和去中心化之間做出不同的權衡。zkSync使用自定義虛擬機和基於PLONK的證明。Scroll旨在使用zk-SNARK證明器實現字節級EVM等效性。Polygon zkEVM則在遞歸架構中結合了STARK和SNARK證明。

這些項目之間的競爭推動了證明生成的快速創新。在過去兩年中，證明時間從幾小時降至幾分鐘，再到幾秒鐘。Vitalik Buterin引入的GKR協議為以太坊的發展代表了將ZK證明驗證變成常規操作而非計算瓶頸的又一步。

🚀 Vitalik Buterin表示，以太坊通過ZKEVM和PeerDAS技術解決了區塊鏈的三難問題，該技術在經過十年的開發後現在已在主網上運行。#Ethereum #Buterinhttps://t.co/cUzlhhO6Xr --- Cryptonews.com (@cryptonews) 2026年1月4日

超越rollups的隱私應用

零知識證明最初是為了隱私而開發的，而不是可擴展性。Zcash於2016年推出，是第一個使用zk-SNARK進行私密交易的主要區塊鏈。在一筆保護的Zcash交易中，發送者、接收者和金額都隱藏在公眾視野之外，而證明則保證沒有虛假創造的貨幣，也沒有發生雙重支付。

隱私應用超越了金融交易。零知識證明可以在不揭示基礎數據的情況下驗證身份屬性。用戶可以證明他們年滿18歲而不透露出生日期，證明他們是某個國家的公民而不透露護照號碼，或證明他們持有某項證書而不透露是哪個機構頒發的。

像Worldcoin和Polygon ID這樣的項目已經實施了基於ZK的身份驗證系統。Worldcoin使用零知識證明來驗證某人已被其虹膜掃描設備掃描，而不將掃描與任何特定身份聯繫起來。以太坊生態系統中的項目越來越多地將基於ZK的身份作為金融交易的原始組件進行整合。

隱私用例面臨監管阻力。多個司法管轄區的金融監管機構對完全私密的交易表示擔憂，認為這可能促進洗錢、逃避制裁和恐怖主義融資。隱私作為基本權利與透明度作為監管要求之間的緊張關係是加密貨幣中定義性政策辯論之一，而零知識證明正好位於這一中心。

零知識證明不涵蓋的內容

零知識證明保證計算的完整性：即特定計算是正確執行的。它們不保證計算的輸入是正確的，計算是值得執行的，或圍繞證明構建的系統是沒有錯誤的。

A ZK rollup 可以證明一批交易根據 rollup 的規則是有效的，但無法證明這些規則本身是正確的。rollup 的智能合約或證明電路中的錯誤可能會為無效的狀態轉換產生有效的證明。在審計和測試網部署期間，幾個 ZK rollup 項目已經披露並修補了其電路中的關鍵錯誤。

零知識證明也無法消除數據可用性的需求。在 ZK rollup 中，證明告訴主鏈狀態轉換是有效的，但用戶仍然需要訪問基礎交易數據以重建狀態並驗證他們的資金是否安全。沒有數據可用性，用戶必須信任 rollup 操作員，這部分違背了證明的目的。

生成證明的計算成本相當可觀。雖然驗證成本低廉，但證明生成需要大量硬體。在生產規模下運行 ZK 證明器通常需要擁有數百 GB RAM 和專用硬體加速器的伺服器。這種成本在誰能負擔得起運行證明器方面創造了一種自然的集中化力量，即使證明本身可以被任何人驗證。

評估 ZK 項目的實用檢查

在評估聲稱使用零知識證明的項目時，有幾個問題可以區分嚴肅的實施與市場營銷。

首先，詢問證明系統是否經過獨立審計。電路錯誤可能會產生健全性漏洞，使無效的證明被接受為有效。未經多家獨立加密公司審計的項目應謹慎對待。

其次，詢問證明系統是否使用受信設置，如果是，儀式是如何進行的。只有少數參與者的受信設置，或由單一公司在沒有外部驗證的情況下進行的設置，代表了一種重要的信任假設。

第三，檢查項目是否發布其證明驗證合約，以及這些合約是否已在鏈上驗證。如果驗證是在鏈外進行或通過由多簽控制的可升級代理合約進行的，則零知識證明可能無法提供用戶期望的安全保證。

第四，查看數據可用性解決方案。如果項目不在鏈上或可信的數據可用性層上發布交易數據，用戶無法獨立驗證狀態，必須信任操作員。這與零知識證明應該實現的無信任性有著重要的背離。

🚀 以太坊開發者已在 Hoodi 上啟用 Pectra 升級，標誌著其主網部署的另一個里程碑。#Ethereum #ETHhttps://t.co/eALuuC2dgk
--- Cryptonews.com (@cryptonews) 2025年3月27日
閱讀更多：什麼是零知識證明？深入探討 zk-SNARKs 背後的數學

常見問題

零知識證明簡單來說是什麼？ {#faq-question-1722480001}

零知識證明是一種證明你知道某些事情而不透露你知道什麼的方法。在區塊鏈中，它允許一台計算機向另一台計算機證明一組交易是有效的，而無需顯示這些交易的細節。這使得隱私和可擴展性得以實現。

zk-SNARKs 和 zk-STARKs 之間有什麼區別？ {#faq-question-1722480002}

zk-SNARKs 產生非常小的證明，通常只有幾百字節，並且驗證速度快，但需要一次性的受信設置儀式。zk-STARKs 產生較大的證明，通常為幾十 KB，但不需要任何受信設置，並被認為對量子計算攻擊具有抵抗力。兩者都實現了零知識的可驗證計算相同的目標。

ZK rollups 如何降低以太坊的燃氣費用？ {#faq-question-1722480003}

ZK rollups 在以太坊主鏈之外執行交易，將它們批量處理，並生成零知識證明以證明所有交易的有效性。只有證明和壓縮數據會被發佈到以太坊上。驗證單個證明的成本遠低於執行數千筆單獨交易，從而實現90％或更高的燃氣費用減少。

零知識證明是否對量子計算機具有抵抗力？ {#faq-question-1722480004}

這取決於證明系統。zk-STARKs 依賴於哈希函數，這被認為對量子計算機具有抵抗力。zk-SNARKs 依賴於橢圓曲線密碼學，理論上可以被足夠強大的量子計算機攻破。然而，能夠攻破橢圓曲線的實用量子計算機尚不存在，可能還需要幾十年才能出現。

零知識證明能否使所有區塊鏈交易保持私密？ {#faq-question-1722480005}

技術上是可以的，但實際上存在權衡。為每筆交易生成證明會增加計算成本和複雜性。完全私密的交易在要求財務透明的法域中也面臨監管挑戰。像 Zcash 這樣的項目提供可選的隱私，而大多數 ZK rollups 主要將該技術用於擴展性，而非隱私。

什麼是可信設置，為什麼它很重要？ {#faq-question-1722480006}

可信設置是一個一次性的儀式，用於生成某些證明系統所需的密碼參數。如果在儀式中使用的隨機值未被正確銷毀，則可能有人創建虛假的證明。現代儀式使用多方計算，數百名參與者貢獻隨機性，只要至少有一名參與者誠實，設置就是安全的。

哪些區塊鏈使用零知識證明？ {#faq-question-1722480007}

Zcash 是第一個使用零知識證明進行私密交易的主要區塊鏈。以太坊通過包括 zkSync、Scroll、Polygon zkEVM、Linea 和 Starknet 在內的第二層 rollups 使用 ZK 證明。Mina Protocol 使用遞歸 ZK 證明來維持固定大小的區塊鏈。其他幾條鏈也將 ZK 技術納入特定功能，如身份驗證或跨鏈消息傳遞。